← España

PS-00251-2018

1/25 Procedimiento Nº PS/00251/2018 RESOLUCIÓN: R/01774/2018 En el procedimiento sancionador PS/00251/2018, instruido por la Agencia Española de Protección de Datos a la entidad XFERA MÓVILES, S.A., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 29/08/2017 ha tenido entrada en la Agencia Española de Protección de Datos (AEDP) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que XFERA MÓVILES, S.A., (en lo sucesivo, XFERA o la denunciada) ha tratado sus datos personales (nombre, apellidos y NIF) sin su consentimiento vinculados al alta de tres líneas telefónicas que no ha contratado y los ha incluido en ficheros de solvencia patrimonial asociados a una deuda que procede de los contratos que a los que es ajeno y la entidad le atribuye, deuda que no le pertenece. Explica que, en abril de 2016, con ocasión de solicitar una tarjeta de crédito en su entidad financiera, le comunicaron que se encontraba incluido en un fichero de morosidad por una deuda de 3.000 euros relativa a empresas de telefonía, pero sin llegar a facilitarle el nombre de la operadora, lo que le ha obligado a efectuar diversas gestiones que le han supuesto un coste económico hasta conocer que fue XFERA MÓVILES, S.A., quien incluyó sus datos en ASNEF. Anexa a su denuncia, entre otros, los siguientes documentos: - Escrito de EQUIFAX en el que parece responder al ejercicio del derecho de acceso. Consta en el escrito que a fecha 20/04/2017 existe en el fichero ASNEF una incidencia asociada al NIF del denunciante, informada por XFERA MÓVILES, S.A., siendo la fecha de alta de la anotación el 24/06/2016 y el importe de la deuda de 3.064,91 euros. Asociados al nombre, dos apellidos y NIF del denunciante figura la dirección ***DIRECCION.1. - Varias facturas emitidas por YOIGO (XFERA MÓVILES, S.A.), giradas a nombre del denunciante, en las que también consta su NIF. La dirección postal no coincide con la indicada por el denunciante en el escrito de denuncia y es la anteriormente reseñada ubicada en ***DIRECCION.1. En todas ellas los servicios que se facturan corresponden a las líneas ***TELEFONO.1 (

  1. i)***TELEFONO.2 (
  2. ii)y ***TELEFONO.3 (iii):  De marzo de 2016, emitida el 01/04/2016, por importe de 311,11 euros  De abril de 2016, emitida el 01/05/2016, por importe de 200,84 euros.  De mayo de 2016, emitida el 01/06/2016, por importe de 191,96 euros.  De junio de 2016, emitida el 01/07/2016, por importe de 177 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/25  De julio de 2016, emitida el 01/08/2016, por importe de 177 euros.  De agosto de 2016, emitida el 01/08/2016, por importe de 2.007 euros SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a XFERA MÓVILES, S.A., teniendo conocimiento de los siguientes extremos que se detallan en el Informe de Actuaciones de Investigación Previa que reproducimos: << XFERA MÓVILES, S.A. (XFERA) Marca comercial YOIGO. 4.1. En los sistemas de XFERA están registrados los datos personales del denunciante, nombre, dos apellidos y NIF. Consta asociada a tales datos la dirección electrónica ***EMAIL.1 y el teléfono de contacto ***TELEFONO.4. La dirección postal es ***DIRECCION.1. 4.2. En los sistemas de XFERA, vinculadas a los datos del denunciante, hay constancia de la contratación de las líneas de teléfono ***TELEFONO.1 (I); ***TELEFONO.2 (II) y ***TELEFONO.3 (III) en fechas, respectivamente, 1,3 y 7 de marzo de 2016. Las líneas se dieron de baja el 26/07/2016. XFERA manifiesta que la contratación de las líneas fue presencial ante el distribuidor The Phone House, S.L.U. La operadora ha aportado copia del NIF del denunciante y de los documentos contractuales correspondientes a las líneas ***TELEFONO.2 (II) y ***TELEFONO.3 (III). Ambos contratos están firmados; en ambos la cuenta de domiciliación del pago es la misma (entidad XXXX y finalizada en los dígitos YY). Además, en ambos contratos se adquiere un terminal “Apple IPH 6S 64gb plata”. No se ha aportado copia del contrato de la línea ***TELEFONO.1 (I). XFERA manifiesta a ese respecto que ha sido solicitado al distribuidor The Phone House pero no lo ha recibido. La entidad declara que no existen reclamaciones o comunicaciones efectuadas por el afectado o por terceros. Únicamente les consta la petición de duplicados de las facturas realizada en fecha 24/04/2017. 4.3. XFERA reconoce que existían facturas pendientes de pago vinculadas al denunciante derivadas de los contratos celebrados a su nombre. La documentación aportada no detalla cuáles fueron las facturas impagadas ni su importe. 4.4. Ficheros de solvencia patrimonial: Los datos personales del denunciante se comunicaron a ficheros de solvencia patrimonial. Así lo reconoce, XFERA que no especifica ni el nombre del fichero ni el importe de la deuda que motivo la inclusión. Detalla que la fecha de alta de la incidencia fue el 23/06/2016 y que la anotación se dio de baja el 19/04/2017 con motivo de la cesión de deuda a SALUS INVERSIONES y RECUPERACIONES, S.L. 4.5. XFERA aporta copia del contrato de agencia suscrito con The Phone House, S.L.U., con CIF 81846206 celebrado el 22/02/2010. El punto 7 del contrato, denominado “Procedimientos Operativos”, detalla los pasos que de forma obligatoria habrá de seguir The Phone House, S.L.U., (el agente). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 En síntesis, los siguientes: - Recabar documentos: Tratándose de personas físicas, fotocopia de alguno de éstos –todos ellos vigentes en la fecha de firma del contrato-: DNI, NIF, pasaporte y si el cliente fuera extranjero tarjeta de residente y número de identificación fiscal de extranjeros. Si el contrato es de pospago, documento acreditativo de los datos del cobro: El adeudo domiciliado de antigüedad superior a tres meses en el que figuren los veinte dígitos de la cuenta y el titular, o bien fotocopia de la portada de la cartilla bancarias con más de tres meses de antigüedad y fotocopia de movimientos domiciliados de al menos tres meses. - Cumplimentar el formulario de alta a través de los sistemas de XFERA y en el formato suministrado por la entidad, asegurándose de que todos los campos se cumplimentan. En el formulario, en el apartado “Datos bancarios”, se advierte que el titular de la cuenta debe ser el mismo que el titular del contrato. - Solicitar la firma del formulario tras la cumplimentación - Entregar al cliente la copia del formulario de alta y de las Condiciones Generales del servicio y envío a XFERA de la documentación que deberá estar en su poder con periodicidad trimestral 4.6. XFERA aporta un certificado expedido por INTRUM IUSTITIA IBÉRICA, S.A.U., de fecha 12/12/2017, en el que declara que tiene encomendado el envío de cartas de requerimientos previos de pago a sus clientes y que han realizado la impresión, manipulado y envío para los datos siguientes: A.A.A., ***DIRECCION.1. Del escrito aportado parece colegirse que en fecha 01/06/2016 se produce la impresión, manipulado y envío de la carta informativa de requerimiento de pago; que en fecha 27/07/2016 se produce la impresión, manipulado y envío de la carta al abogado de requerimiento de pago y que no consta devolución postal, siendo este servicio gestionado por Correos y Telégrafos, S.A. La documentación aportada por XFERA, a través de INTRUM, para acreditar que hizo el preceptivo requerimiento previo de pago es la siguiente: 1. Certificado de Intrum Justitia antes mencionado. 2. Carta personalizada a nombre del denunciante a la dirección postal que figura en los ficheros de XFERA (***DIRECCION.1), con código de referencia 08804420, de fecha 01/06/2016. En ella le requieren el pago de la deuda pendiente, que asciende a 511, 95 euros y le advierten que en caso de impago sus datos podrán ser incluidos en los ficheros de solvencia ASNEF y BADEXCUG. 3. Un certificado de fecha 12/12/2017 firmado por DIFUSIÓN 7. En primer término se ofrece la siguiente información: <<Nombre de los ficheros originales: YOIGO 01/06/2016; ABOGADOS 27/07/2016. (…) Nombre del destinatario: A.A.A.. CIF del destinatario: DNI: ***DNI.1. Nº de Referencia: ***TELEFONO.3-REF.>>. Seguidamente se indica que Mailing Difusión 7, S.L.U., como “proveedor de buena fe”, certifica que los registros en cuestión pertenecientes a los ficheros denominados YOIGO 01/06/2016 y ABOGADO 27/7/2016, fueron procesados en las fechas indicadas, procediéndose a imprimir las cartas destinadas a D. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 A.A.A. y, tras manipularlas y clasificarlas junto con el resto de las remesas, se depositaron en los operadores postales UNIPOST y CORREOS. 4. Copia de un albarán de entrega en Correos, que lleva impreso sello de fecha 28/07/2016, relativo a la entrega de un total de 5.996 envíos en fecha 28/07/2016. La copia de un email de D.ª B.B.B. , Responsable de Producción de la empresa DIFUSIÓN, dirigido a ***EMAIL.2. En la copia del correo aportada no consta fecha y su texto es el siguiente: <<Buenos días, Hoy os vamos a entregar un nuevo mailing de Yoigo>>, seguidamente detalla que corresponde a 2.611 envíos. Esta copia del email lleva impreso un sello de UNIPOST, S.A., con la fecha 03/06/2016 y debajo la leyenda “Conforme salvo examen departamento control admisión”.>> TERCERO: Con fecha 12/06/2018 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a XFERA MÓVILES, S.A., por presunta infracción de los artículos 6.1 y 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas ambas como infracciones graves en los artículos 44.3.
  3. b)y 44.3.
  4. c)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la referida Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, XFERA MÓVILES, mediante escrito de fecha 28/06/2018, formuló alegaciones en las que solicitó que se acordara el sobreseimiento del expediente con el consiguiente archivo de actuaciones; subsidiariamente, para el caso de que no prosperase su pretensión, que se le impusiera una sanción por infracción leve en su grado mínimo y, subsidiariamente respecto a las pretensiones anteriores, la imposición de una sanción por infracción leve en su grado medio. En apoyo de tales pretensiones invocó los siguientes argumentos: 1.- Manifiesta que los datos personales del denunciante fueron tratados “con base en el consentimiento recabado por YOIGO”. Afirma que el tratamiento se efectuó, en todo momento, de acuerdo con el artículo 6.1 LOPD y los artículos 12 y siguientes del RLOPD. De ello concluye que no están presentes los elementos integrantes del tipo infractor, por lo que la AEPD, en su opinión, incurre en una vulneración del principio de tipicidad. Explica que los datos de carácter personal del denunciante fueron tratados en virtud del consentimiento recabado por YOIGO con ocasión de la contratación presencial, a través del distribuidor The Phone House (TPH), de las líneas de móvil ***TELEFONO.1 (i), ***TELEFONO.2 (
  5. ii)y ***TELEFONO.3 (iii). Considera que el acuerdo de inicio procede de forma errónea al motivar la imputación de la infracción del artículo 6.1 LOPD en el tratamiento de los datos del denunciante vinculado a la línea ***TELEFONO.1 (i), pues los contratos de las líneas (
  6. ii)y (iii) se celebraron dos y cinco días después, respectivamente, al de la línea ***TELEFONO.1 (
  7. i)y en el mismo establecimiento, lo que indica que fue la misma persona, quien se identificó mediante la aportación y exhibición de su documento de identidad, quien realizó las tres contrataciones y prestó su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 consentimiento en las tres ocasiones para que YOIGO tratara sus datos. Ante la falta de la copia del contrato relativo a la línea ***TELEFONO.1 (i), la denunciada rechaza que esta circunstancia pueda ser analizada y valorada de forma aislada, sin tener en cuenta las otras dos contrataciones que, en su opinión, la misma persona celebró en el mismo establecimiento pocos días después. Y añade que esa copia del contrato se haya en poder de TPH y procederá a solicitarla en fase de prueba. 2.- Respecto a la inclusión de los datos del denunciante en ficheros de solvencia expone que no se cumplen los elementos del tipo que integran la infracción tipificada en el artículo 44.3.c LOPD, por lo que se ha vulnerado el principio de tipicidad. A ese respecto afirma que la inclusión en el fichero ASNEF de los datos del denunciante se produjo con todas las condiciones que legalmente se exigen. Añade que, antes de que le fuera notificado por la AEPD el requerimiento informativo del E/05110/2017, condonó la deuda al denunciante y dio de baja sus datos del fichero ASNEF. Y que, una vez que el requerimiento de información del expediente E/05110/2017 le fue notificado comunicó a SALUS INVERSIONES Y RECUPERACIONES la denuncia que el denunciante había interpuesto. 3.- Considera que la AEPD ha vulnerado los principios de presunción de inocencia y tipicidad. Indica que la conducta infractora que le atribuye se basa en la ausencia de determinados documentos (la copia del contrato de la línea móvil (
  8. i)lo que no es suficiente a su juicio, dadas las circunstancias que concurren, para poder sancionar sin infringir el principio de tipicidad. 4. Respecto a las circunstancias que inciden en la determinación del importe de la sanción, discrepa de la decisión de la Agencia y considera que procede aplicar los apartados
  9. b)y
  10. a)del artículo 45.5 LOPD. En ese sentido alega que anuló las facturas emitidas a nombre del denunciante antes de que la Inspección le notificara el requerimiento informativo. Además, suspendió el procedimiento de recobro al denunciante y finalizó el tratamiento de sus datos, incluida la comunicación a ASNEF, tal y como lo acreditó en el curso de las actuaciones de investigación previa. Considera errónea la aplicación que la AEPD hace en el acuerdo de inicio del artículo 45.4 LOPD, pues únicamente aprecia la existencia de circunstancias agravantes. Solicita la aplicación como atenuantes de las circunstancias descritas en los apartados b), c),
  11. d)e),
  12. f)
  13. h)e
  14. i)del artículo 45.4 LOPD. QUINTO: Con fecha 31/10/2018, de conformidad con lo establecido en el artículo 77 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se abrió un período de prueba en el que se acordó practicar las siguientes diligencias: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta y su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 2. 3. 4. 5. documentación adjunta, los documentos obtenidos y generados por los Servicios de Inspección ante XFERA MÓVILES y el Informe de actuaciones previas de Inspección; documentos que integran el expediente E/05110/2017. Dar por reproducidas a efectos probatorios las alegaciones al acuerdo de inicio del PS/00251/2018 presentadas por la denunciada y la documentación que a ellas acompaña. Se incorporan al expediente, a efectos de prueba, los escritos presentados en esta Agencia por el denunciante en fecha 16/06/2018, con número de registro de entrada 179425/2018 y 179878/2018, así como la documentación anexa al primero de ellos en lo que guarde relación con los hechos que motivan la apertura del presente expediente. Se solicita al denunciante que remita los documentos relacionados con los hechos objeto de la denuncia que obren en su poder y que no hubiera aportado anteriormente. Se le informa de que, por razones tecnológicas, no es posible acceder a la dirección de DROPBOX que nos facilitó para obtener más documentación vinculada a los hechos denunciados, por lo que se le insta a que nos de traslado de los documentos depositados en tal dirección que guarden relación con la denuncia si así lo estima oportuno. Se solicita a XFERA MÓVILES que remita a esta Agencia copia de los documentos siguientes: 5.1. Los que acrediten que -tal y como afirmó en sus alegaciones al acuerdo de inicio, folio 4 del escrito presentado- comunicó a SALUS INVERSIONES Y RECUPERACIONES, S.L., la denuncia interpuesta por el denunciante. Se le informa de que debería aportar la copia de la comunicación y de los documentos que acrediten el envío y su recepción por la entidad destinataria. 5.2. Copia de cualquier otra comunicación dirigida a SALUS INVERSIONES Y RECUPERACIONES, S.L., que guarde relación con los hechos que son objeto del presente expediente sancionador. A. La notificación a XFERA MÓVILES del acuerdo de apertura del periodo de prueba y de las pruebas a las que debía dar respuesta en un plazo de diez días hábiles tuvo lugar el 02/11/2018, fecha en la que la entidad accedió a la notificación (folio 479). Así pues, el plazo otorgado para evacuar ese trámite finalizaba el día 19/11/2018. En esa misma fecha se recibió en la Subdirección de Inspección de Datos un email del representante de XFERA MÓVILES, D. C.C.C. en el que expuso que, “dado que el Registro Electrónico de la AEPD se encuentra no disponible”, “Ante el riesgo de no poder presentar los documentos requeridos”, solicitaba conforme al artículo 32 de la LPACAP que se le concediera una ampliación del plazo inicialmente otorgado. Sobre ese particular han de hacerse varias consideraciones: La primera de ellas, que a fecha de hoy no se ha recibido en esta Agencia la documentación que fue solicitada a XFERA en fase probatoria, aunque sí se han recibido otros escritos de la entidad, como el de fecha 26/11/2018 (a través de la sede electrónica) en el que pide copia del expediente. Recordemos que se le pidió como prueba que acreditara documentalmente haber notificado a SALUS INVERSIONES Y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25 RECUPERACIONES, S.L., que puso en su conocimiento, nada más recibir el requerimiento informativo de la Inspección de Datos, la denuncia interpuesta por el afectado. Esto, porque en su escrito de alegaciones al acuerdo de inicio (folio 4 de su escrito, folio 469 del expediente administrativo) declaró: “Así mismo, y a este respecto, hemos de poner de manifiesto que una vez el requerimiento de información del Expediente nº E/05110/2017 fuese notificado a YOIGO, mi representada comunicó la Denuncia interpuesta por el Denunciante a la empresa SALUS INVERSIONES Y RECUPERACIONES, S.L.” En segundo término, que, si bien cabe aceptar que durante algunas horas en el transcurso del día 19/11/2018 el registro electrónico de la AEPD pudiera no haber estado operativo - existen numerosos documentos presentados en la sede en esa fecha- esa circunstancia no era óbice para que XFERA pudiera haber remitido la documentación mediante correo postal o bien, adjunta a su escrito, a través de email. En todo caso podría haberlos presentado con posterioridad al transcurso del plazo de prueba, al amparo de lo prevenido en el artículo 76.1 de la LPACAP. Lo cierto es, sin embargo, que al tiempo de dictar la resolución no se tiene noticia de su presentación en el registro de este organismo. Sobre esta cuestión se ha de añadir que el email que la entidad denunciada remitió a la dirección electrónica de la Inspección de Datos solicitando una ampliación del plazo fue comunicado al instructor del expediente diez días después, el 29/11/2018, cuando ya estaba firmada y notificada la propuesta de resolución y, por tanto, sin que cupiera posibilidad de acordar la ampliación de plazo solicitada. En relación con el denunciante, a quien se le remitió por correo postal una carta con las pruebas a las que debía responder -documento firmado el 31/10/2018-, no se tiene constancia de que a fecha 20/11/2018 la carta enviada por la AEPD haya sido entregada por el Servicio de Correos. B. XFERA MÓVILES propuso en sus alegaciones al acuerdo de inicio del PS/251/2018 que la AEPD practicara la siguiente prueba: “…que se requiera a The Phone House Spain, S.L.U., con domicilio en Edificio Ática I, Vía de las Dos Castillas 33,28224, Pozuelo de Alarcón, Madrid (España) para que aporte toda la documentación e información que conserve, bien directamente, bien a través de cualquiera de sus contratistas y/o proveedores en relación con el contrato de alta de la línea de teléfono móvil con número ***TELEFONO.1 celebrado el 1 de marzo de 2016 entre YOIGO y A.A.A. con NIF ***DNI.1, incluyendo una copia del citado contrato”. (El subrayado es de la Agencia) En el mismo escrito en el que la instructora del expediente comunicaba a XFERA MÓVILES la apertura del periodo de prueba y las diligencias probatorias a las que debía responder se le informó -razonando el porqué de tal decisión- de que la prueba que había propuesto (alegación sexta de su escrito de alegaciones al acuerdo de inicio) había sido rechazada debido a su manifiesta improcedencia. La prueba propuesta por XFERA MÓVILES –que consistía en que la Agencia requiriese a THE PHONE HOUSE (TPH) para que le facilitara el contrato celebrado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 entre YOIGO y el denunciante relativo a la línea ***TELEFONO.1– implicaba trasladar a esta Agencia la carga probatoria que única y exclusivamente a ella le incumbe. XFERA, en su condición de responsable del tratamiento de los datos personales del denunciante, quien figura en sus sistemas como titular de un servicio contratado con ella a través del Distribuidor TPH y vinculado a la línea ***TELEFONO.1, necesariamente debía tener en su poder la documentación que le permitiera acreditar ante la Agencia Española de Protección de Datos que ese tratamiento fue legítimo y respetuoso con el principio de exactitud y veracidad. La falta de diligencia de la denunciada resulta más evidente a la luz del contrato de Agencia que tenía suscrito con TPH. En él se estipulaba que, en un plazo máximo de tres meses desde la fecha de cada uno de los contratos que se realizaran a nombre de XFERA a través del Distribuidor, éste debía remitir a XFERA -responsable del fichero- los documentos recabados del cliente: la copia del contrato firmado, la copia del DNI y de un documento acreditativo de la titularidad de los datos bancarios facilitados para la domiciliación del pago de facturas (estipulación 7.1.1.6, folio 378). Se pone de manifiesto, por tanto, que XFERA MÓVILES no efectuó ningún control ni verificó si esa documentación le había sido remitida por TPH y obraba en su poder o si, por el contrario, faltaba la documentación vinculada al contrato que la Distribuidora debió de haberle enviado, lo que le habría permitido reclamar la documentación en un plazo prudencial. SEXTO: El 26/11/2018 la denunciada solicitó que se le hiciera entrega de una copia del expediente. En fecha 29/11/2018 se le dio traslado por correo postal de la copia del expediente ante la imposibilidad técnica, por el excesivo volumen, de hacer el envío a través de la aplicación notific@. SÉPTIMO: Con fecha 22/11/2018 se formuló propuesta de resolución en los siguientes términos: <<PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a XFERA MÓVILES, S.A. con NIF A82528548, con multa de 70.000 euros (setenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  15. b)de dicha norma. SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a XFERA MÓVILES, S.A. con NIF A82528548, con multa de 80.000 euros (ochenta mil euros) por la infracción del artículo 4.3 de la LOPD en relación con el artículo 29.4 de la misma norma, y en relación con el artículo 38.1.
  16. a)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  17. c)de dicha norma.>> OCTAVO: En fecha 22/11/2018 se puso a disposición de XFERA MÓVILES en su dirección electrónica habilitada la notificación de la propuesta de resolución. La denunciada accedió a la notificación en fecha 26/11/2018. Así consta en el Certificado expedido por el Servicio de Notificaciones Electrónicas y de Dirección Electrónica Habilitada de la FNMT-RCM. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 Por tanto, a tenor del artículo 73 de la LPACAP, el plazo para formular alegaciones a la propuesta de resolución terminaba el 11/12/2018. Con fecha 12/12/2018 no consta en esta Agencia que la entidad denunciada haya presentado dentro del plazo otorgado a tal fin sus alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: A.A.A., con NIF ***DNI.1 y dirección electrónica ***EMAIL.3, denuncia que XFERA MÓVILES ha dado de alta varias líneas telefónicas a su nombre sin su consentimiento las cuales han generado deudas cuyo impago ha motivado que sus datos hayan sido comunicados a ficheros de solvencia patrimonial. SEGUNDO: El denunciante ha aportado copia de una denuncia formulada ante la Generalitat de Cataluña (CAT12), relativa al alta sin su consentimiento de varias líneas telefónicas en una tienda de THE PHONE HOUSE en ***LOCALIDAD.1. En escrito adjunto indica que al solicitar una tarjeta de crédito a su entidad bancaria le ha sido denegada por estar incluido en el fichero de morosos ASNEF, averiguando posteriormente que la inclusión la realiza XFERA por una deuda de 3.064 euros, consiguiendo que le envíen las facturas e informándose que la contratación de las líneas se realizó en ***LOCALIDAD.2 en una tienda de THE PHONE HOUSE. TERCERO: El denunciante aportó en fecha 15/09/2017, en respuesta al requerimiento de información de la Inspección de Datos, la copia de su DNI; dicho documento tiene como fecha límite de validez el 13/07/2020 e incorpora como domicilio la ***DIRECCION.2. En escrito de 22/09/2017 el denunciante aporta su DNI “antiguo no caducado”. El documento tiene como fecha límite de validez el 28/02/2018 e incorpora como domicilio ***DIRECCION.3. El denunciante explica que “en las facturas he visto que han puesto esta dirección en alguna. Entiendo que tienen una fotocopia de mi DNI antiguo. Mi DNI nuevo ya lo adjunté con dirección en ***LOCALIDAD.3 (aunque ahora vivo en ***LOCALIDAD.4)”. El denunciante mediante escrito de 16/06/2018 comunica un cambio de domicilio que radica ahora en ***LOCALIDAD.5. CUARTO: Consta que el denunciante se dirigió a EQUIFAX el 19/04/2017 ejercitando el derecho de acceso a los datos que figuraban en el fichero ASNEF. La entidad le respondió el 20/04/2017 aportando la información asociada a su identificador (NIF) en la que figuraba la inclusión de sus datos personales en el citado fichero como consecuencia de una deuda por importe de 3.064,91 euros, dada de alta el 24/06/2016, constando como entidad informante XFERA MOVILES, S.A. (Folio 32) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 QUINTO: En los sistemas informáticos de XFERA figuran registrados los datos personales del denunciante: nombre y apellidos, NIF, dirección electrónica ***EMAIL.1 y como teléfono de contacto la línea asociada al número ***TELEFONO.4; como dirección postal la ***DIRECCION.1. Asimismo, figuran vinculados al denunciante tres líneas de telefonía móvil asociadas a los números ***TELEFONO.1 (
  18. i)***TELEFONO.2 (
  19. ii)y ***TELEFONO.3 (iii): SEXTO: XFERA no ha aportado copia del contrato de la línea de telefonía móvil asociada al número ***TELEFONO.1 (
  20. i)señalando que “ha sido solicitado al distribuidor The Phone House, S.L.U. sin que a fecha del presente escrito haya sido remitido por él”. XFERA ha aportado copia de los contratos de las líneas ***TELEFONO.2 (
  21. ii)y ***TELEFONO.3 (iii). Estos contratos fueron suscritos en el Distribuidor THE PHONE HOUSE el 03/03/2016 y el 07/03/2016 respectivamente. Se aporta copia del DNI del denunciante con fecha de validez hasta el 13/07/2020 y cuya firma no parece coincidir con la que consta en los contratos. SÉPTIMO: XFERA manifestó, en respuesta al requerimiento de la Inspección de la AEPD, que se emitieron a nombre del denunciante las facturas que relaciona en el punto 1.3 de su escrito: 1- ***FACTURA.1, marzo de 2016, con un importe de 311,11 euros 2 - ***FACTURA.2, abril de 2016, con un importe de 200,84 euros 3 - ***FACTURA.3, mayo de 2016, con un importe de 191,96 euros 4 - ***FACTURA.4, junio de 2016, con un importe de 177,00 euros 5 - ***FACTURA.5, julio de 2016, con un importe de 177,00 euros 6 - ***FACTURA.6, agosto de 2016, con un importe de 2.007,00 euros Añadió que en la actualidad todas ellas se encuentran “condonadas en los sistemas de YOIGO por cesión de créditos realizada en fecha 19 de abril de 2017 a la empresa SALUS INVERSIONES Y RECUPERACIONES, S.L.” (Folio 425) OCTAVO: XFERA manifestó en su escrito de respuesta al requerimiento informativo de la Inspección de la AEPD que “las facturas que motivaron la inclusión de los datos en ficheros de solvencia y crédito son las que aparecen relacionadas en el apartado 1.3 del presente escrito”. (Folio 428) NOVENO: Obran en el expediente, aportadas por el denunciante, la copia de las facturas mencionadas en el Hecho Probado séptimo de las que XFERA facilitó a esta Agencia únicamente una relación. Identificadas por el número de orden, la 1 obra al folio 37, la 2 en el folio 38, la 3 en el 39, la 4 en el 40, la 5 en el 41 y la 6 en el folio 11. En todas ellas existen importe facturados por el servicio prestado por la línea número***TELEFONO.1 (
  22. i)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 DÉCIMO: XFERA ha aportado copia del contrato suscrito con THE PHONE HOUSE el 22/02/2010. En su Clausula 7, Procedimientos Operativos, se señala que TPH en nombre de XFERA formalizará con el cliente el formulario de alta asegurando su debida cumplimentación y deberá solicitar, en caso de personas físicas:  “ Fotocopia del Número de Identificación Fisca del firmante, o fotocopia de Pasaporte ….vigentes a la fecha del contrato.  Solo para pospago: documentos acreditativos de los datos de cobro: adeudo domiciliado de antigüedad anterior a tres meses en el que figuren identificados los 20 dígitos de la cuenta y su titular o titulares o Fotocopia de portada de cartilla bancaria con más de tres meses de antigüedad y fotocopia de movimientos domiciliados de menos de tres meses (…) 7. Verificar la documentación a presentar por el cliente (…) En el momento de la contratación, The Phone House verificará inexcusablemente los datos de identificación del cliente, y en su caso, los del firmante con los documentos originales. En ningún caso se procederá a dar un Alta para un cliente cuyos datos y/o documentación presenten alguna duda en cuanto a su veracidad/vigencia. Las verificaciones que siempre deben realizarse son las siguientes: a Que las fotocopias de los documentos coinciden con los originales presentados. b Que los datos de los documentos acompañados coinciden con los cumplimentados en el contrato de abono. c Que la firma del DNI, Pasaporte, etc., coincide con la del formulario de alta. d Que la persona que firma coincide con la del documento de identidad y es mayor de dieciocho años The Phone House no comercializará el servicio bajo ningún concepto a alguien que se niegue a identificarse o no presente alguno de los documentos mencionados en la presente estipulación”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  23. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 II Los principios generales de protección de datos regulados en los artículos 4 a 12 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. La Audiencia Nacional, en diversas sentencias (entre otras SSAN de 24/03/2004 y 7/07/2006) ha señalado que los principios generales descritos en dicho Título definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. El artículo 6 de la LOPD se refiere al principio del consentimiento en el tratamiento de los datos de carácter personal y dispone bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  24. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) . El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. (El subrayado es de la AEPD). El artículo 44.3. de la LOPD tipifica como infracciones graves: “
  25. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.
  26. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo que sea constitutivo de infracción muy grave”. III Se atribuye a XFERA la comisión de dos infracciones de la LOPD, artículos 6.1 y 4.3, materializadas en haber tratado los datos personales del denunciante asociados a un contrato de telefonía móvil vinculado al número ***TELEFONO.1 (
  27. i)sin su consentimiento y en la posterior inclusión en ficheros de morosidad de sus datos personales asociados a una deuda derivada también del citado contrato, por lo que la deuda informada no era cierta, ni vencida ni exigible respecto a su persona. Por lo que concierne a la infracción del artículo 6.1 de la LOPD se hacen las siguientes reflexiones: A. A tenor del artículo 6 de la LOPD el tratamiento de datos personales exige recabar el consentimiento de su titular; consentimiento que la ley obliga a que sea “inequívoco”, esto es, que no admita duda o equivocación. A través del consentimiento al tratamiento de los datos personales que otorga su titular otorga éste ejerce de forma efectiva el poder de control y de disposición sobre ellos. En esa línea, el Tribunal Constitucional, en su STC 292/2000, de 30 de noviembre (Fundamento Jurídico 7), señala que “(…)Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La LOPD prevé que sea el titular de los datos quien otorgue su consentimiento inequívoco al tratamiento, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.
  28. h)de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25 respecto a los “datos que le conciernan”. El tratamiento de los datos personales sin contar con el consentimiento inequívoco de su titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho fundamental. Sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. No obstante, el apartado 2 del artículo 6 LOPD dispensa de la necesidad de recabar el consentimiento del afectado cuando el tratamiento se refiere a las partes de un contrato o precontrato y es necesario para su mantenimiento o cumplimiento. Esto, porque el consentimiento para tratar los datos personales está implícito en el consentimiento otorgado a la contratación, pero, únicamente, en la medida en que el referido tratamiento sea el preciso para la ejecución del contrato y si quien facilita los datos personales con ocasión de la contratación ha sido efectivamente su titular. B. La documentación que obra en el expediente demuestra que XFERA incorporó a sus ficheros y trató los datos personales del denunciante (nombre, dos apellidos y NIF) vinculados a la línea móvil ***TELEFONO.1 (i). Como se recoge en el Hecho Probado quinto, en los sistemas informáticos de XFERA se encuentran registrados los datos personales del denunciante, nombre, apellidos y NIF, asignándole como dirección postal la ***DIRECCION.1 (que no coincide con ninguna de las que él nos ha facilitado), asociados a la línea ***TELEFONO.1 (i). Sus datos aparecen también vinculados a otras dos líneas: ***TELEFONO.2 (
  29. ii)y ***TELEFONO.3 (iii). El denunciante ha negado haber contratado con XFERA ninguna de las tres líneas precitadas, por lo que se debe tener en cuenta que la Audiencia Nacional viene considerando que cuando el titular de los datos niega la contratación corresponde la carga de la prueba a quien afirma su existencia. Reiteradamente ha manifestado que el responsable del tratamiento de datos de terceros debe recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Citamos, por todas, la SAN de 31/05/2006 (Rec. 539/2004) que en su Fundamento de Derecho Cuarto dice: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD) En el curso de las actuaciones de investigación previa, con la finalidad de que XFERA pudiera demostrar que recabó y obtuvo del afectado el consentimiento para el tratamiento de sus datos personales, se requirió a la entidad para que aportara algún documento que probara la supuesta contratación por el afectado. La operadora aportó, respecto a las líneas ii y iii la copia de sendos contratos suscritos a nombre del denunciante (nombre, dos apellidos y NIF) en fechas 3 y 7 de marzo de 2016 (folios 364 a 367) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 Ambos contratos -que incluyen terminales móviles financiados Apple IPH 6S- se celebraron en un punto de venta del Distribuidor TPH. En ellos constan como datos del titular el nombre, dos apellidos y NIF del denunciante y una dirección postal en ***DIRECCION.1. Los datos bancarios para la domiciliación de los pagos en ambos contratos pertenecen a la entidad XXXX y a una cuenta finalizada en YY que el denunciante no reconoce como suya. La denunciada facilitó, asimismo, la copia de un DNI del denunciante (idéntico al que el denunciante remitió a la AEPD) con fecha límite de validez 13/07/2020 (folios 361 y 362) pudiendo constatar que existe a simple vista una diferencia importante entre la firma que nos ofrece el DNI y la de los contratos. Como se expuso en el acuerdo de inicio, habida cuenta de que XFERA adoptó una mínima diligencia con ocasión de la contratación de esos servicios a fin de acreditar la identidad del contratante, y pese a que la conducta en sí misma pudiera ser antijurídica -como sucedería en el caso de que, como parece haber ocurrido, un tercero suplantara la identidad del denunciante- no cabría exigir a la entidad responsabilidad administrativa sancionadora. Sin embargo, XFERA no ha aportado, en relación con la línea ***TELEFONO.1 (i), ningún contrato que legitime el tratamiento de los datos personales del denunciante que la entidad llevó a cabo vinculado a aquélla. La entidad se ha limitado a afirmar que esta línea se dio de alta a través del mismo Distribuidor, TPH, en fecha 01/03/2016. Según éstos sería la primera contratación de las tres que XFERA efectuó a nombre del denunciante, pues las otras dos datan del 03/03/2016 y del 07/03/2016 (Hecho probado sexto) XFERA MÓVILES no ha podido aportar ningún documento, en ningún soporte, del que se infiera que recabó y obtuvo el consentimiento del denunciante a la contratación del servicio que dio de alta a su nombre, ***TELEFONO.1 (i), ni tampoco documento alguno del que se pueda concluir que obró, en el presente caso, con la diligencia mínima exigible a fin de identificar a la persona que facilitó como suyos los datos personales que han sido objeto de tratamiento. La denunciada ha justificado la omisión de ese documento en que TPH se ha negado a facilitárselo. Por tal motivo solicitó en sus alegaciones al acuerdo de inicio que la AEPD recabara en pruebas esta documentación a TPH, prueba que fue desestimada por considerarla manifiestamente improcedente ya que implicaba trasladar a esta Agencia la carga probatoria que incumbe exclusivamente a la denunciada. En definitiva, XFERA MÓVILES carecía de legitimación para el tratamiento de los datos del denunciante que llevó a cabo en relación con la línea ***TELEFONO.1 (
  30. i)No cabe amparar el tratamiento efectuado en el artículo 6.2 LOPD, pues ni ha acreditado que existiera un contrato a nombre del afectado ni que él fuese la persona que otorgó el consentimiento a la contratación. Tampoco acredita haber obrado diligentemente y haber verificado la identidad de quien facilitó como suyos el nombre, apellidos y NIF del denunciante. C. XFERA ha alegado en su defensa que la ausencia de documentación acreditativa de la contratación de la referida línea no puede analizarse ni valorarse, dice, “de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 aislada” “sin tener en cuenta las otras contrataciones” que se hicieron unos días después en el mismo Distribuidor y, en su opinión, por la misma persona. Efectivamente la línea ***TELEFONO.1 (
  31. i)se habría contratado, a tenor de la información facilitada por XFERA, el 01/03/2016 en tanto que las otras dos son de fechas 3 y 7 de marzo de 2016. Lo único cierto, sin embargo, es que estamos en presencia de tres contratos independientes entre sí celebrados en días distintos, a través de un mismo Distribuidor y que respecto al más antiguo de los tres la operadora no ha aportado ningún documento que acredite la contratación y, por tanto, el consentimiento para el tratamiento de los datos personales asociados a aquél. Tampoco documento o elemento alguno del que pueda inferirse una actuación diligente de la denunciada en el cumplimiento de las obligaciones que le imponen la LOPD y normas de desarrollo. Pretender justificar que el tratamiento de los datos del denunciante asociados a la línea ***TELEFONO.1 (
  32. i)es legítimo porque XFERA ha aportado copia de los contratos firmados y del DNI del denunciante en relación con otras dos líneas distintas que fueron contratadas unos días después por una persona que también se identificó con el nombre, apellidos y NIF del denunciante y con el mismo domicilio, carece de soporte jurídico. D. El nacimiento de responsabilidad sancionadora presupone la existencia del elemento de la culpabilidad en cualquiera de sus manifestaciones: dolo, culpa o culpa levísima. En el ámbito del Derecho Administrativo Sancionador no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor dado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible que este elemento esté presente como presupuesto para su imposición (STC 76/1999) La entidad ha omitido la diligencia que, con carácter mínimo, es exigible para poder acreditar su legitimación para el tratamiento de los datos personales del denunciante vinculados a la contratación de la línea ***TELEFONO.1 (i). Llegados a este punto procede recordar que según el contrato de Agencia suscrito entre XFERA MÓVILES y la Distribuidora TPH ésta debía darle traslado con periodicidad trimestral de los originales de los contratos que celebraran los clientes, firmados por el titular, así como de la copia del DNI o pasaporte solicitado al cliente para validar su identidad y del resguardo bancario que hiciera prueba de su condición de titular de la cuenta bancaria de domiciliación de pagos. La omisión, en relación con la línea controvertida, de toda la documentación precitada evidencia que XFERA MÓVILES no verificó si la Distribuidora había actuado con arreglo a las estipulaciones contractuales y si, efectivamente, le había remitido los documentos vinculados al contrato de telefonía. Documentos que constituían una prueba indispensable de la legitimidad del tratamiento de datos efectuado; prueba que XFERA debía obtener y conservar en su poder para estar en condiciones de demostrar que actuó con arreglo a la normativa de protección de datos al vincular los datos del denunciante a la línea controvertida. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 Es más, a la luz de los hechos que constan en el expediente XFERA no sólo no verificó si tenía en su poder los medios necesarios para demostrar la legitimidad del tratamiento de datos personales efectuado al tiempo de dar de alta la línea de telefonía -del protocolo descrito en el contrato con TPH se desprende que bastaba con que la Distribuidora incorporase los datos a los sistemas de la operadora-. Tampoco hizo esa comprobación en los tres meses siguientes (plazo máximo previsto para que los documentos pasaran de TPH a XFERA) ni más adelante, cuando tomó la decisión de vender la deuda atribuida al denunciante a SALUS INVERSIONES Y RECUPERACIONES, S.L. Recordemos que XFERA MÓVILES ha declarado que la deuda fue cedida a esta entidad y que ese fue el motivo por el cual en fecha 19/04/2017 canceló la incidencia del fichero ASNEF. En definitiva, en tanto XFERA MÓVILES trató los datos del denunciante vinculados al alta de una línea móvil sin recabar su consentimiento y sin actuar con la diligencia mínima exigible en el cumplimiento de la obligación impuesta por la LOPD, vulneró el artículo 6.1 LOPD, conducta subsumible en el tipo infractor del artículo 44.3.
  33. b)de dicha Ley Orgánica. III Por lo que respecta a la presunta infracción del artículo 4.3 de la LOPD que se imputa a XFERA han hacerse las siguientes consideraciones: Las normas jurídicas reproducidas en el Fundamento de Derecho I ponen de manifiesto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige que la deuda sea cierta, vencida, exigible y que haya resultado impagada. Como se expone en el Fundamento precedente, XFERA no ha acreditado que el denunciante fuera la persona que contrató el servicio de la línea ***TELEFONO.1 (i), lo que implica que tampoco ha acreditado su condición de deudor; esto es, que él sea el titular de la deuda que deriva de dicho contrato. Paralelamente, consta en el expediente que XFERA informó los datos personales del denunciante al fichero ASNEF con fecha de alta 24/06/2016 por un saldo impagado de 3.064,91 euros y que a fecha 19/04/2017 esa incidencia permanecía aún incluida en el fichero. XFERA, con carácter previo a la comunicación de los datos de un tercero a un fichero común, tenía la obligación de asegurarse de que se cumplían todos los requisitos a los que las normas de protección de datos supeditan la legalidad de tal comunicación; por lo que aquí interesa que la deuda informada era cierta, vencida y exigible respecto a la persona del denunciante (artículo 38.1.a. RLOPD) Pues bien, en los Hechos Probados séptimo y noveno se contienen una relación de las facturas que la denunciada emitió a nombre del denunciante (entre marzo de 2016 y agosto de 2016) Del contenido de las facturas (Hecho probado noveno) se evidencia que, en todas ellas, se incluyen entre los conceptos facturados el servicio de la línea controvertida, ***TELEFONO.1 (i). Esto implica, por tanto, que en la deuda que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25 XFERA informó a ASNEF asociada a los datos personales del denunciante estaba comprendido el importe de los servicios prestados a nombre del denunciante pero respecto a los cuales la denunciada no ha podido acreditar que fuera él quien prestó el consentimiento a la contratación ni tampoco que respecto a ella tuviera el denunciante la condición de deudor. Insistir, por otra parte, en que el artículo 43 del RLOPD refuerza la diligencia que es exigible al acreedor que informa al fichero datos adversos de un tercero pues establece: “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) Se concluye de lo expuesto que los datos personales del denunciante fueron incluidos por XFERA en un fichero de morosos vinculados a una deuda a la que él era ajeno; deuda que no era cierta, ni vencida ni exigible desde la perspectiva del afectado por cuanto no se ha acreditado su condición de deudor. La información relativa al denunciante que XFERA comunicó a ASNEF no se ajustó al principio de exactitud y veracidad, corolario del principio de calidad del dato que proclama el artículo 4.3 de la LOPD. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificada en el artículo 44.3.
  34. c)de la citada norma. V Parece conveniente hacer una breve referencia a las afirmaciones efectuadas por la denunciada en sus escritos de respuesta al requerimiento informativo y de alegaciones al acuerdo de inicio, dada la relevancia que quiere hacer derivar de ellas en aras de la aplicación del artículo 45.5.
  35. b)LOPD. Reacción diligente que a su juicio se concretaría en una pretendida “condonación de la deuda” al denunciante y en una “cancelación de la incidencia” asociada a sus datos en el fichero ASNEF. La denunciada aduce (folio 6 de su escrito, 471 del expediente administrativo) que “…anuló las facturas emitidas al denunciante mucho antes de la notificación a YOIGO del requerimiento de información del Expediente nº E/05110/2017, y procedió a la suspensión de todo procedimiento de recobro de la deuda así como a la finalización de los tratamientos de sus datos, incluidos su comunicación a ASNEF…” Alega también (folio 4 de su escrito, 469 del expediente administrativo) que “antes de que el requerimiento de información del Expediente nº E/0510/2017 fuese notificado a YOIGO, mi representada ya había condonado la deuda con el Denunciante y había dado de baja sus datos en el fichero ….ASNEF.” Y añade que, “una vez que el requerimiento de información del Expediente nº E/05110/2017 fuese notificado a YOIGO, mi representada comunicó la denuncia interpuesta por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 denunciante a la empresa SALUS INVERSIONES…” (El subrayado es de la AEPD) Esta última afirmación ha de ponerse en relación con lo manifestado en el curso de las investigaciones previas en las que manifestó que “las facturas se encuentran condonadas en los sistemas de YOIGO por cesión de créditos realizada en fecha 19 de abril de 2017 a la empresa SALUS INVERSIONES…” (folio 425) Hay una evidente la confusión de la entidad cuando se refiere a las consecuencias de un negocio jurídico lucrativo, como es la venta o cesión de un crédito -en este caso la deuda atribuida al denunciante y derivada del servicio de la línea ***TELEFONO.1 (
  36. i)que dio de alta a nombre del afectado sin legitimación para ello-, como “condonación” de la deuda. En ningún caso pudo haberse condonado al denunciante la deuda que le atribuía y, al mismo tiempo, ceder la deuda a un tercer adquirente, SALUS INVERSIONES. Otra cosa distinta es que, en la medida en que cedió la deuda a una tercera entidad dejó de figurar en su haber y, en tanto XFERA no era ya formalmente titular del crédito tuvo que poner fin a las gestiones de cobro y a su comunicación a ficheros comunes. La conducta de XFERA antes mencionada no sólo no permite apreciar la pretendida reacción diligente; más al contrario, lo que se observa es un nuevo tratamiento de los datos del denunciante -materializado en la comunicación a un tercero, el cesionario del crédito- sin legitimación para ello. Se añade a lo expuesto que, iniciadas las actuaciones de investigación previa, la denunciada no ha llegado a acreditar que, tal y como afirmó, había puesto en conocimiento de SALUS INVERSIONES la falta de certeza de la deuda vendida, pues de haberlo hecho no habría tenido ninguna dificultad en probar ese extremo, lo que le fue requerido en fase de prueba. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  37. a)El carácter continuado de la infracción.
  38. b)El volumen de los tratamientos efectuados.
  39. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  40. d)El volumen de negocio o actividad del infractor.
  41. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  42. f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25
  43. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  44. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  45. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  46. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  47. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  48. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  49. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  50. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  51. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” A. XFERA MÓVILES solicitó en sus alegaciones al acuerdo de inicio que se aplicara el artículo 45.5 LOPD, cuyo efecto jurídico es la imposición de la sanción con arreglo a la escala que precede en gravedad a aquella prevista para la infracción efectivamente cometida. La denunciada ha solicitado que se aplique el apartado b, del precepto, “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, pretensión que ha de ser rechazada. Argumenta XFERA para justificar la estimación de esa atenuante cualificada que “anuló las facturas emitidas al Denunciante mucho antes de la notificación a YOIGO del requerimiento de información del Expediente E/5110/2017 y procedió a la suspensión de todo procedimiento de recobro de la deuda así como a la finalización de los tratamientos de datos, incluida la comunicación a ASNEF” (folio 471) Pues bien, el requerimiento informativo de la Inspección se hizo en fecha 08/11/2017. A fecha 20/04/2017 figuraban los datos incluidos en el fichero de solvencia. Sentado lo anterior no puede obviarse que XFERA manifestó en su respuesta al requerimiento informativo de la Inspección que dio de baja la anotación en ASNEF el 19/04/2017 “con motivo de la cesión de deuda a SALUS INVERSIONES C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25 Y RECUPERACIONES, S.L.”. En esa línea argumental hemos de recordar también que esta entidad manifestó que las deudas atribuidas al denunciante se encontraban “condonadas en los sistemas de YOIGO por cesión de créditos realizada el 19 de abril de 2017” a SALUS INVERSIONES. Así pues, resulta evidente que el motivo por el que XFERA dio de baja del fichero de solvencia los datos del denunciante y anuló la deuda que le atribuía no respondió a una reacción diligente ante la constatación por su parte de que había vulnerado la normativa de protección de datos sino a su interés empresarial. No existió en ningún caso -no consta acreditado- la condonación a la que se alude y que implicaría una extinción del crédito que afirma haber ostentado frente al denunciante. De ser cierta la pretendida condonación no cabría cesión de crédito alguna ya que la condonación es causa de extinción de la deuda y esa deuda no podría haber sido objeto de cesión a SALUS. En definitiva, no están presentes en el asunto examinado los elementos que integran esa atenuante cualificada. Respecto a la aplicación del artículo 45.5
  52. a)LOPD que se solicita tampoco procede su estimación. Nos remitimos a tal fin al examen de las circunstancias descritas en el artículo 45.4 LOPD cuya aplicación en calidad de atenuantes se solicita: apartados b, c, d, e, f y h. En relación con el apartado
  53. b)- volumen de tratamientos efectuados- que se invoca como atenuante en consideración a que se han visto afectados por la conducta infractora los datos de una única persona se indica que, por razones lógicas, esta circunstancia puede operar sólo como agravante y no como atenuante. La vulneración de la normativa de protección de datos respecto a uno solo de los datos personales o respecto a una única persona, es presupuesto indispensable para que la conducta infractora exista. Será a partir de entonces cuando podrá valorarse, atendiendo al volumen de los datos que han sido objeto de tratamiento, si es exponente de una mayor antijuridicidad o culpabilidad de la conducta. En cualquier caso, los datos personales tratados sin consentimiento son el NIF, nombre y dos apellidos, por lo que de apreciarse en el presente caso sería como agravante de la conducta enjuiciada. Por lo que atañe a los apartados c),
  54. d)y
  55. f)del artículo 45.4 LOPD la AEPD estima que ambas operan como agravantes, por lo que nos remitimos a los comentarios que más adelante se recogen. Sobre la pretensión de que se estime como atenuante el apartado e), ausencia de beneficios, indicar que la Audiencia Nacional, Sala de lo Contencioso Administrativo, en SAN de 17/04/2018 (Rec. 254/2017) rechazó la pretensión de la demandante, sancionada por la AEPD, de que se estimara esta circunstancia explicando que “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. Este mismo espíritu es el que recoge la SAN de 31/03/2017 (Rec. 845/2015) Tampoco es admisible estimar como atenuante el apartado
  56. h)del artículo 45.4 LOPD, la naturaleza de los perjuicios causados. Basta recordar que el denunciante conoció su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 inclusión en ficheros en 2017 cuando le denegaron una financiación; que ha estado incluido en un fichero de morosidad durante más diez meses y que, como ha señalado la Audiencia Nacional, SAN 16/02/2002, (Rec 1144/1999) “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...” B. En aras a graduar el importe de la sanción que corresponde imponer por las dos infracciones de la LOPD de las que se responsabiliza a XFERA, además de no apreciar la aplicación del artículo 45.5 LOPD estimamos que concurren las siguientes circunstancias del artículo 45.4 LOPD en calidad de agravantes: -“El carácter continuado de la infracción” (apartado a). Circunstancia que resulta aplicable tanto respecto a la vulneración del principio del consentimiento como del de calidad de los datos, pues los datos personales del denunciante (DNI, nombre y dos apellidos) han sido objeto de tratamiento sin legitimación para ello desde la fecha de alta de la línea, el 01/03/2016, y hasta al menos el 19/04/2017, cuando, dice la entidad, dio de baja la incidencia en ASNEF. Respecto al fichero ASNEF, habida cuenta de que la fecha de alta de la anotación fue el 23/06/2017, los datos del afectado permanecieron incluidos por XFERA, vulnerando el principio de exactitud y veracidad en relación con el artículo 38.1.
  57. a)RLOPD, durante casi diez meses. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) La actividad empresarial de XFERA, por su naturaleza, exige un continuo tratamiento de datos de carácter personal. La Audiencia Nacional, en SAN de 17/10/2007 (Rec. 63/2006), ha exigido a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia y precisa que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. - “El volumen de negocio o actividad del infractor” (apartado d). Constituye un hecho notorio, que no precisa prueba, el importante volumen de negocio de esta entidad, que tiene la consideración de gran empresa del sector de telecomunicaciones. - El grado de intencionalidad” (apartado,
  58. f)expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25 La falta de diligencia demostrada por XFERA en el cumplimiento de la obligación que le impone la LOPD respecto al tratamiento de los datos de terceros es, en el supuesto analizado, especialmente significativa. Esto, porque la entidad no sólo incumplió la obligación de recabar y obtener el consentimiento del titular de los datos en el momento inicial sino que además tampoco verificó que el tratamiento efectuado fuera legítimo cuando procedió a comunicar a una tercera entidad (SALUS INVERSIONES) el supuesto crédito que decía ostentar frente al afectado derivado de una línea telefónica que había dado de alta sin recabar su consentimiento. Se suma a lo expuesto que, por lo que concierne al artículo 4.3 en relación con el 29.4 y el 38.1.a, del RLOPD, el artículo 43.1 del RLOPD “refuerza” la diligencia exigible a quien informa datos de un tercero a un fichero de solvencia patrimonial al establecer que el acreedor “deberá asegurarse” que se cumplen esos requisitos cuando informa los datos personales a un fichero de morosidad. De aplicación exclusiva a la infracción del principio de calidad de los datos tipificada en el artículo 44.3.
  59. c)LOPD, junto con las ya descritas, se aprecia la concurrencia de la agravante prevista en el artículo 45.4.g LOPD: “La reincidencia por comisión de infracciones de la misma naturaleza” Disposición que ha de integrarse con el artículo 29.3 de la Ley 40/2015, de Régimen Jurídico del Sector Público, que al referirse a los criterios que serán objeto de especial consideración en la graduación de la sanción menciona, apartado d), “La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme en vía administrativa. Exponente de la agravante de reincidencia que opera en relación con la infracción tipificada en el artículo 44.3.
  60. c)LOPD, cabe citar entre otras resoluciones, las dictadas por la AEPD en los expedientes sancionadores PS/559/2017, firmada el 26/04/2018; el PS/00097/2017, firmada el 17/11/2017 o PS/00400/2016, firmada el 26/01/2017. En todas ellas se sancionó a XFERA por infracción del artículo 4.3 LOPD: Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad XFERA MÓVILES, S.A., con NIF A82528548, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  61. b)de la LOPD, una multa de 60.000 € (sesenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: IMPONER a la entidad XFERA MÓVILES, S.A., con NIF A82528548, por una infracción del artículo 4.3, en relación con el 29.4, de la LOPD, tipificada como infracción grave en el artículo 44.3.
  62. c)de la LOPD, una multa de 70.000 € (setenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  63. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  64. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.