← España

PS-00267-2016

1/8 Procedimiento Nº PS/00267/2016 RESOLUCIÓN: R/02604/2016 En el procedimiento sancionador PS/00267/2016, instruido por la Agencia Española de Protección de Datos a la entidad TELEFÓNICA DE ESPAÑA, S.A.U., vista la denuncia presentada y en base a los siguientes:, ANTECEDENTES PRIMERO: Con fechas 25 de junio y 24 de septiembre de 2015, tienen entrada en la Agencia Española de Protección de Datos escritos remitidos por D. A.A.A. con NIF ***NIF.1 (en adelante el denunciante) en los cuales manifiesta que, tras recibir un cargo bancario, tiene conocimiento del uso fraudulento de sus datos en la contratación de una línea telefónica. Manifiesta además que contactó telefónicamente con la operadora y le informan que con fecha 17/03/2015 figura como titular del contrato de alta de línea ***TEL.1 en la modalidad de “Duo Futura Fibra 300MB”, realizado a través de la web. En los datos de contratación figuran su nombre, apellidos y DNI, y como teléfono de contacto el de un familiar. La dirección registrada: (C/...1), Tarragona (***CP.1), no se corresponde con la suya. Como peculiaridad manifiesta que el único fichero en que figuran sus datos junto al teléfono de su hermano, es en la contratación de línea fija con la operadora JAZZTEL, en la que figura como titular. Con fecha 25/05/2015 interpuso denuncia ante la DGP Comisaría de Almendralejo (nº atestado ****/15). Y paralelamente, en varias ocasiones contactó por teléfono con ambas operadoras, formulando finalmente reclamación ante TELEFÓNICA MOVISTAR (Nº ***RECLAMACIÓN.1). SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/05472/2015. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 8/3/16 TERCERO: Con fecha 22/6/16 por la Directora de la Agencia Española de Protección de Datos se acordó el inicio de procedimiento sancionador a TELEFONICA DE ESPAÑA por la presunta infracción del art. 6.1 CUARTO: Se inició periodo de prácticas de pruebas consistente en dar por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante TELEFÓNICA DE ESPAÑA, S.A.U., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05472/2015. Al mismo tiempo se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00267/2016 presentadas por TELEFÓNICA DE ESPAÑA, S.A.U., y la documentación que a ellas acompaña. Y en relación a los hechos denunciados: la asociación de la línea ***TEL.1 a los datos personales del denunciante, se solicitó la siguiente información:

  1. a)Fechas de alta y baja de dicha línea C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8
  2. b)Relación de las facturas emitidas especificando las fechas en que fueron anuladas.
  3. c)Copia de las comunicaciones y contactos que hayan existido entre esa entidad y el denunciante, detallando el contenido, fecha y las acciones realizadas en cada caso. Por la TELEFONICA DE ESPAÑA se remitió contestación a las pruebas practicadas con fecha 22/7/16 QUINTO: En el mismo periodo de prueba se solicitó a D. A.A.A. que alegara lo que estimara a su favor, en relación a las manifestaciones realizadas por TELEFONICA DE ESPAÑA, relativas a que con fecha 9/6/15 le remitió un escrito contestando a su reclamación, procediendo a anular la deuda existente para la línea ***TEL.1. Contestando, con fecha 19/8/16 que no había recibido dicho escrito aunque por vía telefonía le informaron que la deuda estaba anulada. SEXTO: Con fecha 13/9/16 se dictó la siguiente propuesta de resolución: <<<<< Que por la Directora de la Agencia Española de Protección de Datos se sancione a TELEFONICA DE ESPAÑA con multa de 30.000 € (treinta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma. >>>>> SEPTIMO: Con fecha 3/10/15 se ha presentado escrito de alegaciones a la propuesta de resolución * Aplicación del art. 8 del RD 1398/93 en relación con el art, 45.5.d). -- Que la entidad ha reconocido que se produjo una incidencia en relación con la contratación de la línea ***TEL.1, habiendo sido utilizados los datos del denunciante por un tercero con mala fe en orden a efectuar dicha contratación. -- Que se regularizó la situación, anulando la deuda, en el momento en que tuvo conocimiento de la incidencia asociada al denunciante, con anterioridad a la denuncia presentada por el Sr. A.A.A. ante esta Agencia. * Aplicación del art. 45 de la LOPD. -- En especial que se tenga en cuenta los criterios establecidos en el artículo 45.4 e),
  4. f)y h), en especial que no ha existido beneficio alguno, al contrario ha sufrido un perjuicio como consecuencia de una estafa cometido contra la misma; no ha habido intencionalidad; y no se ha causado perjuicio alguno al denunciante. HECHOS PROBADOS 1º Consta denuncia presentada por D. A.A.A. con NIF ***NIF.1 y domicilio (C/...2) (***LOCALIDAD.1, Ciudad Real) (en adelante el denunciante) contra TELEFONICA DE ESPAÑA en relación a una línea telefónica que manifiesta que no ha contratado. 2º Consta en los ficheros de TELEFONICA DE ESPAÑA los datos de D. A.A.A., con DNI ***DNI.1, y domicilio (C/...1) (Tarragona), asociado a la línea ***TEL.1 con fecha de alta 18/03/15 y baja 7/6/15. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 3º Que por TELEFONICA DE ESPAÑA se procedió a la cancelación de la deuda existente para la línea ***TEL.1 al determinarse la existencia de un caso de suplantación de identidad en la contratación de los servicios. 4º Se emitieron dos facturas, de fecha 22/4/15 por importe de 34,57 euros y de fecha 22/5/15, por importe de 55.4 euros 5º Consta escrito de respuesta remitida al denunciante, con fecha 9/6/15, manifestando que se procede a cancelar la deuda existente para la línea ***TEL.1 por suplantación de identidad en la contratación de los servicios. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  6. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  7. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. III Se analiza en este procedimiento la denuncia presentada por A.A.A. en la que manifiesta que TELEFONICA DE ESPAÑA dio de alta a su nombre la línea ***TEL.1 que no había contratado. Por parte de TELEFONICA DE ESPAÑA las alegaciones al Acuerdo de Inicio ha solicitado la aplicación del art. 8 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, reconociendo la responsabilidad en los hechos, al determinarse la existencia de un caso de suplantación de la identidad en la contratación de servicios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Anulando íntegramente los importes facturados IV Se imputa a TELEFONICA DE ESPAÑA comisión de la infracción del art. 44.3.
  8. b)de la LOPD que establece como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo “. El art. 6 de la LOPD dispone en su apartado primero que “el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. El art. 3
  9. h)de la LOPD define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”: El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado la Audiencia Nacional, sala de lo contencioso administrativo, y, entre otras, en Sentencia de 28/02/2007 -recurso n°.236/2005-, el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del “consentimiento inequívoco”, a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de la AN de 8/11/2012 -recurso n°. 789/2010-). En este caso, en los ficheros de TELEFONICA DE ESPAÑA consta el denunciante como titular de la línea ***TEL.1 con fecha de alta 18/3/15 y baja 7/6/15. No constando que el tratamiento de los datos de carácter personal de la misma se realizaran con su consentimiento, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
  10. b)de la LOPD. Se deduce la responsabilidad de TELEFONICA DE ESPAÑA a la hora de tratar los datos de la denunciante sin acreditar su consentimiento, con la consecuencia que figurase en sus sistemas como titular de una línea que no había contratado. Respecto del tiempo de dicho tratamiento, consta que TELEFONICA DE ESPAÑA que advertida la situación a raíz del contacto del Sr. A.A.A. se iniciaron las acciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 oportunas para valorar lo ocurrido de tal modo que la línea sólo estuvo activa menos de tres meses, y que tras la reclamación presentada por la denunciante, se procedió a sí mismo, en ese breve plazo a anular las dos facturas emitidas. V El artículo 44.3.
  11. b)de la LOPD tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Correspondiendo a TELEFONICA DE ESPAÑA la carga de la prueba del consentimiento del titular de los datos sometidos a tratamiento y no haber acreditado el mismo debe deducirse que se ha vulnerado este principio, conducta que encuentra su tipificación en este artículo 44.3.
  12. b)de la citada Ley Orgánica. VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  13. a)El carácter continuado de la infracción.
  14. b)El volumen de los tratamientos efectuados.
  15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  16. d)El volumen de negocio o actividad del infractor.
  17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  18. f)El grado de intencionalidad.
  19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  23. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  24. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  25. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  26. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  27. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. Ahora bien, como se ha acreditado a lo largo del procedimiento existen una serie de circunstancias que modulan la responsabilidad de la entidad denunciada: y que permiten la aplicación de un supuesto concreto de los contemplados en el artículo 45.5 y que es el siguiente: “
  28. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.” El denunciante contactó con TELEFONICA, Determinándose en breve plazo que se trató de un alta fraudulenta por lo que anuló dicha contratación y los importes facturados. Y todo ello seis meses antes del requerimiento de información solicitado por esta Agencia. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  29. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Pues bien, resultando aplicable a este supuesto la doctrina de la AN antes expresada, se han de tener en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD, en particular las siguientes circunstancias: 1. El importante volumen de negocio (apartado
  30. d)ya que como operadores telefónicos es un hecho notorio. 2. La vinculación de la actividad de TELEFONICA con la realización de tratamientos de datos personales (apartado
  31. c)pues es evidente que en el desarrollo de la actividad que desempeña se ve obligada a un continuo tratamiento de datos personales tano de sus clientes como de terceros potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro. 3. En relación con la aplicación de lo dispuesto en el apartado
  32. a)del artículo 45.4 se debe señalar que en los ficheros de TELEFONICA DE ESPAÑA figuraron los datos del denunciante asociados a la línea de telefonía ***TEL.1 de la que no se ha podido acreditar la contratación, durante el periodo 18/3/15 a 7/6/15. Constando escrito de respuesta remitido al denunciante, con fecha 9/6/15, manifestando que se procede a cancelar la deuda existente (derivadas del impago de dos facturas de fechas 22/4/15 y 22/5/15) y anulando todos los importes facturados. La situación se encontraba regularizada seis meses antes de la solicitud de información a TELEFONICA (22/1/16) en el trámite de actuaciones previas de investigación, y doce meses antes del inicio del presente procedimiento sancionador (22/6/16) 4. Sobre los perjuicios causados (apartado
  33. h)a los afectados, debe tenerse en cuanta el criterio expresado la Audiencia Nacional en varias sentencias, entre otras la de 11/03/2010, rec 429/2009, señalando que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la espera privada de los afectados por los datos tratados”. 5. En cuanto a lo establecido en el art. 44.5.i debe tenerse en cuenta que la infracción fue consecuencia de la acción fraudulenta de un tercero, si bien por parte de TELEFONICA no se adoptaron adoptó las cautelas posibles en la verificación de la identidad del contratante. No obstante la entidad denunciada, advertida la situación a raíz del contacto con el denunciante procedió a dar de baja a la línea que estuvo activa menos de tres meses, procediéndose en ese plazo a anular las dos facturas emitidas. Por todo ello se considera procedente, en base a los criterios expresados más arriba y que atenúan la responsabilidad de TELEFONICA DE ESPAÑA, imponer una sanción de 30.000 € por la infracción cometida Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: IMPONER a la entidad TELEFÓNICA DE ESPAÑA, S.A.U., por una infracción del artículo 6 la LOPD, tipificada como grave en el artículo 44.3.b de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 una multa de 30.000 € (treinta mil euro), de conformidad con lo establecido en el artículo 45.4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA DE ESPAÑA, S.A.U., y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.