← España

PS-00286-2014

1/21 Procedimiento Nº PS/00286/2014 RESOLUCIÓN: R/02381/2014 En el procedimiento sancionador PS/00286/2014, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, SAU, vista la denuncia presentada por Doña E.E.E. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 5 de junio de 2013, tuvo entrada en esta Agencia un escrito remitido por Doña E.E.E., solicitando la exclusión de sus datos personales de los ficheros de solvencia patrimonial. Junto al citado escrito la denunciante aporta la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid - Copia de la denuncia presentada ante la Policía, con fecha 24 de enero de 2012, en la que manifiesta que el día anterior recibió, en el domicilio de sus padres en Guadalajara, una notificación de inclusión de sus datos en el fichero ASNEF por una deuda de 221,70 € contraída con VODAFONE ESPAÑA, SAU (en adelante VODAFONE). La denunciante manifiesta que no ha realizado ningún contrato con dicha compañía ni ha extraviado su documentación o le ha sido sustraída. - Copia del escrito remitido por la Consejería de Sanidad y Asuntos Sociales de CASTILLA-LA MANCHA a VODAFONE, con fecha 8 de junio de 2012, como consecuencia de una reclamación interpuesta ante ese organismo por la denunciante contra VODAFONE, originada por la inclusión de sus datos en el fichero ASNEF por una deuda asociada a un teléfono que no había contratado y sin haber sido nunca cliente del mencionado operador de telefonía. - Copia de los escritos recibidos por la denunciante de la citada Consejería, con fechas 30 de julio y 26 de septiembre de 2012, en relación con su reclamación, en el primero le informan de que las gestiones realizadas han dado resultado negativo, mientras que en el segundo le comunican que debe solicitar la exclusión de sus datos del Registro de Morosos, acompañando copia de la denuncia ante la Policía. - Copia del escrito recibido de EQUIFAX IBERICA, S.L., con fecha 10 de abril de 2013, en el que le comunican que los datos que figuran en ASNEF, informados por VODAFONE, son por una deuda de 221,70 €, con fecha de alta 12 de enero de 2012, y comunicándole que, a partir del 12 de mayo de 2013, la empresa acreedora es TTI FIANANCE www.agpd.es sedeagpd.gob.es 2/21 S.A.R.L. - Copia del escrito recibido de TTI Finance, SARL, con fecha 10 de abril de 2013, en el que le comunican que dicha empresa ha adquirido, con fecha 26 de marzo de 2013, la deuda que mantenía con VODAFONE derivada del contrato de telefonía suscrito con dicha entidad con fecha 07/10/2008 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia solicitaron información a la entidades EQUIFAX IBERICA, S.L. y VODAFONE con fechas 20 y 28 de agosto de 2013, respectivamente, que se contestaron en el siguiente sentido: 1. De la información recibida de EQUIFAX IBERICA, S.L. se desprende que a fecha de 27 de julio de 2013 en sus ficheros figuraba la siguiente información: - Respecto del fichero ASNEF: Consta un registro asociado a la denunciante, por un importe de 221,70€, con fecha de alta 12 de enero de 2012. En la actualidad la entidad que consta asociada a dicho registro es TTI FIANANCE S.A.R.L. - Respecto del fichero de NOTIFICACIONES: Constan dos notificaciones asociadas a la inclusión de sus datos personales en el fichero ASNEF por la citada deuda, la primera, con fecha 14 de enero de 2012, por la entidad VODAFONE y la segunda, con fecha 10 de abril de 2013, por la entidad TTI FINANCE S.A.R.L. - Respecto del fichero de BAJAS: No consta información 2. Con fecha 11 de septiembre de 2013 se registra de entrada escrito de VODAFONE ESPAÑA S.A., comunicando, en relación con los hechos denunciados, la siguiente información: 1. VODAFONE indica que no les ha sido posible localizar el contrato correspondiente al servicio en cuestión. No obstante, señalan que según la información obrante en sus ficheros la contratación se realizó a través del distribuidor ALCAHENARTEL MOVIL S.L. 2. En los sistemas de VODAFONE, la denunciante aparece como titular de una cuenta Vodafone asociada a la línea M.M.M., la cual fue dada de alta el 7 de octubre de 2008 y de baja definitiva por impago el 17 de septiembre de 2010. Aportan copia impresa de la información que consta en sus ficheros. 3. En el listado informático de las facturas asociadas a la citada línea consta que únicamente no resultaron abonadas las emitidas con fechas 8 de enero y 8 de febrero de 2010, cuyos importes respectivos ascendían a 76,62 € y a 145,08 € , dando origen a la deuda de 221,70 €. 4. Dicha deuda fue vendida a un tercero a través de una operación de “Venta de Cartera” con fecha 20 de marzo de 2013. No obstante, como consecuencia de las actuaciones de Inspección E/04237/2013, VODAFONE indica que ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 procedido a recomprar la deuda de la denunciante y a cancelarla. Aportan impresión de imagen de sus sistemas en la que el identificador de la denunciante aparece asociado a la cantidad de 0€ con fecha de baja 19 de abril de 2013. 5. Respecto a la inclusión de los datos de la denunciante en ficheros de morosidad se afirma que en el momento de la fecha de entrada del escrito de requerimiento de información formulado por la Agencia, los datos de la denunciante no estaban incluidos en ficheros de solvencia patrimonial y crédito. Aportan copia de impresión del resultado de la consulta realizada a EXPERIAN que aunque refleja que en el fichero BADEXCUG no obran datos asociados al identificador (D.N.I.) de la denunciante no muestra la fecha se realizó la consulta. No aportan ninguna información relativa al fichero ASNEF. TERCERO: Con fecha 28 de mayo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE ESPAÑA, S.A.U., (en adelante VODAFONE), por presunta infracción de los artículos 11.1, en relación con el 6.1, y 4.3 en relación con el 29.4 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en el artículo 44.3, apartados

  1. k)y
  2. c)de dicha norma, respectivamente, pudiendo ser sancionada cada una, con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, VODAFONE formuló alegaciones solicitando el archivo de las actuaciones por inexistencia de infracción con motivo, sustancialmente, de los siguientes argumentos: Se señala que desde el momento del alta del servicio de la línea L.L.L., contratada el 7 de octubre de 2008, a través del distribuidor Alcahenartel Móvil, S.L., y dada de baja en septiembre de 2010 por impago, se generó una facturación a nombre de la denunciante como titular de la línea por el consumo efectuado, que fue abonada con excepción de las dos últimas facturas emitidas. Dicho impago ocasiono una deuda total de 221,70 € que conllevó la inclusión de los datos de la denunciante en el fichero de solvencia Asnef en fecha 12 de enero de 2012, dándose de baja en el momento de la venta de la deuda a TTI en marzo de 2013. Esta deuda fue recomprada en septiembre de 2013 con motivo de la recepción del requerimiento de información de la AEPD en el marco de las actuaciones previas de investigación E/04237/2013, ya que con anterioridad la operadora no había tenido constancia de reclamación alguna por parte de la denunciante por falta de contratación del servicio. Atendido que la contratación a través de distribuidor requiere que el contratante se identifique presencialmente y que el distribuidor remita copia del contrato al proveedor contratado por Vodafone para la gestión de la guarda y custodia de los mismos, se aduce que la falta de localización del contrato a través del proveedor en el momento en que se tuvo la necesidad de recuperarlo, cinco años después del alta y 3 después de la baja, sólo puede deberse a que dicho distribuidor, con el que ya no trabaja la compañía, no lo mandará a Vodafone. A pesar de la falta de aportación del contrato, se defiende que concurren circunstancias que demuestran la existencia de una relación contractual consentida por parte de la Sra. E.E.E., tal y como demuestra la remisión por parte de ésta a Vodafone, vía fax, de los justificantes de abono por transferencia bancaria de las facturas emitidas a su nombre por el citado servicio telefónico en noviembre y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 diciembre de 2008, con importe de 128, 67 € y 149,87 €, respectivamente, documentos en los que “ E.E.E. “ figuraba como ordenante o mandante de las mismas. Por ello, Vodafone considera que en el presente caso resulta de aplicación la doctrina de los actos propios de la Sra. E.E.E. dado que: 1) Los actos propios son inequívocos; 2) Que entre la conducta llevada a cabo por ésta y su pretensión actual exista una incompatibilidad o una inconsecuencia, según el sentido que, de buena fe, hubiera de atribuirse a la conducta anterior; 3) Vodafone actuó con plena conciencia según las circunstancias que se producían en cada momento; 4) Que la expectativa generadas eran completamente legítimas basadas en la existencia de una relación contractual entre las partes, soportada por consumo y pago de facturas; 5) Que en virtud de la denuncia todas las expectativas generadas quedan frustradas; 6) El cambio de criterio ha provocado un daño fehaciente con la apertura del expediente sancionador. QUINTO: Con fecha 24 de junio de 2014, se inició el período de práctica de pruebas, durante el cual se acordó dar por reproducidos, a efectos probatorios, la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante VODAFONE, el Informe de actuaciones previas de Inspección que forman parte del expediente E/04237/2013, las alegaciones al acuerdo de inicio PS/00286/2014 presentadas por la entidad imputada y la documentación que a ellas acompaña. Igualmente, se acordó, solicitar a VODAFONE aportación de copia de la siguiente documentación y/o información: 1) Información y documentación acreditativa de los controles realizados por VODAFONE al objeto de comprobar que en el supuesto que nos ocupa se cumplieron las instrucciones pactadas; 2) Copia de la documentación contractual acreditativa de la contratación por parte de la denunciante de la línea de telefonía móvil L.L.L., junto con copia de la documentación recabada a raíz de dicha contratación para acreditar la identidad del contratante de la citada línea; 3) Copia legible del Documento Nacional de Identidad adjuntado al documento nº 2 del escrito de alegaciones de fecha 17 de junio de 2014, toda vez que el aportado no resulta legible ni identificable como el de la denunciante; 4) Copia de las facturas del citado móvil con las que se corresponden los justificantes de pago por transferencia de las cantidades de 128,67 € y 149,87 € aportadas como documentos 1 y 2 a su escrito de alegaciones; 5) Envío de documentación acreditativa de la operación de “venta de cartera” de créditos efectuada, según se indicó durante las actuaciones previas de inspección, en fecha 20/03/2013, así como justificación de su elevación a público y protocolización del contrato de cesión de créditos entre ambas entidades; 6) Acreditación de que la deuda imputada a la denunciante se encontraba en la cartera de créditos vendida a TTI; 7) Acreditación de la comunicación de la compra-venta de la deuda en cuestión a la denunciante y de su efectiva notificación a la misma; 8) Aportación de medios de prueba que acrediten la fecha de la efectiva recompra de la deuda de 221,70 € por parte de VODAFONE a TTI; 9) Acreditación de la fecha en que se canceló definitivamente la citada deuda en los sistemas de esa entidad una vez recomprada a TTI; 10) Causa por la que se vendió la deuda asociada a los datos de la denunciante sin contar con la documentación acreditativa de la realización de la contratación por parte de titular de los datos. Asimismo, también se acordó solicitar a la denunciante la siguiente información y/o remisión de la documentación que a continuación se señala: 1) Copia de su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 Documento Nacional de Identidad; 2) Indicación de si es titular o ha sido titular los años 2008 y 2009 de la cuenta corriente I.I.I.; 3) Remisión de copia de cualquier documentación recibida de VODAFONE, bien en su domicilio o en el de sus padres, en relación con la facturación o deuda reclamada vinculada a la línea de teléfono móvil L.L.L..; 4) Indicación de si ha recibido algún tipo de comunicación procedente de TTI FINANCE S.A.R.L. asociada a dicha deuda en su domicilio o en el de sus padres; 5) Indicación de si ha mantenido o mantiene algún tipo de vinculación con el domicilio ubicado en la A.A.A. de Guadalajara. Igualmente, con esa misma fecha, se acordó solicitar a EQUIFAX IBÉRICA, S.L. (en adelante EQUIFAX) y Experian Bureau de Crédito, S.A., (en lo sucesivo EXPERIAN) la siguiente información: -Copia impresa de los datos que figuraban en los ficheros ASNEF y FOTOCLI, para el caso de EQUIFAX, y en los ficheros BADEXCUG, HISTORICO DE ACTUALIZACIONES DE BADEXCUG y BADEXESPACIO, para el caso de EXPERIAN, respecto de la denunciante, con NIF K.K.K. , en relación con las deudas informadas a su nombre por VODAFONE ESPAÑA, S.A.U. y TTI Finance , SARL, en especial las fechas de alta y de baja de las incidencias informadas por cada una de dichas entidades y los motivos de las bajas. - Copia de toda la documentación incluida en los expedientes asociados a la afectada, incluyendo, en su caso, la impresión de los resultados de las consultas efectuadas a los ficheros motivadas por el ejercicio de sus derechos. Paralelamente, se acordó, en la fecha indicada, solicitar al BANCO DE CASTILLA LA MANCHA, S.A., indicación del Titular/es de la cuenta nº H.H.H., así como su fecha de apertura y cancelación, si se hubiera producido, información que también se acordó solicitar a IBERCAJA BANCO, S.A. respecto de la cuenta nº J.J.J. . SEXTO: Con fecha 7 de julio de 2014 se registra de entrada escrito de la denunciante aportando copia de su DNI, copia de documentación relativa a la cuenta corriente I.I.I. de IBERCAJA, copia de la misma documentación de EQUIFAX y de TTI que fue presentada junto a la denuncia, afirmando que no dispone de ninguna documentación recibida de VODAFONE ni en su domicilio ni en el de sus padres en relación con la línea objeto de controversia, no mantiene ni ha mantenido ningún tipo de vinculación con el domicilio ubicado en la A.A.A. de Guadalajara. Con fecha 7 de julio de 2014 se registra de entrada escrito de Caja Castilla la Mancha indicando que la cuenta nº H.H.H. fue abierta el día 15 de mayo de 2008 y cancelada el 1 de septiembre de 2009, siendo sus titulares la denunciante y Don G.G.G.. Con fecha 7 de julio de 2014 se registra de entrada escrito de EXPERIAN informando que los datos de la denunciante asociados a su NIF se registraron de alta en el fichero BADEXCUG el 26 de septiembre de 2010 y se dieron de baja el día 31 de marzo de 2013, siendo informados por VODAFONE. Con fecha 11 de julio de 2014 se registra de entrada escrito de VODAFONE al que se acompaña copia del contrato suscrito entre esa entidad y Alcahernatel Móvil, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 S.L., La compañía, que no aporta ningún tipo de información relativa a los controles realizados para comprobar si se cumplieron las instrucciones pactadas con el distribuidor en relación con la identidad de la contratante. Se señala que aunque no se ha podido localizar el contrato por su antigüedad no puede hablarse de actividad fraudulenta con arreglo a la doctrina de los actos propios. Respecto del documento nº 2 del escrito de alegaciones se trata de un fax del año 2008 que fue recibido en las condiciones en las que fue aportado a la AEPD, observando que el único dato que se ve claramente es el nº del DNI que coincide con el de la denunciante. Se adjunta copia de las facturas que se corresponden con los justificantes de pago por transferencia solicitados. Se señala que la documentación acreditativa de la operación de venta de cartera de créditos a TTI ya obra en poder de esta Agencia. Se aporta copia de imagen extraída del sistema de la que se desprende que el comprador de la deuda de 221,70 € fue TTI, entidad a la que se recompró el 12/09/2013. Se indica que la encargada de hacer la comunicación de la compraventa de la deuda a la denunciante fue TTI, manifestando que cuando se vendó el crédito a dicha empresa VODAFONE procedió a cancelar la deuda en sus sistemas, quedando la misma a “0”, situación en la que continuó una vez recomprada. Se afirma que dado el perfil e histórico de la denunciante VODAFONE consideró, y considera, que concurrían circunstancias que la hacían susceptible de ser vendida, aun cuando no se disponía del contrato. Con fecha 14 de julio de 2014 se registra de entrada escrito de IBERCAJA indicando que en la cuenta nº J.J.J., actualmente vigente, figura como titular la denunciante, siendo su fecha de apertura el día 25 de julio de 2008 . Con fecha 16 de julio de 2014 se registra de entrada escrito de EQUIFAX exponiendo que ya no había anotaciones en el fichero ASNEF de la denunciante, cuyos datos fueron dados de alta en dicho fichero el día 12 de enero de 2012 por un saldo impagado de 221,70 € a instancias de VODAFONE, pasando posteriormente a ser TTI la entidad informante, que los dio de alta el 12 de mayo de 2013 y de baja el 28 de septiembre de 2013. SÉPTIMO: Con fecha 25 de septiembre de 2014 se formuló propuesta de resolución, en el sentido de que el Director de la AEPD se impusieran dos sanciones de 10.000 € cada una de ellas a VODAFONE ESPAÑA, SAU, por la comisión de sendas infracciones a lo previsto en el artículo 11.1 en relación con el 6.1 de la LOPD y en el artículo 4.3 en relación con el 29.4 de la LOPD, tipificadas ambas como graves en los artículos 44.3.
  3. k)y 44.3.c), respectivamente, de dicha Ley, de conformidad con lo establecido en el artículo 45.2 y 5 de la citada Ley Orgánica. OCTAVO: Con fecha 16 de octubre de 2014 se registra de entrada escrito de VODAFONE reiterando la exposición de los hechos efectuada en el anterior escrito de aleaciones en cuanto al origen de la deuda incluida en el fichero ASNEF, su venta y posterior recompra a TTI en cuanto tuvo noticia, por primera vez, de la falta de reconocimiento de la contratación del servicio por parte de la afectada. Asimismo, VODAFONE solicita que se proceda a dictar Resolución del procedimiento sancionador en la cuantía prevista en la citada propuesta de resolución por mostrarse conforme con las valoraciones y fundamentos de recogidos en la misma. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 PRIMERO: Con fecha 5 de junio de 2013, tuvo entrada en esta Agencia un escrito de Dña. E.E.E., con NIF K.K.K., (en adelante la denunciante), dando cuenta del tratamiento inconsentido y la cesión de sus datos personales a ficheros de solvencia patrimonial y crédito en relación con un servicio de telefonía no contratado. En dicha denuncia figura como domicilio la c/ C.C.C.. de Guadalajara. (folios 1-7) SEGUNDO: Con fecha 24 de enero de 2012 Dña. E.E.E., con NIF K.K.K., presentó ante la Comisaría de Policía de Guadalajara denuncia dando cuenta de la recepción el día 23/01/2012 en el domicilio de sus padres, sito en la c/ B.B.B. de Guadalajara, de una notificación del fichero ASNEF comunicándole la inclusión de sus datos en el mismo por una deuda de 221,70 € informada por VODAFONE, entidad con la que, según manifestaba, no había suscrito ningún contrato. Añade que no ha extraviado ni le ha sido sustraída su documentación personal. La denunciante señala como domicilio propio la D.D.D. de Guadalajara. (folio 2 ) TERCERO: En fecha 28 de febrero de 2013, VODAFONE y TTI Finance, SARL suscribieron un contrato de venta de cartera de créditos, tal y como consta en la “Escritura de elevación a público y protocolización de contrato para la cesión de créditos entre VODAFONE ESPAÑA, S.A.U. Y TTI FINANCE SARL” . (folios 7, 25, 35, 141, ) CUARTO: Con fecha 10 de abril de 2013 TTI Finance, SARL notificó a la denunciante, en el domicilio c/ B.B.B. de Guadalajara, la cesión a TTI Finance, SARL por parte de VODAFONE de una deuda de 221,70 € derivado de un contrato de telefonía suscrito con dicha entidad con fecha 07/10/2008. (folio 7). QUNTO: En los sistemas de VODAFONE constan los datos de la denunciante como titular de la línea L.L.L., con fecha de alta el 7 de octubre de 2008 y baja el 17 de septiembre de 2010 por impago. Como domicilio habitual de la misma se registra la c/ B.B.B. de Guadalajara, mientras que a efectos de facturación figura la A.A.A. de Guadalajara y la cuenta corriente nº H.H.H. de Caja de Ahorros de Castilla.La Mancha, en la actualidad Banco de Castilla La Mancha, SA. (folios 39-43). SEXTO: VODAFONE ha reconocido que no dispone del contrato suscrito con la denunciante y realizado a través del distribuidor Alcahenartel Móvil, S.L. Tampoco ha aportado la documentación que la denunciante debió presentar en el momento de la contratación para acreditar su identidad (folios 37, 46 y 140) SÉPTIMO: VODAFONE ha manifestado que la facturación emitida a nombre de la denunciante entre el 08/10/2008 y el 08/12/2009 por el servicio de telefonía asociado a la línea L.L.L. consta como abonada, estando pendientes de pago las facturas de fechas 8 de enero y 8 de febrero de 2010 por importes de 76,62 € y 145,08 €, respectivamente, las cuales se enviaron al domicilio de facturación que figura en los sistemas de VODADONE. (folios 35, 42 y 43, 64 al 78) OCTAVO: VODAFONE ha aportado copia de dos justificantes de pago correspondientes al abono por transferencia bancaria de dos facturas asociadas a la reseñada línea móvil que le fueron remitidos, vía Fax, con fechas 18/12/2008 y 07/01/2009, por quien se identificaba como “ E.E.E.”. En dicha documentación se acredita el abono de las cantidades de 149,87 € y 128,67 € correspondientes, según se desprende del listado de facturación aportado por la operadora, a los importes de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 las facturas de fechas 8 de noviembre y 8 de diciembre de 2008 giradas a nombre de la denunciante. Junto al Fax de fecha 18/12/2008 se incluye copia de un DNI en el que el único dato legible es el número K.K.K. (folios 42, 43 y 98 al 100) NOVENO: VODAFONE ha manifestado que como parte de la cartera cedida a TTI se encontraba la deuda por valor de 221,70 € resultante del impago de las facturas de fechas 8 de enero y 8 de febrero de 2010 citadas en el hecho probado séptimo. Esta operación de cesión de crédito a TTI aparece reflejada en los sistemas de VODAFONE. (folios 35, 44, 64 al 78, 190) DÉCIMO: Los datos de la denunciante se incluyeron en el fichero ASNEF informados por VODAFONE el día 12 de enero de 2012, por un saldo impagado de 221,70 €; pasando posteriormente a figurar como entidad informante TTI, que los dio de alta el 12 de mayo de 2013 y de baja el 28 de septiembre de 2013. (folios 6, 28, 29, 193, 202, 203) UNDÉCIMO: Los datos de la denunciante se incluyeron en el fichero BADEXCUG informados por VODAFONE con fecha 26 de septiembre de 2010, por un saldo impagado de 221,70 €, y se dieron de baja el día 31 de marzo de 2013. (folios 131 al 137). DUODÉCIMO: Con fecha 12 de septiembre de 2013 VODAFONE recompró a TTI el crédito de la denunciante (folio 190) DECIMOTERCERO: El BANCO DE CASTILLA LA MANCHA, S.A. ha comunicado a esta Agencia que la denunciante fue titular de la cuenta corriente nº H.H.H. entre el 15/05/2008 y el 01/09/2010. (folio 129 ) DECIMOCUARTO: BERCAJA BANCO, S.A. ha comunicado a esta Agencia que la denunciante figura a fecha 9 de julio de 2014 como titular de la cuenta corriente nº J.J.J. , con fecha de apertura del 25 de julio de 2008. La denunciante ha aportado documentación que muestra que Dña. E.E.E. tiene la condición de disponente de dicha cuenta. (folios 124, 125 y 192) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  4. g)en relación con el artículo 36 de la LOPD. II En primer lugar, se imputa a Vodafone la infracción del artículo 11 de la LOPD en relación con el 6.1 de dicha norma. El artículo 11.1 de la LOPD establece lo siguiente: "1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 2. El consentimiento exigido en el apartado anterior no será preciso: Cuando la cesión está autorizada en una Ley. Cuando se trate de datos recogidos de fuentes accesibles al público. Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas. Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos. Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 3. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 4. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 5. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores." Así, el artículo 11.1 de la LOPD exige el consentimiento del afectado, o bien, habilitación legal (artículo 11.2.
  5. a)de la LOPD) para la cesión de datos de carácter personal. Por su parte, el artículo 6, apartados 1 y 2, de la Ley Orgánica 15/1999, relativo al “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de los mismos. De acuerdo con las disposiciones transcritas, el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del tratamiento, - entre otros supuestos previstos en la Ley Orgánica 15/1999 -, cuando el tratamiento en cuestión se refiera a un contrato suscrito entre las partes y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). El artículo 3.
  6. h)de la LOPD define el “consentimiento del interesado” como “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”, mientras que el artículo 3.
  7. i)de la LOPD define como “Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado.” El principio del consentimiento expresado requiere la necesidad del consentimiento “inequívoco” del afectado para que puedan tratarse sus datos personales, sentido que la Audiencia Nacional ha expresado en forma reiterada, entre otras en la sentencia de 4 de marzo de 2009 al señalar: “Respecto al consentimiento, es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. A su vez, el artículo 12.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento para el Desarrollo de la LOPD, establece que “Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” III En el presente supuesto, a la vista de la documentación que obra en el expediente y de los hechos declarados probados, los datos personales de la denunciante (nombre, apellidos, DNI, cuenta corriente) fueron incorporados a los sistemas de información de VODAFONE asociados al alta de la línea telefónica L.L.L., tratándose los mismos por el responsable de tales ficheros para la emisión a nombre de la denunciante de la facturación asociada a dicho servicio de telefonía, la comunicación de los datos personales de la afectada a dos ficheros de solvencia patrimonial y de crédito y la cesión de los mismos a TTI al vender a dicha empresa una deuda de 221,70 € originada en un servicio cuya alta no puede imputarse en forma probada a la denunciante, VODAFONE ha alegado que el citado tratamiento se amparaba en la relación contractual derivada del alta de la reseñada línea por parte de la denunciante a través del distribuidor Alcahenartel Movil, S.L., añadiendo que no ha podido recuperar la documentación contractual correspondiente a dicho servicio al no poder localizarla a través del proveedor que guarda y custodia los contratos, situación que, a su vez, explica “sólo puede ser porque el distribuidor no lo mandará a Vodafone”. (folios 36, 37 y 140). Dicho argumento no acredita la existencia de la contratación aducida ni el consentimiento de la denunciante en la supuesta contratación de la línea telefónica, y, consecuentemente, no prueba el consentimiento de la misma para el tratamiento de sus datos personales. Además, la falta de aportación del contrato y de la documentación que el contratante habría debido acompañar al mismo, la cual tendría que obrar en poder de la entidad imputada, pone de manifiesto que VODAFONE, en el momento de comprobar la contratación gestionada a través de distribuidor, no adoptó las cautelas necesarias para verificar que la contratación había tenido lugar por la persona que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 aparecía como contratante y empleando sus verdaderos datos personales en lugar de los de un tercero. Todo ello teniendo en cuenta que según las propias manifestaciones de VODAFONE la gestión del alta por parte del distribuidor debería haberse realizado con arreglo al “Proceso general de activaciones” (folios 57 al 63) implantado por la compañía, y cuyo correcto cumplimiento debía ser controlado por VODAFONE en su condición de prestador del servicio contratado. De este modo, en las instrucciones relativas a dicho proceso, cuya copia se ha aportado por la imputada al procedimiento, se indica que el proceso de activación del alta genera 3 copias: una para el Cliente, otra para Vodafone y otra para el distribuidor, debiendo guardarse esta última en tienda durante 6 años, y requiere que el distribuidor valide determinada documentación del contratante para verificar su identidad. Esta documentación, en el caso de un cliente nacional, se fija en el DNI/NIF del titular original y en vigor, un documento bancario (original de la cartilla bancaria con titularidad del cliente u original de un recibió bancario a nombre cliente con los datos de la cuenta bancaria donde se domiciliaran los recibos de Vodafone) y el contrato de Vodafone cumplimentado y firmado en tienda (folio 59), debiendo enviarse por el distribuidor una copia de la misma a VODAFONE a través del medio establecido a tal efecto (folio 63). De lo expuesto, se evidencia que VODAFONE, en su condición de responsable del tratamiento de los datos personales asociados a la mencionada alta, no ha probado que recabó y obtuvo el consentimiento de la denunciante a través del canal indicado, ni ha justificado que la contratación aludida se realizara por parte de quien se identificó con los datos de la afectada. Igualmente, no ha acreditado haber tenido el cuidado que le resultaba exigible para controlar que el distribuidor le remitió la documentación contractual y personal señalada en las instrucciones pactadas con éste, y que resultaba precisa para justificar la existencia del contrato de la línea telefónica y la identidad del contratante. No hay que olvidar que la carga de acreditar la existencia del consentimiento “inequívoco” corresponde al responsable del tratamiento probar que cuenta con el consentimiento del afectado para ello. En este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. A mayor abundamiento, conforme al criterio señalado en la Sentencia de la Audiencia Nacional de fecha 8 de noviembre de 2012, Rec. 789/2010, la carga de acreditar la existencia del “consentimiento inequívoco” exigido en el artículo 6.1 recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales cuando su existencia sea negada por el titular de tales datos, tal y como ha hecho la denunciante en el caso que nos ocupa, máxime cuando tampoco consta que el operador haya efectuado ninguna comprobación en el momento de la supuesta contratación por el cliente ni con posterioridad a la misma. En consecuencia, el C/ Jorge Juan, 6 28001 – Madrid tratamiento de los datos personales de la denunciante www.agpd.es sedeagpd.gob.es 13/21 asociados a la línea objeto de controversia vulneraba el principio del consentimiento recogido en el artículo 6.1 de la LOPD, por cuanto el mismo se realizó sin que VODAFONE haya acreditado que contaba con el consentimiento inequívoco de la afectada o mediase habilitación legal para ello, no resultando de aplicación al mismo la excepción al consentimiento recogida en el artículo 6.2 de dicha norma que pudiera derivar de la relación contractual entre las partes al no haberse probado por VODAFONE la efectiva contratación de la línea por la denunciante Hay que indicar, sin perjuicio de que esta Agencia es consciente de los fraudes realizados, la responsabilidad que se exige a la imputada no es una responsabilidad objetiva, porque como ella conoce bien, lo esencial es haber acreditado que actuó con la diligencia mínima que corresponde a quien como ella, por razón de la actividad que desarrolla, se ve obligada a tratar continuamente datos personales. Por la misma razón, como también conoce, no se exige por la Agencia ninguna responsabilidad a las entidades que son –además del titular de los datos- víctimas de un fraude cuando han actuado diligentemente, con independencia de que exista finalmente una suplantación de personalidad del titular de los datos tratados, pero siempre que se acredite que la responsable del fichero adoptó las medidas encaminadas a asegurarse de que quien prestó el consentimiento era el verdadero titular de los datos que le fueron facilitados. VODAFONE no adoptó este deber de cuidado en relación con el tratamiento de datos de la denunciante asociado al alta inconsentida objeto de tanta cita, ni tampoco mostró el rigor exigible cuando, posteriormente, cedió los datos personales de la afectada sin su previo consentimiento a un tercero, concretamente a TTI en el marco de la venta de un crédito impagado derivado del mismo servicio de telefonía móvil supuestamente contratado por la denunciante, siendo esta falta de diligencia lo que hace recaer sobre la denunciada la responsabilidad, a título de culpa, por los hechos enjuiciados. En estas circunstancias, consta acreditado que, en fecha 20 de marzo de 2013, VODAFONE cedió a TTI los datos personales de la denunciante en relación con una deuda de la que ésta no era titular, puesto que VODAFONE no ha podido acreditar la contratación del servicio que la generó, sin que la recompra de dicha deuda a TTI a raíz de la reclamación recibida a través de la AEPD y la cancelación de la misma supongan exclusión alguna de su responsabilidad en la comisión de la infracción del artículo 11.1 de la LOPD en relación con el 6.1 de la misma norma, ya que dichas medidas responden a su obligación de adecuar su conducta y la información registrada en sus ficheros a la normativa de protección de datos. Por ello, con arreglo a lo expuesto, la comunicación de datos personales de la denunciante por VODAFONE a TTI se produjo sin el consentimiento de la afectada, quien no había contratado a VODAFONE el servicio del que supuestamente derivaba el crédito objeto de compraventa ni consentido la cesión de sus datos personales, no resultando tampoco de aplicación, en lo que se refiere a la cesión de los datos personales de la denunciante vinculados a esta deuda, el supuesto recogido en el artículo 11.2.
  8. a)de la LOPD para la cesión de los datos de carácter personal IV VODAFONE trata de exculparse con base a que la existencia de consumo en la facturación emitida y el pago de la facturación por la titular del servicio demuestran, a falta de prueba documental del contrato, la existencia de una relación contractual C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 consentida por parte de la denunciante. En apoyo de dicha pretensión aporta dos justificantes de pago por transferencia de dos facturas correspondientes a dicho servicio enviados por Fax por quien se identifica con el nombre y apellidos de la denunciante. Ahora bien, dichos documentos, a juicio de esta Agencia, no prueban, de forma fehaciente, que la contratación de la línea se realizase efectivamente por la denunciante y no por un tercero que utilizase sus datos personales, ni que los pagos y envío de los dos justificantes se hiciese por la propia afectada. Asimismo, debe rechazarse que la copia del DNI adjuntado al Fax de fecha 18/12/2008 permita reconocer a la denunciante como titular del servicio abonado, toda vez que dicho documento resulta completamente ilegible a excepción del número del mismo. Por lo tanto, este documento en la forma presentada, no permite identificar con las suficientes garantías al remitente del Fax con la persona de la denunciante, máxime teniendo en cuenta que no aparecen el resto de datos del titular del documento, en especial el de la imagen, por lo que no puede contrastarse con el DNI aportado por la afectada en el período de pruebas, a lo que hay que añadir los numerosos casos de duplicidad de DNI que se producen. Asimismo, la firma que figura en dicho Fax no resulta similar a la que obra en los distintos escritos presentados por la denunciante ante esta Agencia (folios 1, 99, 122 y 123) En virtud de todo lo expuesto, debe rechazarse, como pretende VODAFONE, que en este supuesto resulte de aplicación la doctrina de los actos propios de la propia Sra. E.E.E., fundamentalmente si se estima que los actos que a juicio del operador generaron la creencia de que no existía controversia alguna en relación con la contratación del servicio (consumo en un servicio asociado a su persona y pagos de las facturas) no enervan que el tratamiento efectuado en sus sistemas y la cesión de sus datos a TTI vulnerase la normativa de protección de datos . V La infracción de lo dispuesto en el artículo 11 de la LOPD se encuentra tipificada como grave en el artículo 44.3.
  9. k)de la misma norma, que considera como tal “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. En el presente caso VODAFONE es responsable de la comisión de una infracción del artículo 11.1 en relación con el 6.1 de la LOPD, calificada como grave en el artículo 44.3.
  10. k)de dicha norma, al haber cedido los datos personales de la denunciante sin el consentimiento de la misma en relación con un servicio no contratado por la afectada y una deuda derivada del mismo. VI En segundo lugar, se imputa a VODAFONE la vulneración del principio de “Calidad de los datos” recogido en el artículo 4.3 de la LOPD. Dicho precepto determina que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” Por su parte, el R.D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, (en lo sucesivo RLOPD), en su artículo 38 y bajo la rúbrica “Requisitos para la inclusión de los datos” dispone: “1. Solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  11. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. (…)
  12. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. El artículo 43 del RLOPD, bajo la rúbrica ”Responsabilidad”, dispone que: 1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. De acuerdo con la normativa señalada la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige, por una parte, que la deuda sea cierta, vencida, exigible y que haya resultado impagada, y por otra, que se haya requerido de pago al deudor antes de informar los datos a la entidad responsable de la gestión del fichero. Conviene recordar, además, que es el acreedor el responsable de comprobar que los datos que se comunican se ajustan a los requisitos de veracidad y exactitud establecidos en el artículo 4.3 de la LOPD y su normativa de desarrollo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 En relación con esta cuestión se pronuncia la Audiencia Nacional en su Sentencia de 18/01/2006, Recurso 0236/2004, “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” En el presente caso, ha quedado probado que los datos personales de la denunciante se incluyeron, a instancias de VODAFONE, en los citados ficheros de solvencia patrimonial y crédito ASNEF y BADEXCUG por un saldo deudor de 221,70€ asociado a una operación de telecomunicaciones, sin que la deuda informada fuera imputable a la denunciante por estar originada en el impago de dos facturas correspondientes a la facturación de un servicio (línea L.L.L.) que no había sido contratado por la denunciante. Los hechos anteriormente relatados son contrarios al principio de calidad de datos consagrado en el artículo 4.3, y en relación con el 29.4 de la LOPD, toda vez que los datos personales de la denunciante informados por VODAFONE a los reseñados ficheros de solvencia no respondían a su situación actual (en esas fechas), ya que se trataba de una deuda que no le resultaba imputable a la misma. VII Consta acreditado en esta Agencia que las entidades asociadas a los ficheros información sobre solvencia patrimonial y crédito suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. En este supuesto, los datos personales de la denunciante figuraban en los ficheros informáticos de VODAFONE como deudora, entidad que instó su incorporación a los ficheros ASNEF y BADEXCUG. Dicha comunicación y anotación se realizó mediante un procedimiento que implica un tratamiento automatizado de los datos personales de la afectada tanto por parte de la entidad informante como por parte de los responsables de los mencionados ficheros de solvencia patrimonial y crédito. Teniendo en cuenta que la vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros, (artículo 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.
  13. d)de la LOPD, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos que “(…) que decide sobre la finalidad, contenido y uso del tratamiento.”, resulta necesario determinar si, en el presente caso, VODAFONE, puede ser considerada responsable del tratamiento. El propio artículo 3.
  14. c)de la LOPD define como “tratamiento de datos” las “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 interconexiones y transferencias”. Consta que esta entidad trató los datos titularidad de la denunciante asociados al importe deudor correspondiente a la facturación derivada de la prestación del servicio de una línea telefónica registrada a su nombre en sus propios ficheros, de los que es responsable conforme el artículo 3.
  15. d)de la LOPD, y decidió la comunicación a dos ficheros de morosidad de la deuda proveniente del servicio L.L.L., habiendo decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudora), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a ficheros comunes de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). En este supuesto se ha acreditado que los datos de la denunciante permanecieron en los reseñados ficheros por un período prolongado de tiempo asociados, indebidamente, a un saldo impagado de 221,70 €. En concreto, se mantuvieron en el fichero ASNEF a instancias de VODAFONE entre el 12/01/2012 y el 11/05/2013, siendo a partir del 12/05/2013 cuando TTI pasó a figurar como entidad acreedora de dicha deuda como cesionaria de la incidencia inicialmente informada por VODAFONE, condición en la que figuró hasta el 28/09/2013 que se dio de baja al ser recomprada por VODAFONE. Asimismo, se incluyeron en el fichero BADEXCUG asociados al importe anteriormente indicado entre el 26/09/2010 y el 31/03/2013 a instancias de VODAFONE. Habida cuenta que los datos personales de la denunciante fueron incluidos por dicha compañía en los ficheros de solvencia patrimonial y crédito ASNEF y BADEXCUG vinculados a una deuda que no era cierta, ni vencida ni exigible desde la perspectiva de la afectada, por cuanto VODAFONE no ha justificado que la denunciante hubiera prestado su consentimiento para el alta de la línea controvertida. Por lo tanto, VODAFONE resulta responsable de la comunicación indebida de la información adversa de la denunciante a dos ficheros de solvencia patrimonial y de crédito a través de tratamientos automatizados, información cuya certeza el acreedor debe verificar previamente a su comunicación a tales ficheros conforme a lo establecido en el artículo 43 del Real Decreto 1720/2007. La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que VODAFONE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4, ambos de la LOPD, y en los términos del artículo 43 en relación con las definiciones del artículo 3.
  16. d)y
  17. c)de la citada Ley Orgánica. VIII La conducta descrita en el anterior Fundamento de Derecho está tipificada como infracción grave en el artículo 44.3.
  18. c)de la citada norma, que dispone como tal: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En el presente caso VODAFONE es responsable, a título de culpa, de la comunicación de datos de carácter personal de la afectada no veraces a los ficheros de solvencia patrimonial y crédito mencionados, puesto que la denunciante no era deudora de ninguna cantidad a VODAFONE al adolecer de la condición de cliente de dicha entidad, lo que supone la vulneración del principio de calidad de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 recogido en el artículo 4.3 de la LOPD por parte de la entidad informante, la cual resulta responsable de la veracidad y exactitud de los datos que suministra a los reseñados ficheros comunes. No hay que olvidar que a tal empresa le corresponde, en cumplimiento de la normativa de protección de datos, y en su condición de entidad informante adoptar las medidas de comprobación precisas para asegurar la veracidad y exactitud de los datos que suministra a los ficheros de solvencia patrimonial y crédito, de tal modo que el incumplimiento de este deber de diligencia determina la comisión de la infracción del principio de calidad de los datos. IX El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  19. a)El carácter continuado de la infracción.
  20. b)El volumen de los tratamientos efectuados.
  21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  22. d)El volumen de negocio o actividad del infractor.
  23. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  24. f)El grado de intencionalidad.
  25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  29. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  30. b)Cuando la entidad infractora haya regularizado la situación irregular de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 diligente.
  31. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  32. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  33. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", siendo necesario para ello la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. A la vista de lo actuado, se estima, que en el presente caso concurre una circunstancia de notable relevancia para apreciar una cualificada disminución de la culpabilidad de la entidad infractora que justifica la aplicación del supuesto previsto en el artículo 45.5.a), consistente en el hecho de que las facturas del servicio telefónico en cuestión se abonaron con regularidad en el período comprendido entre el 08/10/2008 y el 08/12/2009, lo que unido a la ausencia de reclamaciones de la denunciante dirigidas a VODAFONE, pudo generar en la entidad infractora la creencia errónea de que se trataba de una contratación regular, máxime si se tiene en cuenta que quien se identificaba como la titular de la línea objeto de controversia remitió, vía Fax, dos justificantes del pago por transferencia de dos de las facturas emitidas a nombre de la afectada por el servicio de la línea L.L.L. . Adicionalmente, se observa la existencia de motivos para aplicar la facultad contemplada en el artículo 45.5.
  34. b)de la LOPD, ya que consta acreditado que VODAFONE actuó con rapidez para subsanar la situación irregular tan pronto como conoció la misma al recibir, con fecha 26 de agosto de 2013, el requerimiento de información de esta Agencia en el expediente de investigación de actuaciones previas E/04237/2013. De este modo, con fecha 13 de septiembre de 2013 VODAFONE recompró la deuda de 221,70 € vendida en su día a TTI y también canceló la misma en sus sistemas en evitación de que pudiera volver a ser reclamada a la afectada. Asimismo, y a raíz de la recompra, con fecha 28 de septiembre de 2013 TTI dio de baja la incidencia que asociaba dicha deuda a los datos de la denunciante en el fichero ASNEF. Aunque estas circunstancias no eximen de responsabilidad a la entidad infractora ni excluyen la existencia de culpabilidad en su conducta, reducen en forma cualificada su presencia justificando también la aplicación del criterio contemplado en el artículo 45.5
  35. a)de la LOPD, al entender que se produce la concurrencia significativa de los criterios
  36. a)y
  37. j)del artículo 40 de la LOPD. Por tanto, teniendo en consideración los criterios
  38. a)y
  39. b)de graduación de las sanciones establecidos en el artículo 45.5 de la LOPD, al existir una cualificada disminución de la culpabilidad y una rápida respuesta en orden a regularizar la situación, el importe de las multas a imponer deberá encontrarse entre 900 y 40.000 euros de la escala de las infracciones leves. A los efectos de graduar las sanciones a imponer, recordar la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, por todas, sentencia de 29 de abril de 2010, R.771/2009). En cuanto al volumen de negocio o actividad del infractor, en los informes anuales de 2009 y 2011 de la Comisión del Mercado de las telecomunicaciones, se recoge que VODAFONE obtuvo unos ingresos totales en el sector de: 7320,35 millones de Euros en 2007; 7031,53 millones de Euros en 2008; 6595,33 millones de Euros en 2009; 6081,44 millones de Euros en 2010; 5647,08 millones de Euros en 2011 y 5045,42 millones de Euros en 2012 En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD, se tiene en cuenta, especialmente, que los datos de la denunciante se cedieron a un tercero a pesar de que no mediaba el consentimiento de la denunciante para el alta de la línea de la que derivaba la deuda vendida a TTI; que los datos de la denunciante se mantuvieron por VODAFONE en forma indebida en el fichero ASNEF durante más de un año y en el fichero BADEXCUG durante dos años y medio; la especial vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, y ser una empresa habituada al tratamiento de datos personales, todo lo cual lleva a considerar procedente imponer dos multas de 10.000 euros cada una de ellas. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, SAU, por una infracción del artículo 11.1 en relación con el 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  40. k)de dicha norma, una multa de 10.000 € (Diez mil euros) de conformidad con lo establecido en el artículo 45.2 y 5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad VODAFONE ESPAÑA, SAU, por una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, tipificada como grave en el artículo 44.3.
  41. c)de dicha norma, una multa de 10.000 € (Diez mil euros) de conformidad con lo establecido en el artículo 45.2 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, SAU y a Doña E.E.E. . CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.