PS-00251-2019 | Europaius

1/8 Procedimiento Nº: PS/00251/2019 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 24 de julio de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra TELEFONICA DE ESPAÑA, S.A.U. con NIF A82018474 (en lo sucesivo, la reclamada). Los motivos en que basa la reclamación son que la reclamada ha realizado diversos cargos en su cuenta bancaria, correspondientes a los consumos realizados por una línea de la que no es titular. Con fecha 3 de julio de 2018, comunica esta circunstancia a la reclamada, y el día 5 del mismo mes y año, le contestan por carta manifestando “hemos analizado su caso en detalle y no hemos observado ninguna incidencia en nuestros procesos…sentimos comunicarle que el importe es correcto…”. Además, en los recibos del banco, accede al nombre y teléfono de la otra persona. Así las cosas, ha podido devolver algunos de los recibos, pero con fecha 13 de julio de 2018, se los vuelven a cargar después de haber avisado del error. Junto con su escrito, se ha aportado la siguiente documentación: copia de los recibos erróneos cargados en su cuenta bancaría (de fechas 01/03/18, 03/04/18, 02/05/18, 01/06/18, 02/07/18 y dos de 13/07/18), contestación de la reclamada que señala que el importe es correcto y que es el propio cliente el que ha de solicitar a su entidad bancaria la devolución de los recibos que se hayan cargado incorrectamente. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). En fecha 9/10/2018 la Inspección de Datos de la AEPD dirige un requerimiento informativo a la reclamada. La reclamada con fecha 2/11/2018, manifiesta que el reclamante es titular del Contrato de servicio Movistar Fusión que incluye una línea de telefonía fija y las cuatro líneas de telecomunicaciones móviles que constan en el mismo. Añade que al recibir la reclamación del titular de la cuenta bancaria sobre cargos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 facturas que no son propias y tras realizar comprobaciones oportunas, dirige al reclamante a su banco para que pueda retroceder el mencionado cargo bancario, conforme a la legislación sobre servicios de pago. TERCERO: Con fecha 22 de julio de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada, por la presunta infracción del artículo 5.1d) del RGPD tipificada en el artículo 83.5

a)del citado RGPD. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 1 de agosto de 2019, la reclamada formula alegaciones en las que solicita el archivo del procedimiento. La reclamada pone de manifiesto, en primer término, “que los recibos mencionados, a excepción de los últimos, se refieren a fechas y a periodos de facturación anteriores a la aplicación del RGPD”. Respecto a los hechos que dan origen al expediente sancionador, manifiesta: “Que la asociación de la cuenta bancaria a otro cliente de la misma entidad bancaria ha sido ajena a la voluntad de mi representada. Asimismo, resulta de interés aclarar que ambos clientes tienen domiciliado el pago de los servicios prestados en cuenta de la misma entidad bancaria. Que interesa de poner de relieve que los recibos a los que se refiere la reclamación no han resultado finalmente abonados por parte del reclamante”. Afirma que, “los servicios prestados a los clientes que consta en los recibos mencionados están domiciliados en cuentas de la misma entidad bancaria, de lo que resulta la ausencia de infracción del principio de exactitud contenido en el artículo 5.1.
d)mencionado. La reclamada concluye de lo expuesto que los hechos objeto del procedimiento, así como la ausencia de responsabilidad, excluyen la comisión de la infracción contenida en el artículo 72.1a) de LOPDGDD”. Por otra parte, señala la ausencia de los criterios para la imposición de las multas. QUINTO: El 9 de septiembre de 2019 se notificó a la reclamada la apertura del período de prueba, teniéndose por incorporadas las actuaciones previas de investigación, E/05384/2018, así como los documentos aportados por el reclamado. SEXTO: En fecha 4 de octubre de 2019 se formuló propuesta de resolución en los siguientes términos: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a TELEFONICA DE ESPAÑA, S.A.U., con NIF A82018474, por una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 infracción del artículo 5.1.
d)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 30.000,00 € (treinta mil euros)”. La propuesta se notificó a la reclamada por medios electrónicos siendo la fecha de aceptación de la notificación el 7 de octubre de 2019. SÉPTIMO: En fecha 21 de octubre de este año tienen entrada en la sede electrónica de la AEPD las alegaciones de la reclamada a la propuesta de resolución, en la que prácticamente se reitera en las mismas alegaciones realizadas al acuerdo de Inicio. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS 1.- La cuenta bancaria del reclamante está asociada a otro cliente de la entidad denunciada, lo que da lugar a que el cargo de la facturación se realice en la cuenta del reclamante. A consecuencia de ello, se trasladan los datos del facturado al titular de la cuenta el reclamante. 2.- La reclamada en su contestación al reclamante, manifiesta que han analizado su caso en detalle y no han observado ninguna incidencia en sus procesos. En consecuencia, le comunican que el importe es correcto y es el propio cliente el que ha de solicitar a su entidad bancaria la devolución de los recibos que se hayan cargado incorrectamente. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II En primer lugar, hay que manifestar que en relación con lo alegado por la entidad reclamada sobre, “que los recibos mencionados, a excepción de los últimos, se refieren a fechas y a periodos de facturación anteriores a la aplicación del RGPD”, y por lo tanto expone que no se le debe aplicar el RGPD, sino la antigua LOPD, dado que ésta le es más favorable. En este sentido, se aprecia que la reclamada no argumenta su afirmación. Y, a estos efectos, es evidente que con la anterior normativa las infracciones graves (artículo 45 LOPD) serian sancionadas con multa de 40.001 a 300.001 euros, y por el actual RGPD se sanciona el presente caso con una multa de 30.000 euros. Por lo tanto, está claro que se le está aplicando la norma más favorable. Por otra parte, el procedimiento sancionador comienza con la firma del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 acuerdo de inicio por la Directora de la AEPD, que data del 22 de julio de 2019, se ha de estar a lo que establece la disposición transitoria tercera de la LOPDGDD: “Régimen transitorio de los procedimientos: 1. Los procedimientos ya iniciados a la entrada en vigor de esta ley orgánica se regirán por la normativa anterior, salvo que esta ley orgánica contenga disposiciones más favorables para el interesado.” Asimismo, el artículo 63.2 de la LOPDGDD establece que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” De aquí, que sea plenamente aplicable el RGPD al presente caso, dado que el presente procedimiento sancionador se inició con la firma del acuerdo de inicio por la Directora de la AEPD, que fue en fecha 22 de julio de 2019. III Se imputa a la reclamada en el presente procedimiento la comisión de una infracción del artículo 5.1
d)del RGPD, que dispone que: Los datos personales serán: (…)
d)“exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan (<<exactitud>>)”. La infracción se tipifica en el artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” establece: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72.1a) indica: “Infracciones consideradas muy graves”: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
a)El tratamiento de datos personales vulnerando los principios y garantías C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 establecidos en el artículo 5 del Reglamento (UE) 2016/679”. La obligación establecida en el artículo ut supra impone que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. IV En el presente caso, de la documentación aportada al expediente se desprende que los datos personales fueron tratados por la reclamada, sin tener en cuenta el principio de exactitud de datos, toda vez que la cuenta bancaria del reclamante estaba asociada a otro cliente de la entidad reclamada, lo que dio lugar a que el cargo de la facturación se realizara en la cuenta del reclamante. Pues bien, la entidad reclamada reconoce este error, manifestando que ha sido ajena a su voluntad. En conclusión, queda acreditado, a través de la documentación que integra el expediente, que la reclamada vulneró el principio de exactitud de datos. Hay que traer aquí ha colación, que el 3 de julio de 2018 el reclamante comunica esta circunstancia a la reclamada y le contestan que el importe es correcto y además se los vuelven a cargar el 13 de julio de 2018, a pesar de haber avisado del error. El tratamiento del dato personal del reclamante, asociado a los de otro cliente de la compañía se prolongó desde el 1 de marzo de 2018 -fecha de la primera facturahasta 13 de julio de 2018. La reclamada ha incurrido en la infracción grave descrita al haber realizado el tratamiento de un dato personal del reclamado para la emisión y cargo de facturas de una tercera persona en la cuenta bancaria, que había comunicado a la operadora para el pago de las facturas propias. V A fin de determinar la multa administrativa que procede imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
a)a
h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b)la intencionalidad o negligencia en la infracción;
c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g)las categorías de los datos de carácter personal afectados por la infracción;
h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
a)El carácter continuado de la infracción.
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
f)La afectación a los derechos de los menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
a)del RGPD de la que se responsabiliza al reclamado, se estiman concurrentes los siguientes factores: - El alcance meramente local del tratamiento llevado a cabo por la entidad reclamada. - Sólo se ha visto afectada una persona por la conducta infractora. - No se tiene constancia de que la reclamada hubiera obrado dolosamente, aunque la actuación revela falta de diligencia. - Existe una evidente vinculación entre el tratamiento de datos de carácter personal y la actividad que desarrolla la reclamada. - La entidad reclamada tiene la consideración de una gran empresa. Paralelamente, se valora como atenuante la ausencia de beneficios por parte de la reclamada, dado que los recibos a los que se refiere la reclamación no han resultado finalmente abonados por el reclamante. Tomando en consideración la totalidad de las circunstancias que concurren, se acuerda sancionar a la reclamada por una infracción del artículo 5.1.
d)del RGPD, tipificada en el artículo 83.5 del RGPD, con multa de 30.000 euros. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a TELEFONICA DE ESPAÑA, S.A.U., con NIF A82018474, por una infracción del Artículo 5.1.
d)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 30.000,00 € (treinta mil euros). SEGUNDO: NOTIFICAR la presente resolución a TELEFONICA DE ESPAÑA, S.A.U.. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 de Protección de Datos en el Banco CAIXABANK, S.A. procederá a su recaudación en período ejecutivo. En caso contrario, se Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.