← España

PS-00278-2015

1/16 Procedimiento PS/00278/2015 RESOLUCIÓN: R/02487/2015 En el procedimiento sancionador PS/00278/2015, instruido por la Agencia Española de Protección de Datos a la entidad Vodafone España SAU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 13 de junio de 2014 tiene entrada en esta Agencia un escrito de A.A.A. en el que denuncia: 1) <<< Que en fecha 17-05-2014 solicité la CANCELACIÓN en el Fichero de morosidad ASNEF de mis datos (empresa responsable: EQUIFAX SERVICIOS SOBRE SOLVENCIA Y CRÉDITO, S.L.) (ver documento 1) 2) Que en fecha 28-05-2014 recibí carta de EQUIFAX (N Exp. ***EXPTE.1) comunicándome que no se puede atender a mi solicitud de cancelación, puesto que habían sido confirmados, los datos de la deuda, en este sentido por la entidad “Sierra Capital” (Ver documentos 2 y 3). 3) Que en el “documento 3” figuran los datos NIF: ***NIF.1 y Nombre: A.A.A., que son datos ciertos, y la Dirección: (C/.........1) - BARCELONA, que nada tiene que ver conmigo, puesto que no resido, ni he residido, ni he estado empadronada, ni tengo relación alguna con la citada población. Nací en ***LOCALIDAD.1 (provincia de Alicante) y siempre he estado empadronada en ***LOCALIDAD.1, para lo cual adjunto como documento 4º el volante de empadronamiento, con fecha de alta DD/MM/AA hasta la actualidad. Domicilio del Volante que coincide con el del DNI. (Documento 4) 4) Que nunca he sido deudora por reclamaciones impagadas y contratadas por mí con empresas de telecomunicaciones. Por lo que la deuda que se me reclama de 349,11 euros, no está respaldada por contrato de prestación de servicios de telefonía, firmado por mí, ni en su caso, figura mi voz en la contratación a través de telefonía, ni la cuenta bancaria de cargo por las facturas de telefonía, no está a mi nombre. Aspectos que debería justificar el acreedor original de mi deuda puesto que yo no puedo acreditar hechos en los que no he intervenido y me causan una indefensión. De hecho he conocido mi inclusión en el fichero ASNEF en mayo de 2014, cuando he ido a una Entidad Bancaria a solicitar una tarjeta de crédito. La fecha de alta en ASNEF es del día 19-03-2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 5) Que no se ha procedido según lo estipulado en el Art. 29.2 de la Ley Orgánica 1511999 de protección de datos de carácter personal, respecto a la obligación de notificarme en el plazo de 30 días, desde la inclusión de mis datos personales en el Registro de morosos ASNEF. Ni la inclusión ha ido precedida de un requerimiento de pago. 6) La empresa de recobro “SIERRA CAPITAL MANAGEMENT 2012, S.L.” no ha confirmado con la empresa anterior titular de la deuda, la veracidad de la misma, ni se me ha comunicado sus datos, ni pueden acreditar que soy la deudora con una obligación de pago cierta del importe que me reclaman. >>> SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realiza actuación inspectora en la sede de Vodafone, que refleja el acta levantada. Concluyó con el informe de inspección correspondiente TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Vodafone realizó tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco cuando, tras realizar contrato de cesión de créditos, cedió esos datos a Sierra Capital -la nueva titular del crédito- que incluyó los datos personales de la denunciante en Asnef. CUARTO: Con fecha 21/05/15 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Vodafone España SAU, con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 11.1 en relación con el artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.

  1. k)de la citada Ley Orgánica. QUINTO: Fue notificado el acuerdo de inicio y Vodafone presentó alegaciones y solicitó el archivo del expediente sancionador, adjuntando copia de la grabación sonora de verificación de la contratación. Alega: <<< Que de conformidad con la información a la que se tuvo acceso por medio de inspección llevada a cabo por sendos inspectores de la Agencia el pasado 30 de octubre de 2014, consta que la Sra. A.A.A. tenía con tratado un servicio dado de alta el 23 de abril de 2012, y de baja el 10 de enero de 2013 por impago del servicio a tener una deuda. Si bien en el marco de la inspección presencial no apareció la grabación de la contratación efectuada por la Sra. A.A.A. en relación con el servicio ***TEL.1, Vodafone ha vuelto a efectuar una solicitud de la misma partiendo de la base de que, como se ha expuesto reiteradamente ante la Agencia, existe un compromiso de disponer de las grabaciones desde diciembre de 2011. Pues bien, adjuntamos como documento n° 1 copia de la grabación que acredita la portabilidad del servicio objeto de controversia de Movistar a Vodafone, lo cual acredita que Vodafone disponía del consentimiento de aquella para poder tratar sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 datos. Posteriormente, Vodafone cedió esa deuda a SIERRA CAPITAL el 21 de febrero de 2013. Desde la fecha en la que se produjo la cesión, Vodafone no ha tenido queja o reclamación alguna al respecto de lo ocurrido hasta la inspección presencial de la Agencia que tuvo lugar el 30 de octubre de 2014 que coincide con la fecha de recompra de esa deuda. El único tratamiento de datos llevado a cabo, por lo tanto, tras la cesión de los datos a SIERRA CAPITAL, fue necesario no sólo para poder dar soporte a la Agencia en su inspección e información sobre el caso, sino para reconducir la situación de la Sra. A.A.A. en virtud de sus propias alegaciones. Finalmente, se ha recibido el acuerdo de inicio del presente procedimiento sancionador el 25 de mayo de 2015. …, la grabación aportada como documento adjunto n° 1, demuestra que Vodafone sí tenía y tiene consentimiento inequívoco de ésta, para poder tratar sus datos personales para la prestación del servicio ***TEL.1. Ese consentimiento inequívoco, permitió que tras acumular una deuda impagada con Vodafone, Vodafone procediera, cuando se firmó el contrato con SIERRA CAPITAL, a ceder sus datos personales y la deuda ésta, pasando a pertenecer desde el 21 de febrero de 2013 a SIERRA CAPITAL. … Esta novedad entiende esta parte que modifica el planteamiento de la Agencia, ya que ahora debemos partir de la base de la existencia del consentimiento inequívoco facilitado por la Sra. A.A.A., consentimiento que permitiría a mi representada tratar sus datos y ceder su deuda a SIERRA CAPITAL tal y como ocurrió. >>> SEXTO: Con fecha 17/06/15 se inició el período de práctica de pruebas, acordándose las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante VODAFONE ESPAÑA SAU, el Informe de actuaciones previas de Inspección y las alegaciones al acuerdo de inicio presentadas por VODAFONE ESPAÑA SAU, y la documentación que a ellas acompaña. 2. Se requiere a Vodafone para que aporte al procedimiento –en el plazo de diez días- copia de cuantos documentos que estén en su poder que permitan acreditar que disponía del consentimiento de la denunciante –con identidad documentada- para tratar sus datos personales en los hechos denunciados, notificaciones o comunicaciones enviadas a la persona solicitante de portabilidad y respuestas de la misma, trazabilidad de la portabilidad solicitada el 05/04/12 –según la grabación aportada- desde Movistar a Vodafone y que incorpora como alta a su fichero de clientes el 24/04/12, a pesar de no haber podido entregar por ningún medio el contrato que debía devolver firmado (anotado como desconocido el 14/05/12). SÉPTIMO: Vodafone con su respuesta formuló las siguientes manifestaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 <<< …, partir de la base de que esta parte dispone de la grabación del verificador que acredita el consentimiento de la Sra. A.A.A. a los efectos de tratar sus datos personales, siendo dicha grabación por sí sola acreditativa de la contratación por vía telefónica. En cuanto a documentación adicional, como por ejemplo el contrato, no existe la misma en el presente caso, desde el momento en que la copia del contrato que se entrega junto con el pedido lo es únicamente a efectos informativos, sin que el usuario tenga la obligación de devolver nada firmado a mi representada, …. Adicionalmente, adjuntamos como documento n° 1 copia de la trazabilidad de la contratación por portabilidad extraída de los sistemas. En la misma se puede comprobar que en fecha 23 de abril de 2012, se hace efectiva la portabilidad. Posteriormente, en fecha 25 de mayo de 2012 se desactiva temporalmente, por impago de la primera factura emitida. Desde entonces no se emiten más facturas a la cliente hasta su desactivación definitiva el 10 de febrero de 2013 y devolución del número a movistar en marzo de 2013. En cuanto al pedido al que la Agencia se refiere en su escrito, si bien no se entregó, fue por causas ajenas a mi representadas, cuando, como se desprende del documento n° 2, Vodafone intentó la entrega en varias ocasiones entre los días 23 de abril de 2012 y el 18 de mayo de 2012, teniendo como consecuencia esa imposibilidad la desactivación del servicio de forma temporal el 25 de mayo de 2012, es decir, la imposibilidad de hacer la entrega derivó en una acción de Vodafone en espera de solventar el caso de la Sra. A.A.A. sino mediante contactos con ella por parte de Vodafone que se intentaron pero que no llegaron a buen término, como por medio de contactos de ella con nosotros (algo que tampoco se produjo). La Sra. A.A.A., debemos recordar que si bien efectuó la portabilidad y la contratación de los servicios, ni pidió la baja de éstos, ni contactó con Vodafone para interesarse por lo ocurrido, de tal forma que Vodafone únicamente facturó a aquella por lo ocurrido entre el 23 de abril de 2012 hasta el 18 de mayo de 2012 puesto que sin perjuicio de lo que ocurrió con la entrega o no del terminal, había contratado un servicio. >>> OCTAVO: Con fecha 26/08/15 se formuló propuesta de resolución consistente en que por el Director de la Agencia Española de Protección de Datos se sancione a Vodafone España SAU con multa de 50.000 € (cincuenta mil euros) por la infracción de los artículos 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  2. b)de dicha norma. NOVENO: En fecha 17/09/15 tuvo entrada en el registro de la AEPD escrito de Vodafone con las alegaciones a la propuesta. Solicita una sanción dentro del tramo de las leves -en función de su reconocimiento de responsabilidad en los hechos- y fijar su importe en su cuantía mínima, teniendo en cuenta los apartados 4 y 5 del 45 de la LOPD. Alega <<< …, consta que la Sra. A.A.A. tenía con tratado un servicio dado de alta el 23 de abril de 2012, y de baja el 10 de enero de 2013 por impago del servicio a tener una deuda. … ha adjuntado copia de la grabación asociada a la contratación del servicio en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 cuestión, copia de la grabación que acredita la portabilidad del servicio objeto de controversia, de Movistar a Vodafone, lo cual acredita el origen de los datos objeto de tratamiento. Tras la portabilidad del servicio, la cual no fue cancelada dentro de los plazos previstos por la Ley a efectos de cancelar una portabilidad, el mismo se activó y generó facturas de las cuales surgió la deuda que, posteriormente, Vodafone cedió a SIERRA CAPITAL el 21 de febrero de 2013. … . lo que viene a manifestar ahora es que la grabación por sí sola, no acredita el consentimiento para el tratamiento de sus datos personales, si a la contratación no se le une la entrega a la destinataria de los terminales y además usa el servicio, …. …, la entrega de los terminales no se llegó a producir, aunque tal imposibilidad no fuera porque la propia contratante cancelara la portabilidad o, como se indica en la grabación aportada (2 minutos y 50 segundos de la grabación), porque ejerciera el derecho de desistimiento en el plazo de 7 días desde la contratación, es cierto que Vodafone debería haber tenido en cuenta que la cliente nunca recibió los terminales a los efectos de haber gestionado su caso de una manera diferente a los efectos de la deuda y su posterior venta, es por ello que, …, esta parte viene a reconocer la infracción imputada por la Agencia. … en relación con el art. 45.4 de la LOPD, respecto al apartado
  3. b)en el presente caso existe una grabación donde una Sra. que se identifica como A.A.A., facilita todos los datos que fueron posteriormente tratados …, sin que en ningún momento hubiera recibido reclamación alguna por parte de la Sra. A.A.A. …, el apartado
  4. c)…, desde Vodafone se trató de contactar con cliente aunque fue finalmente imposible. …, si Vodafone trató esos datos es porque la misma, o una persona distinta a aquella, disponía de su documentación tal y como se desprende de la grabación aportada…, y
  5. d)Vodafone ha reconocido su culpabilidad tal y como se desprende del presente escrito en virtud de las manifestaciones vertidas por la Agencia en su escrito de propuesta de resolución. …, y en cuanto al apartado 45.5
  6. a)de la LOPD en relación con el 45.4 de la LOPD, considera esta parte que concurren varias de las circunstancias previstas en el mismo, en tanto que,
  7. a)no existe carácter continuado en el momento en el que Vodafone ha actuado cuando tuvo conocimiento por primera vez de lo ocurrido a través de la inspección llevada a cabo por la Agencia el pasado mes de noviembre de 2014 y no existió nunca comunicación entre la denunciante y Vodafone,
  8. b)sólo se trata de los datos de un cliente,
  9. d)y
  10. e)el volumen de negocio, tal y como la Agencia conoce, no está incrementando año a año, sino todo lo contrario, y en este caso lo que ha sufrido son perjuicios derivados de una contratación que finalmente no es cierta,
  11. f)en este caso, no resulta intencionado a Vodafone llevar a cabo acciones contrarias a la normativa existiendo una grabación … e ¡) Vodafone tiene acordados procedimientos dirigidos a evitar contrataciones que no son solicitadas aunque como en este caso, exista una grabación que al menos permite comprobar que la contratación fue solicitada. >>> De las actuaciones practicadas en el presente procedimiento, han quedado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 acreditados los siguientes HECHOS PROBADOS 1. 05/04/12, fecha de la grabación de verificación de contratación del servicio ***TEL.1 a nombre de la denunciante (A.A.A., DNI ***NIF.1; ......@hotmail.com; con domicilio en calle (C/.........1)<Barcelona>), por portabilidad de la línea de Movistar a Vodafone. 2. 18/04/12, En la base de datos de Vodafone consta: <<< — REGISTRO TELEFÓNICO 18/04/2012 00:25:40 TELEVENTA GSS — NOMBRE ***NOMBRE.1 APELLIDO 1 A.A.A. APELLIDO 2 A.A.A. NACIONALIDAD ESPAÑA TELEFONO DE CONTACTO 0 TIPO ID NIF Nº ID ******** FECHA DE NACIMIENTO ESTADO OVIL DD/MM/AA ***ESTADO-CIVIL.1 PERSONAS A CARGO 0 TIPO DE RESIDENCIA ESPAÑA EMAIL ......@HOTMAIL.COM NOMBRE DE VIA (C/.......1) ESC.PISO PUERTA ….. LOCALIDAD ***LOCALIDAD.2 PROVINCIA BARCELONA COD POSTAL ***CP.1 FORMADEPAGO TARJETA ENTIDAD ****** SUCURSAL C/ Jorge Juan, 6 28001 – Madrid **** www.agpd.es sedeagpd.gob.es 7/16 DÍGITO DE CONTROL NºCUENTA MSISDN ICC ** ********** ***TEL.1 ********** DONANTE MOVISTAR PLAN DE PRECIOS @M MARCA/MODELO SAMSUNGGALAXY S • CUOTA MENSUAL 40,00 E COSTE TERMINAL 0.00 E NºDE RESERVA ***** Nº TARJETA SIM **************. >>> 3. 23/04/12, fecha de alta en la base de datos de Vodafone de los datos personales de la denunciante (A.A.A., DNI ***NIF.1; teléfono de contacto ***TEL.2; IBAN ES ****************; con domicilio en calle (C/.........1)<Barcelona>), como cliente nº ***CLIENTE.1 titular de la línea ***TEL.1, activada en esta fecha. 4. 26/04/12, anotado como devuelto en dos intentos -por desconocido el destinatario- el envío de terminales y documentos a la dirección indicada en la solicitud de contratación. Las llamadas a la persona titular de la línea no son atendidas. Los dos envíos sucesivos 09 y 15/05/12 son devueltos por el mismo motivo. 5. 08/05/12, Vodafone emite factura a nombre de la denunciante por el periodo de 23/04/12 a 07/05/12 de la línea ***TEL.1 por importe de 17,70 € (cuotas sin consumo).Un mes más tarde emite otra factura por los mismos conceptos por importe de 31,41 €. 6. 10/01/13, baja en la base de datos de Vodafone de la línea ***TEL.1, que figura en estado "DD" por el motivo "PB". 7. 21/02/13, en la base de datos e Vodafone consta venta de crédito a Sierra Capital por importe de 349,11 € (49,11 € de deuda y 300 € de derechos de cobro) correspondientes al NIF ***NIF.1 de la cuenta sap ***CUENTA.1. 02/05/14, la persona denunciante (A.A.A., DNI ***NIF.1; teléfono ***TEL.3; .......@gmail.com; con domicilio en calle (C/.........1)– ***LOCALIDAD.1 <Alicante> desde 01/05/96) acude a una entidad financiera para solicitar una tarjeta de crédito. Su solicitud es denegada porque figura como deudora en Asnef. 8. 22/05/14, la denunciante solicita la cancelación de sus datos en Asnef y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 seis días más tarde le es denegada porque los datos han sido confirmados por Sierra Capital, acreedor titular de la deuda anotada de 349.11 € a nombre de la denunciante desde 19/03/13; figura como domicilio calle (C/.........1)<Barcelona>. La anotación ha sido consultada por empresas del grupo financiera Caixabank. 9. 28/10/14, en la base de datos de Vodafone figura anotado como fecha de recompra de la deuda vendida a Sierra Capital. No consta la anulación de la deuda. FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  12. g)en relación con el artículo 36 de la LOPD. II En primer lugar, se imputa a Vodafone la infracción del artículo 11 de la LOPD en relación con el 6.1 de dicha norma. El artículo 11.1 de la LOPD establece lo siguiente: “Artículo 11. Comunicación de datos 1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  13. a)Cuando la cesión está autorizada en una Ley.
  14. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  15. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
  16. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
  17. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
  18. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores.” Así pues, el artículo 11.1 de la LOPD exige el consentimiento del afectado, o bien, habilitación legal (artículo 11.2.
  19. a)de la LOPD) para la cesión de datos de carácter personal. Por su parte, el artículo 6, apartados 1 y 2, de la Ley Orgánica 15/1999, relativo al “consentimiento del afectado”, dispone: “Artículo 6. Consentimiento del afectado 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7 apartado 6 de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de los mismos. De acuerdo con las disposiciones transcritas, el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del tratamiento, - entre otros supuestos previstos en la Ley Orgánica 15/1999 -, cuando el tratamiento en cuestión se refiera a un contrato suscrito entre las partes y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). El artículo 3.
  20. h)de la LOPD define el “consentimiento del interesado” como “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”, mientras que el artículo 3.
  21. i)de la LOPD define como “Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado.” El principio del consentimiento expresado requiere la necesidad del consentimiento “inequívoco” del afectado para que puedan tratarse sus datos personales, sentido que la Audiencia Nacional ha expresado en forma reiterada, entre otras en la sentencia de 4 de marzo de 2009 al señalar: “Respecto al consentimiento, es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. A su vez, el artículo 12.3 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el Reglamento para el Desarrollo de la LOPD, establece que “Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” III En el presente supuesto, a la vista de la documentación que obra en el expediente y de los hechos declarados probados, los datos personales de la persona denunciante (nombre, apellidos, DNI) fueron incorporados a las bases de datos de Vodafone como cliente y posteriormente asociados a una deuda que no le correspondía, tratándolos por el responsable de tales ficheros, Vodafone, para incluirlos en la relación de créditos que cede a Sierra Capital y la inclusión en Asnef por el cesionario. De lo expuesto, se evidencia que Vodafone, en su condición de responsable del fichero de los datos personales, no ha probado que recabó y obtuvo el consentimiento de la persona denunciante. No hay que olvidar que la carga de acreditar la existencia del consentimiento “inequívoco” corresponde al responsable del tratamiento probar que cuenta con el consentimiento del afectado para ello. En este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. A mayor abundamiento, conforme al criterio señalado en la Sentencia de la Audiencia Nacional de fecha 8 de noviembre de 2012, Rec. 789/2010, la carga de acreditar la existencia del “consentimiento inequívoco” exigido en el artículo 6.1 recae sobre la entidad responsable del fichero cuando su existencia sea negada por el titular de tales datos, tal y como ha hecho la denunciante en el caso que nos ocupa. La contratación telefónica con verificación posterior solo acredita ese hecho: la contratación. No acredita la identificación de la persona solicitante del servicio y por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 tanto el otorgamiento del consentimiento inequívoco para el tratamiento posterior de sus datos. Eso unido a la circunstancia de que el envío de documentos, tarjeta SIM terminales telefónicos no fue entregado a la persona destinataria, que esta no solicitó la activación de la línea, que la operadora no fue capaz de contactar con la persona solicitante del servicio y que no se produjo consumo refuerza el hecho de que no fue identificada la persona solicitante y no se acredita en modo alguno el consentimiento inequívoco de la persona titular de los datos. La solicitud de contratación vía telefónica y los datos personales así obtenidos le autoriza para tratar estos en el inicio de la gestión de la portabilidad y el envío de tarjeta SIM, documentos y terminales solicitados. Pero no le autoriza para tratarlos sin su consentimiento en la activación de la línea, la facturación -sin consumo- consecuencia de la activación no solicitada y mucho menos para reclamar el pago de esas facturas, la reclamación de deuda y la cesión de esta a una tercera persona (Sierra Capital) sin notificar a la persona titular de los datos esa cesión de datos personales asociados a una deuda que no es cierta y exigible a la persona denunciante. Circunstancia que se agrava con la inclusión de los datos personales asociados a esa deuda en el fichero Asnef y los inconvenientes que ese hecho depara a la persona titular de los datos cedidos. En consecuencia, el tratamiento de los datos personales de la persona denunciante vulnera el principio del consentimiento recogido en el artículo 6.1 de la LOPD, por cuanto el mismo se realizó sin que Vodafone haya acreditado que contaba con el consentimiento inequívoco de la persona afectada o mediase habilitación legal para ello, no resultando de aplicación al mismo la excepción al consentimiento recogida en el artículo 6.2 de dicha norma que pudiera derivar de la relación contractual entre las partes al no haberse probado relación contractual. Por ello, con arreglo a lo expuesto, la comunicación de datos personales de la persona denunciante por Vodafone a Sierra Capital se produjo sin el consentimiento de la persona afectada, con quien no había relación contractual de la que supuestamente derivaba el crédito objeto de compraventa ni consentido la cesión de sus datos personales, incurriendo en la cesión inconsentida imputada. IV La infracción de lo dispuesto en el artículo 11 de la LOPD se encuentra tipificada como grave en el artículo 44.3.
  22. k)de la misma norma, que considera como tal “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. En el presente caso Vodafone es responsable de la comisión de una infracción del artículo 11.1, en relación con el 6.1 de la LOPD, calificada como grave en el artículo 44.3.
  23. k)de dicha norma, al haber cedido los datos personales de la persona denunciante, obtenidos originariamente sin el consentimiento de la misma, en relación con un servicio que no se acredita hubiera contratado y una deuda derivada del mismo. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  24. a)El carácter continuado de la infracción.
  25. b)El volumen de los tratamientos efectuados.
  26. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  27. d)El volumen de negocio o actividad del infractor.
  28. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  29. f)El grado de intencionalidad.
  30. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  31. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  32. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  33. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  34. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  35. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16
  36. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  37. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  38. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Para que el importe de la sanción pueda ser fijado han de ser examinadas las circunstancias a que se refiere el 45.4 de la misma norma: El carácter continuado de la infracción queda fuera de duda. La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que Vodafone es un grupo empresarial de carácter trasnacional, que tiene como actividad la prestación de servicios de telecomunicaciones principalmente. Esta empresa es de las primeras en clientes a nivel nacional e internacional, y tiene un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. En lo que se refiere al volumen de negocio hay que hacer constar que si bien es un hecho notorio, que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa infractora. El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que no tuviera intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por la empresa fue incumplido. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. La imputada ha sido objeto de expedientes sancionadores por infracciones similares. Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", siendo necesario para ello la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. No se han acreditado circunstancia que permitan aplicar alguno de los criterios establecidos en el 45.5 de la LOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 El reconocimiento de la responsabilidad en la infracción que se le imputa, en su escrito de alegaciones a la propuesta de resolución sancionadora, adolece de uno de los requisitos exigidos: la espontaneidad. Vodafone tuvo conocimiento de la infracción que se le imputaba por los hechos objeto del procedimiento cuando le fue notificada la resolución del acuerdo de inicio. En el plazo para formular alegaciones, pudo reconocer la culpabilidad en dichos hechos aceptando la sanción que correspondiera. Pero en su escrito de alegaciones al acuerdo de inicio nada manifiesta en ese sentido. La manifestación posterior, en sus alegaciones a la propuesta, no puede considerarse espontanea, pues previamente –considerándola mejor opción- eligió alegar que hubo contratación y por tanto consentimiento al tratamiento. Hacerlo en las alegaciones a la propuesta sancionadora, lejos de la espontaneidad, solo puede calificarse como instrumento estratégico para que la sanción final sea por un importe menor al propuesto. En sus escritos Vodafone no hace alusión alguna a la situación de la deuda en la actualidad, ni si la deuda recomprada fue anulada. En consecuencia puede deducirse que el tratamiento de datos continúa. Todas estas circunstancias analizadas en relación a los criterios contemplados en el 45 de la LOPD permiten graduar la sanción por importe de 50.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Imponer a la entidad Vodafone España SAU, por una infracción del artículo 11.1 en relación con el 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  39. k)de la LOPD, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a Vodafone España SAU y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 000 000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.