← España

PS-00249-2019

1/6 Procedimiento Nº: PS/00249/2019 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00249/2019, instruido por la Agencia Española de Protección de Datos, a la entidad VODAFONE ESPAÑA SAU., (VODAFONE), (en adelante, “la entidad reclamada), en virtud de denuncia presentada por D. A.A.A. (en adelante, “el reclamante”) y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 12/02/19 tuvo entrada en esta Agencia (a través del Instituto Gallego de Consumo), escrito presentado por el reclamante, en el que expone, entre otra, lo siguiente: “En los meses de julio y agosto de 2018, la compañía VODAFONE, me ha incrementado las facturas. Puesto en contacto con la compañía me comentan que es por la ampliación de unos servicios pero que nunca habia contratado. No obstante, la compañía le india que será reembolsado la diferencia en el nº de c/c en unos 15 días. Al cabo de unos días me indican que no será devuelto el dinero, teniendo que hacer la reclamación por escrito. Solicitado el envió de las facturas, me envían las mías y otras de otra persona”. Presenta copia de 6 facturas con las siguientes características: TITULAR Nº FACTURA Nº CUENTA VODAFONE B.B.B.. ***NIF.2 RI00129240 59 RI00160440 79 RI00100108 48 RI00132997 43 RI00320266 00 RI00333269 82 ***TELEFONO.2 A.A.A.. ***NIF.1 ***TELEFONO.2 ***TELEFONO.1 ***TELEFONO.1 ***TELEFONO.1 ***TELEFONO.1 FECHA EMISIÓ N 01/01/1 8 01/02/1 8 08/12/1 7 08/01/1 8 08/09/1 8 08/10/1 8 DIRECCIÓN ***DIRECCION.2 ***DIRECCION.1. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 10/04/19, se dirige un requerimiento informativo a la entidad, siendo notificada con fecha 15/04/19, según certificado emitido por el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada. No obstante, la entidad reclamada NO remitió, a esta Agencia, ningún tipo de información ni de documentación referente a los hechos denunciados. TERCERO: Con fecha 25/07/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos en el artículo 58.2 del RGPD y en los artículos 47, 64.2 y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por la infracción del artículo 5.1.

  1. f)del RGPD tipificada en el artículo 83.5.
  2. a)del RGPD y considerada “muy grave”, a efectos de prescripción, en el artículo 72.1.
  3. a)de la LOPDGDD, argumentado en el mismo que: “se ha verificado que, según denuncia presentada, Vodafone ha activado unos servicios no solicitados por el reclamante. Tras ponerse en contacto con la compañía, queda pendiente un reembolso de cantidades indebidamente cobradas. Tras solicitar las facturas a la compañía, ésta le remite, además de la reclamadas, varias facturas de un tercero ajeno”. CUARTO: Según el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada del Ministerio de Política Territorial y Función Pública (a través de la Secretaría General de Administración Digital), se certifica que, a través de dicho servicio se envió la notificación, con Referencia: ***REFERENCIA.1 a la entidad VODAFONE ESPAÑA SA - A80907397, siendo la fecha de puesta a disposición el 10/08/2019 a las 05:00:16 y la fecha de rechazo automático por parte de la entidad reclamada, el 18/08/2019 a las 00:00:00. QUINTO: No se ha recibido en esta Agencia, en el periodo concedido a tal efecto, alegaciones por parte de la entidad reclamada, a la incoación del expediente y según se señalaba en la misma, “Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  4. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP)”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS 1.- Solicitada por el reclamante las facturas emitidas por la Vodafone, por discrepancias en la facturación al haberle dado de alta en unos servicios que no había contratado, la compañía le remite, además de las sus facturas, otras facturas con datos personales de un tercero ajeno. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación de la entidad reclamada, que ha quedado reflejada en los hechos declarados probados. De la documentación obrante en el expediente, remitida por el reclamante, se ofrece indicios evidentes de que el reclamado vulneró el artículo 5 del RGPD, principios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 relativos al tratamiento, en relación con el artículo 5 de la LOPGDD, deber de confidencialidad, al revelar a un tercero los datos personales de otra persona. El deber de confidencialidad, con anterioridad deber de secreto, debe entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Por tanto, ese deber de confidencialidad es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. En este sentido se pronunciaba la Audiencia Nacional en sentencia de 18/01/02, en cuyo Fundamento de Derecho Segundo, señalaba: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, …, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo… Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos (STC 292/2000) …” Por todo ello, queda constatada la falta de diligencia, en el envío de documentación al solicitante por parte de entidad VODAFONE ESPAÑA SAU, ya que proporciono datos personales de una tercera persona ajena. III Así las cosas, los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración El artículo 5.1.
  5. f)del RGPD establece que: “los datos personales serán tratados tal manera que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas” Por su parte, y tras las evidencias obtenidas en la fase de investigaciones previas y a lo largo de la instrucción del procedimiento, procede en este caso atender a lo estipulado en el artículo 83.2 del RGPD, a efectos de fijar el importe de la sanción a imponer en el presente caso: De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 - La intencionalidad o negligencia en la infracción. En el presente caso estamos ante accin negligente no intencional (apartado b). - El responsable del tratamiento de los datos NO ha tomado, que se sepa, ninguna mediada para paliar los perjuicios sufridos por los interesados (apartado c). - El responsable del tratamiento de los datos NO ha ejercicio, hasta el momento, ninguna cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción (apartado f). - Las categorías de los datos de carácter personal afectados por la infracción, Los datos tratados en este caso, son de marcado carácter personal y por tanto identificadores de personas (apartado g). - La forma en que la autoridad de control ha tenido conocimiento de la infracción. En este caso, a través de denuncia presentada por el reclamante, (apartado h). De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 76.2 de la LOPDGDD: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (apartado b). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 5.1.
  6. f)del RGPD permite fijar una sanción de 60.000 euros (sesenta mil euros), considerada como “muy grave”, a efectos de prescripción de la misma, en el 72.1.a de la LOPDGDD. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA SAU una sanción de 60.000 euros (sesenta mil euros), por la infracción del artículo 5.1.
  7. f)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad VODAFONE ESPAÑA SAU. y, conforme al art. 77.2 del RGPD, INFORMAR al reclamante sobre el resultado de la reclamación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  8. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  9. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.