← España

PS-00296-2013

1/19 Procedimiento Nº PS/00296/2013 RESOLUCIÓN: R/02610/2013 En el procedimiento sancionador PS/00296/2013, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 13/09/2012 tiene entrada en la Agencia Española de Protección de Datos un escrito remitido por Dña. A.A.A. (en lo sucesivo la denunciante), en el que manifiesta que VODAFONE ha dado de alta de manera fraudulenta varias líneas de móviles a nombre de su padre, B.B.B. (en lo sucesivo B.B.B.) incapacitado desde el 2006 y ha incluido los datos personales de éste en ficheros de morosidad por impago de las deudas derivadas de estos servicios. SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos: - Con fecha 19/10/2012 se solicita a EQUIFAX IBERICA, S.L. (en lo sucesivo EQUIFAX), información relativa a B.B.B. y de la respuesta recibida se desprende lo siguiente: Respecto del fichero ASNEF: Consta una incidencia informada por VODAFONE con fecha de alta 08/03/2012, fecha de última actualización 24/03/2012, por vencimientos impagados primero y último de fechas febrero 2011 – julio 2011 y por un importe de 378,69 euros. Consta una incidencia informada por VODAFONE con fecha de alta 08/03/2012, fecha de última actualización 24/03/2012, por vencimientos impagados primero y último de fechas enero 2011 – marzo 2011 y por un importe de 186,82 euros. Consta una incidencia informada por VODAFONE con fecha de alta 13/07/2012, fecha de última actualización 05/08/2012, por vencimientos impagados primero y último de fechas marzo 2011 – abril 2011 y por un importe de 90,56 euros. Respecto del fichero de NOTIFICACIONES: Consta una notificación emitida a nombre de B.B.B., con fecha de emisión 04/02/2012, 10/03/2012 y 24/03/2012, por un producto de telecomunicaciones, por un importe de 378,69 euros y siendo la entidad informante VODAFONE. Consta una notificación emitida a nombre de B.B.B., con fecha de emisión 04/02/2012, 10/03/2012 y 24/03/2012, por un producto de telecomunicaciones, por un importe de 186,82 euros y siendo la entidad informante VODAFONE. Consta una notificación emitida a nombre de B.B.B., con fecha de emisión 04/02/2012, 10/03/2012 y 24/03/2012, por un producto de telecomunicaciones, por un importe de 90,56 euros y siendo la entidad informante VODAFONE. Respecto del fichero de BAJAS: Consta una baja asociada a la notificación citada en el apartado anterior para una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 operación con fecha de alta y baja en ASNEF de 02/02/2012 – 28/02/2012. El motivo consta como CLIENTE, el importe es de 378,69 euros y por vencimientos impagados primero y último de fechas 11/02/2011 – 14/07/2011. Consta una baja asociada a la notificación citada en el apartado anterior para una operación con fecha de alta y baja en ASNEF de 02/02/2012 – 28/02/2012. El motivo consta como CLIENTE, el importe es de 186,82 euros y por vencimientos impagados primero y último de fechas 12/01/2011 – 14/03/2011. Consta una baja asociada a la notificación citada en el apartado anterior para una operación con fecha de alta y baja en ASNEF de 02/02/2012 – 28/02/2012. El motivo consta como CLIENTE, el importe es de 90,56 euros y por vencimientos impagados primero y último de fechas 03/03/2011 – 29/04/2011. Consta una baja asociada a la notificación citada en el apartado anterior para una operación con fecha de alta y baja en ASNEF de 02/02/2012 – 28/02/2012. El motivo consta como F.PURA, el importe es de 90,56 euros y por vencimientos impagados primero y último de fechas 03/03/2011 – 29/04/2011. - Con fecha 19/10/2012 se solicita a EXPERIAN BUREAU DE CREDITO, S.A. (en lo sucesivo EXPERIAN), información relativa a B.B.B. y de la respuesta recibida se desprende lo siguiente: Respecto del fichero BADEXCUG: No consta información. Respecto del fichero de NOTIFICACIONES: Constan dos notificaciones enviadas a B.B.B. como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad VODAFONE ESPAÑA, S.A. Las notificaciones fueron emitidas con fecha 02/08/2011 y 20/12/2011, por deuda de 378,69 euros. Constan tres notificaciones enviadas a B.B.B. como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad VODAFONE. Las notificaciones fueron emitidas con fecha 02/08/2011, 07/02/2012 y 14/08/2012 por deuda de 90,56 euros. Constan dos notificaciones enviadas a B.B.B. como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad VODAFONE. Las notificaciones fueron emitidas con fecha 09/08/2011 y 20/12/2011, por deuda de 186,82 euros. Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. Consta una operación impagada informada por VODAFONE con fecha de alta de 31/07/2011 y fecha de baja de 14/11/2011 por ejercicio del derecho de cancelación. La segunda inclusión tuvo lugar el 18/12/2012 y volvió a darse de baja el 31/10/2012 a petición de la entidad informante. Consta una operación impagada informada por VODAFONE con fecha de alta de 31/07/2011 y fecha de baja de 14/11/2011 por ejercicio del derecho de cancelación. La segunda inclusión tuvo lugar el 05/02/2012 y volvió a darse de baja el 01/07/2012 por proceso automático semanal de actualización de datos. La tercera inclusión fue el 12/08/2012 y de baja el 31/10/2012 a petición de la entidad informante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 Consta una operación impagada informada por VODAFONE con fecha de alta de 07/08/2012 y fecha de baja de 14/11/2011 por ejercicio del derecho de cancelación. La segunda inclusión tuvo lugar el 18/12/2012 y volvió a darse de baja el 31/10/2012 a petición de la entidad informante. - Con fecha 19/10/2012 se solicita a VODAFONE información relativa a B.B.B. y de la respuesta recibida se desprende lo siguiente: Respecto de los productos que constan a su nombre: ***TEL.1: con fecha de alta 11/01/2011 y de baja 14/10/2011 ***TEL.2: con fecha de alta 11/01/2011 y de baja 14/10/2011 ***TEL.3: con fecha de alta 30/12/2010 y de baja 26/08/2011 ***TEL.4: con fecha de alta 30/12/2010 y de baja 17/08/2011 Todas fueron contratadas por el servicio de televenta y la entidad manifiesta no encontrar las grabaciones de la contratación de ninguna de estas líneas. Domicilio y dirección de contacto: (C/.....................1) Logroño (La Rioja). Dirección de facturación: (C/.....................2) (La Rioja). De las tres primeras líneas se abonó la primera factura de cada una de ellas (el resto fueron devueltas) y de la última línea no se abonó ninguna factura. Actualmente, la deuda contraída se encuentra cancelada. Respecto de las comunicaciones y contactos que han existido entre esa entidad y el cliente, aportan la siguiente información: El cliente remite un fax con fecha 12/05/2011. En él reclama que se dieron de alta unas líneas sin su solicitud, a través de suplantación de identidad y pide que no se pasen recibos la cobro y copia de los contratos. Respecto de las causas que han motivado la inclusión de los datos personales del afectado en los ficheros ASNEF y BADEXCUG y del requerimiento de pago de la deuda como paso previo a su inclusión en los ficheros citados, la entidad manifiesta: Se debe al impago de las facturas. Respecto de los motivos por los que, en su caso, se ha solicitado la exclusión de los datos del afectado de los citados ficheros, la entidad manifiesta que se debe a la declaración de las líneas contratadas como fraudulentas. TERCERO: Con fecha 27/05/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE por presunta infracción de los artículos 6.1 y 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.

  1. b)y 44.3.
  2. c)de dicha norma, pudiendo ser sancionadas con multa de 40.001 euros a 300.000 euros cada una, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, mediante e-mail de fecha 30/05/2013, la denunciante, solicitó personarse como interesada en el procedimiento; el instructor, el 31/05/2013, respondía que se le tenía por tal. La representación de VODAFONE, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 mediante escrito de fecha 14/06/2013, formuló en síntesis, las siguientes alegaciones: En cuanto a los hechos: que el Sr. B.B.B. tenía vinculados cuatro servicios que tenían asociados la misma dirección y número de cuenta, por lo que la contratación se llevo a cabo por una persona que respondía a esos datos y de forma telefónica; que en tres de los cuatros servicios contratados fue abonada la primera factura, dejándose de abonar las posteriores por lo que se fue acumulando una deuda que comenzaron a ser requeridas y ante su impago, instando el alta en ficheros de morosidad. En cuanto a los fundamentos: que la entidad no ha infringido el artículo 6.1 ni el artículo 4.3 de la LOPD; que en el improbable caso de que se hubieran infringido, cabria aplicar el artículo 4.4 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora (REPEPOS) y la aplicación subsidiaria de los artículos 45.4 y 5 de la LOPD. QUINTO: Con fecha 26/10/2012, se inició un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/06534/2012. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00296/2013 presentadas por VODAFONE, no considerando necesario ni procedente la prueba solicitada para la resolución del procedimiento. Solicitar a VODAFONE copia de las facturas emitidas en relación con las líneas discutidas. Solicitar al denunciante que remita copia de toda la documentación que obre en su poder relativa al procedimiento sancionador que no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados. VODAFONE y la denunciante dieron contenido obra en el expediente. respuesta a la pruebas practicada cuyo SEXTO: En fecha 09/10/2013, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a VODAFONE por infracción de los artículos 4.3 y 6.1 de la LOPD, tipificadas como grave en los artículos 44.3.
  3. c)y 44.3.
  4. b)de dicha norma, con multa de 80.000 E cada una (ochenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. En fecha 15/10/2013, la denunciante solicito mediante e-mail copia del expediente. El instructor, mediante escrito de misma fecha, remito los documentos solicitados. La representación de VODAFONE presentó el 29/10/2013 escrito de alegaciones formulando, en síntesis, las ya realizadas a lo largo del procedimiento y, además, su disconformidad con lo señalado en la propuesta ya que en el presente caso no se habría infringido el articulo 6.1 sino que nos encontraríamos en un supuesto de los que la ley exime de exigir el consentimiento del afectado en virtud del artículo 6.2 de la LOPD y tampoco existirá vulneración del artículo 4.3 de la LOPD, reiterando la aplicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 subsidiaria de los señalado en el artículo 45.4 y 5 de la LOPD. Asimismo, solicitaba copia de documentación integrante del expediente administrativo. HECHOS PROBADOS PRIMERO. Con fecha 20/09/2012, tiene entrada en esta Agencia escrito de la denunciante manifestando que estando su padre incapacitado e ingresado en un centro residencial, VODAFONE le ha remitido requerimientos de pago de una deuda, por importe de 290 euros, cuyo impago ha motivado la suspensión del servicio; sin embargo, al parecer tiene en alta otras dos líneas, a día de hoy activas (folio 1 a 3). SEGUNDO. Constan las copias tanto del DNI de la denunciante con nº ***NIF.1, como el de su padre D. B.B.B., nº ***NIF.2 (folios). TERCERO. Con fecha 17/03/2006, el Juzgado de Primera Instancia nº 1 de Logroño dictó sentencia en cuyo fallo se señala “Que estimando la demanda interpuesta por el Ministerio Fiscal debo declarar y declaro a todos los efectos procedentes que DON B.B.B. …, es INCAPAZ para regir su persona y sus bienes, acordándose como régimen de guarda adecuado para dicha persona su sujeción a TUTELA debiéndose nombrar tutor a su hija la denunciante y sin que haya lugar a hacer expresa condena en costas” (folio 7 y 8). Asimismo, consta con fecha 02/05/2006 Diligencia de Aceptación y Juramento del Cargo, del Juzgado de Primera Instancia de Logroño, en la que la denunciante comparece y acepta el cargo jurando desempeñarlo fielmente y cumpliendo las obligaciones inherentes al mismo (folios 9 y 10). CUARTO. En los ficheros informatizados de VODAFONE constan los siguientes productos vinculados al Sr. B.B.B.: Línea asociada al nº ***TEL.1: con fecha de alta 11/01/2011 y de baja 14/10/2011. Línea asociada al nº ***TEL.2: con fecha de alta 11/01/2011 y de baja 14/10/2011 Línea asociada al nº ***TEL.3: con fecha de alta 30/12/2010 y de baja 26/08/2011 Línea asociada al nº ***TEL.4: con fecha de alta 30/12/2010 y de baja 17/08/2011 Como dirección figura C/ (C/.....................1) (La Rioja) y como facturación (C/.....................2) (La Rioja) (folios 128 a 140). dirección de QUINTO. VODAFONE no ha podido acreditar, ni aportar documentación alguna, grafica o sonora, de la contratación de las líneas asociadas a los números ***TEL.1, ***TEL.2, ***TEL.3 y ***TEL.4. En escrito de fecha 06/11/2012 ha manifestado “…no ha resultado posible los contratos suscritos entre D. B.B.B. y Vodafone” (folio 125). SEXTO. VODAFONE ha aportado, impresiones de pantalla de las facturas emitidas, y copia de las siguientes en relación con las citadas líneas: Facturas nº ***TEL.1 1) ***FACTURA.1, de 15/01/2011, por importe de 3,03 euros. 2) ***FACTURA.2, de 15/02/2011, por importe de 15,91 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 3) ***FACTURA.3, de 15/03/2011, por importe de 11,74 euros. 4) ***FACTURA.4, de 15/04/2011, por importe de 40,57 euros Facturas nº ***TEL.2: 1) ***FACTURA.5, de 22/01/2011, por importe de 6,06 euros. 2) ***FACTURA.6, de 22/02/2011, por importe de 29,38 euros. 3) ***FACTURA.7, de 22/03/2011, por importe de 29,38 euros. 4) ***FACTURA.8, de 22/04/2011, por importe de 90,56 euros (incluye el saldo de periodo anterior de 58,76 euros). Facturas nº ***TEL.3: 5) ***FACTURA.9, de 05/01/2011, por importe de 13,68 euros. 6) ***FACTURA.10, de 05/02/2011, por importe de 290,53 euros. 7) ***FACTURA.11, de 05/03/2011, por importe de 368,69 euros (incluye el importe del saldo anterior). 8) ***FACTURA.12, de 05/07/2011, por importe de 378,69 euros (incluye el importe del saldo anterior). Facturas nº ***TEL.4: 9) ***FACTURA.13, de 05/02/2011, por importe de 148,55 euros (incluye el importe del saldo anterior). 10) ***FACTURA.14, de 05/03/2011, por importe de 186,82 euros (incluye el importe del saldo anterior) (folios 251 a 294). SEPTIMO. Constan requerimientos de pago, de fecha 07/03/2011 y 02/06/2011, 13/06/2011 remitidos por VODAFONE en los que se intima al afectado al pago, en el primero, una deuda de 290,53 euros, motivo por el que han procedido a la suspensión cautelar del servicio contratado (folio 12), en el segundo, una deuda de 90,56 euros (folio 24) y en el tercero, una deuda de 40,57 euros (folio 26). Asimismo, constan requerimientos de pago remitidos por empresas de recobro de deudas SEINCO, S.L. de fechas 06/05/2011, 30/06/2011, 10/08/2011, 11/08/2011, COLLECTA, Servicios de Gestión de Cobros, S.A. de fechas 24/03/2011, 18/04/2011 y 17/05/2011, ESPREIM, Consultores Legales de fecha 30/06/2011, Corporación Legal Abogados de fecha 01/12/2011, 30/12/2011, 05/03/2012, Oriola Abogados, de fechas 28/02/2012, 07/03/2012, 02/04/2012, 11/04/201218/11/2011 y GESCOBRO, de fecha 21/11/2012 dirigidos a D. B.B.B. en relación con deudas contraídas con VODAFONE (folios 18 a 23, 31 a 33, 36, 41 a 4347, 48 y 206). La denunciante, como representante de D. B.B.B., presentó denuncia ante el Juzgado de Primera Instancia de Logroño como consecuencia de los requerimientos remitidos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 (folio 16). OCTAVO. EXPERIAN, en fecha 16/11/2012, ha informado que en el fichero BADEXCUG figura las siguientes incidencias asociadas al identificador ***NIF.2 correspondiente a D. B.B.B., por una operación telecomunicaciones, informadas por VODAFONE: 1) Operación **********1, con fechas de alta y baja, respectivamente 31/07/2011-14/11/2011 y 18/12/2012-31/10/2012, por un importe impagado de 378,69 euros. La altas fueron notificadas a la dirección: (C/……..1),Logroño. 2) Operación **********2, con fechas de alta y baja, respectivamente 31/07/2011-14/11/2011; 05/02/2012-01/07/2012 y 12/08/2012-31/10/2012, por un importe impagado de 90,56 euros. La altas fueron notificadas a la dirección: (C/.....................1)-Logroño. 3) Operación **********3, con fechas de alta y baja, respectivamente 07/08/2012-14/11/2011 y 18/12/2012-31/10/2012, por un importe impagado de 186,82 euros. La altas fueron notificadas a la dirección: (C/.....................1), Logroño (folios 157 y 158, 163 a 169). NOVENO. Consta que la denunciante se dirigió a EXPERIAN, como responsable del fichero BADEXCUG, el 07/11/2011 y el 09/01/2012, ejercitando el derecho de cancelación de los datos de su padre que figuraban incluidos en el mismo, quien en relación con la primera solicitud, con fecha 14/11/2011, le informaba que tras las comprobaciones pertinentes habían procedido a la cancelación en el fichero BADEXCUG, de las tres operaciones informadas por VODAFONE. Asimismo, le informaban de las entidades que habían consultados los en los últimos seis meses: BANKINTER e IBERCAJA (188 y 189). Consta que las bajas de las citadas operaciones fueron realizadas por la falta de respuesta de la entidad informante (folio 187) En relación con la segunda solicitud, el 16/01/2012, le informaban que “Lamentamos no poder proceder a la cancelación de los datos que se adjuntan a continuación por haber sido confirmados por la entidad informante del mismo al fichero BADEXCUG” (folios 198 y 199). DECIMO. EQUIFAX Ibérica, S.L. en escrito de fecha 29/10/2012, ha informado que en el fichero ASNEF actualmente constaban informadas y en alta información relativa al identificador ***NIF.2 correspondiente a D. B.B.B., por operaciones telecomunicaciones, en calidad de titular, informadas por VODAFONE, con fechas de alta 08/03/2012, por saldos impagados de 378,79 euros y 186,82 euros, y alta 13/07/2012, por un saldo impagado de 90,56 (folios 67, 71 y 74); Además, figuran las siguientes incidencias informadas por VODAFONE: del 02/02/2012 al 28/02/2012, por un importe impagado de 378,69 euros; del 02/02/2012 al 28/02/2012, por un importe impagado de 186,82 euros y, del 02/02/2012 al 28/02/2012 y del 08/03/2012 al 30/06/2012 por un importe impagado de 90,56 euros (folios 95, 97, 99, 101). Las citadas incidencias fueron notificadas a (C/.....................1)-Logroño (folios 80 a 90). UNDECIMO. Consta que el denunciante se dirigió a ASNEF-EQUIFAX, como responsable del fichero ASNEF, ejercitando el derecho de cancelación de los datos de su padre, que figuraban incluidos en el fichero, quien en fecha 28/02/2012 le informaba que “tras las comprobaciones pertinentes hemos procedido a la Baja cautelar con la/s entidad/es VODAFONE en el fichero ASNEF de los datos asociados al identificador ***NIF.2”. Asimismo, le informaban de las entidades que habían consultados los en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 últimos seis meses: CABLEUROPA (109 y 110). Con fecha 28/02/2012, ASNEF-EQUIFAX se dirigió a VODAFONE indicándole que en relación con el expediente del Sr. B.B.B., solicitando la cancelación de sus datos que “ante la falta de contestación de su estimada entidad, conforme a las normas de funcionamiento del fichero ASNEF hemos procedido a la baja cautelar del dato” (folio 111). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Se imputa a VODAFONE en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 VODAFONE no ha acreditado en el procedimiento que cuente con el consentimiento del padre de la denunciante para el tratamiento de sus datos, materializado en la contratación de las líneas asociadas a los números ***TEL.1, ***TEL.2, ***TEL.3 y ***TEL.4, emitiendo facturas por cada una de ellas (hecho probado seis); contratación que era imposible puesto que el afectado había sido declarado incapaz por sentencia del Juzgado de Primera Instancia nº 1 de Logroño, el 17/03/2006, es decir, casi con cinco años de anterioridad a la contratación de las citadas líneas; contratación que además precisaba de autorización judicial, de acuerdo con lo previsto en el artículo 271 del Código Civil y de conformidad con lo señalado en la Diligencia de Aceptación y Juramento del Cargo, dictada por el Jugado de Primera Instancia nº 1 de Logroño, de fecha 02/05/2006. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a VODAFONE tratar los datos del denunciante sin su consentimiento. III Se imputa a VODAFONE la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” El artículo 38.1 del Reglamento de desarrollo de la LOPD, aprobado por R.D. 1720/2007, de 21 de diciembre, señala que: “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan en todo momento a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Es objeto de estudio en el presente procedimiento, y por tanto cuestión a dilucidar en el mismo, si la inclusión de los datos del denunciante en los ficheros de morosidad se realizó conforme determina la normativa de protección de datos. En el presente caso, de lo comunicado a esta Agencia por ASNEF-EQUIFAX como responsable del fichero ASNEF y EXPERIAN como responsable del fichero BADEXCUG, ha quedado acreditado que los datos personales del afectado figuran informados por VODAFONE para su inclusión en los citados ficheros, como consecuencia de tres saldos impagados contraídos con VODAFONE, por importes de 378,69 euros, 90,56 euros y 186,82 euros, por operaciones de telecomunicaciones, sin que la deuda informada fuera cierta, vencida y exigible, ni respondiera a la situación actual del afectado (en aquel momento), ya que éste no mantenía relación contractual con la citada entidad, dada su condición de incapaz, en virtud de la sentencia emitida por el Juzgado de Primera Instancia nº 1 de Logroño. VODAFONE como informante de dichos datos a los ficheros de solvencia, debió extremar su diligencia y responsabilidad en el momento de facilitar una información de esa naturaleza, tal y como exige el artículo 4 de la LOPD; es decir, VODAFONE debió haberse asegurado que los datos de carácter personal eran exactos y respondían con veracidad a la situación del afectado, antes de instar la inclusión en los ficheros de obligaciones dinerarias, dada las repercusiones personales que conlleva estar incluido y permanecer en ese tipo de ficheros. A mayor abundamiento, tal como consta en los hechos probados nueve y once, la denunciante, hija y representante del afectado, según diligencia de aceptación del Juzgado de Primera Instancia de Logroño, de fecha 02/06/2006, se dirigió a los responsables de los ficheros ASNEF y BADEXCUG en el ejercicio del derecho de cancelación de los datos de carácter personal de D. B.B.B., incluidos en los mismos. Pues bien, ASNEF-EQUIFAX le comunicó que habían procedido a la baja cautelar de los datos y el propio reponsable del fichero se dirigió a VODAFONE indicándole que en relación con el expediente del D. B.B.B., solicitando la cancelación de sus datos que “ante la falta de contestación de su estimada entidad, conforme a las normas de funcionamiento del fichero ASNEF hemos procedido a la baja cautelar del dato” , y EXPERIAN, el 16/01/2012, le informaba a la denunciante que “Lamentamos no poder proceder a la cancelación de los datos que se adjuntan a continuación por haber sido confirmados por la entidad informante del mismo al fichero BADEXCUG” (folio 198), lo que pone de manifiesto una grave falta de diligencia. Además, de conformidad con la información enviada por ASNEF-EQUIFAX de fecha 25/10/2012, las citadas incidencias continuaban informadas en el fichero ASNEF, como queda reflejado en el hecho probado diez (folios 67, 71 y 74). Todos estos hechos son contrarios al principio de calidad de datos y, por tanto, contravienen lo dispuesto en el artículo 4.3 de la LOPD, en relación con el artículo 29.4 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 de la misma Ley, tipificada en el artículo 43.3.
  6. c)de la citada Ley Orgánica. IV Consta acreditado en esta Agencia que las entidades asociadas al fichero ASNEF y BADEXCUG suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes a través de cinta magnética para que tales actualizaciones queden registradas en el mismo, siendo las entidades informantes quienes deciden sobre el alta o la cancelación de los datos de sus clientes en el fichero de morosidad. Los datos personales de los denunciantes son datos que figuran en los propios ficheros automatizados de la entidad informante, en este caso VODAFONE. Adicionalmente son comunicados al responsable del fichero de solvencia a través de cintas magnéticas que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. Es criterio reiteradamente mantenido por la Audiencia Nacional que el principio de calidad de datos, proclamado por el artículo 4.3 de la LOPD, es de exigencia a quien comunica datos de carácter personal a un fichero de esta naturaleza. La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43.1), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este último precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al que lo es del tratamiento de datos personales. Conforme a dicha definición del artículo 3.
  7. d)el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El artículo 2.
  8. d)de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, define al responsable del tratamiento como “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales” y añade que “en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario”. En cuanto al concepto de tratamiento de datos, éste se delimita en el artículo 3.
  9. c)de la LOPD, que incluye en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que, a tenor de los artículos transcritos, <<se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales, por lo que tal figura del responsable se conecta en la Ley con el poder de decisión sobre la finalidad, contenido y uso del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específico. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento.>> El Tribunal Supremo, en su Sentencia de 26/01/2005, confirma el criterio anteriormente expuesto al señalar que “junto al responsable del fichero –que era en la Ley 5/1992- quien estaba sujeto al régimen sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas veces- el responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
  10. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos.” En este mismo sentido se pronuncia la Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su Sentencia de 18/01/2006, al señalar que <<el tipo sancionador previsto en el artículo 44.3.
  11. d)de la Ley Orgánica 15/1999, castiga “tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidas en la presente Ley”, como el previsto en el artículo 4.3 de la citada Ley que impone la veracidad y exactitud de los datos de carácter personal. Acorde con este principio se establecen una serie de obligaciones, tendentes a alcanzar esa veracidad y exactitud de los datos de carácter personal que se encuentran en el fichero, y cuyo incumplimiento es digno de reproche y configura una infracción administrativa por la que se impone la sanción que se recurre. Dicho de otra forma, el medio de conseguir que los principios en que se inspira esta regulación sobre la protección de datos –al amparo del artículo 18.4, más allá del contenido del artículo 18.1 de la CE, como un derecho fundamental autónomo tras la STC 292/2000 –sean efectivos es mediante la acción sancionadora, es decir, tipificando las conductas que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 impidan el cumplimiento de los expresados principios. El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a estos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
  12. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992. y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
  13. d)y g), respectivamente, de la Ley Orgánica 15/1999.>> Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por VODAFONE puede subsumirse o no en tales definiciones legales. VODAFONE incorporó a sus ficheros los datos del afectado. En consecuencia, trató automatizadamente los datos relativos a supuestas deudas de D. B.B.B. en sus propios ficheros, de los que es responsable conforme el artículo 3.
  14. d)citado. Adicionalmente, decidió sobre la finalidad, contenido y uso del tratamiento y resolvió su incorporación a los ficheros ASNEF y BADEXCUG. Dicha comunicación se realizó, mediante un procedimiento que implica un tratamiento automatizado de datos cuyo destino es, también, ser tratado automatizadamente por el responsable del fichero de solvencia. Conforme a lo expuesto, VODAFONE ha decidido, sobre la finalidad del tratamiento (la calificación del afectado como deudor), el contenido de la información (los datos relativos a la deuda y al deudor asociados al afectado), y el uso del tratamiento (la incorporación de los datos del afectado a ficheros comúnes de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo), por lo que es responsable de que la información suministrada no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Además, todo lo anterior lo ha realizado sin que los datos comunicado y mantenidos en los ficheros fueran exactos y respondieran a la situación de D. B.B.B., puesto que la deuda informada a los ficheros y asociada a éste no era cierta, pues este no había contratado con VODAFONE dada su incapacidad declarada por sentencia del Juzgado de Primera Instancia nº 1 de Logroño, de 17/03/2006, es decir, prácticamente cinco años antes de las primeras contrataciones realizadas (11/01/2011), y que para poder efectuarse las mismas se precisaba de autorización judicial a su representante. Todo esto supone una clara vulneración del principio de calidad de datos, de la que debe responder VODAFONE por ser responsable de la veracidad y calidad de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en los ficheros de solvencia patrimonial y crédito. La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que VODAFONE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD en los términos del artículo 43, en relación con la definición del articulo 3.
  15. d)y
  16. c)de la citada Ley Orgánica. V La representación de VODAFONE ha alegado que en todo caso resulta de aplicación el artículo 4.4 del REPEPOS, considerando que las dos infracciones, artículos 6.1 y 4.3 de la LOPD, derivan de un único hecho como es la aparente inexistencia de consentimiento, debiendo dejar sin efecto esta última, principio de calidad del dato, por derivar necesariamente de la infracción del principio de consentimiento. El artículo 4.4 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, que dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” No obstante, no procede la aplicación del precepto transcrito, dado que del tratamiento de datos sin consentimiento no se deriva, necesariamente, la vulneración del principio de calidad de los datos tratados, dado que VODAFONE no se limitó al tratamiento de los datos del denunciante sino que, además, comunicó al fichero de solvencia patrimonial una información que no era cierta, sin asegurarse de la veracidad de la misma. Son, por tanto, dos infracciones totalmente diferentes e independientes, sin que la comisión de una de ellas implique, necesariamente, la comisión de la otra. VI De acuerdo con las previsiones de la LOPD, según redacción dada por la Ley 21/2011, el artículo 44.3.
  17. b)tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. A su vez, el artículo 44.3.
  18. c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. En el supuesto que nos ocupa, la conducta de VODAFONE ha vulnerado el principio del consentimiento, artículo 6.1, como del principio de calidad de los datos artículo 4.3 en relación con el 29.4, de la LOPD; infracciones que, tras la reforma introducida por la Ley 21/2011, se encuentran tipificadas, respectivamente, en los artículos 44.3.
  19. b)y 44.3.
  20. c)de la Ley Orgánica 15/1999. VODAFONE ha incurrido en las infracciones descritas ya que ha vulnerado dichos principios, consagrados en los artículos 6.1 y 4.3 de la LOPD, cuando informó a los ficheros comunes de solvencia los datos del afectado asociados a una deuda que no le correspondía, habiendo quedado acreditado no solamente que no existía relación contractual en relación con las líneas asociadas a los números ***TEL.1, ***TEL.2, ***TEL.3 y ***TEL.4, sino que la misma era imposible dada la incapacidad declarada del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 posible contratante a la luz de la sentencia del Juzgado y que encuentran su tipificación en los artículos 44.3.
  21. b)y 44.3.
  22. c)de la citada Ley Orgánica. VII El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  23. a)El carácter continuado de la infracción.
  24. b)El volumen de los tratamientos efectuados.
  25. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  26. d)El volumen de negocio o actividad del infractor.
  27. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  28. f)El grado de intencionalidad.
  29. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  30. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  31. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  32. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  33. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  34. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19
  35. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  36. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  37. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. VODAFONE ha solicitado la aplicación del artículo 45.5 de la LOOPD, como consecuencia de circunstancias concurrente en el presente caso, que permiten la existencia de una disminución de la culpabilidad aplicando una sanción de la escala inferior, correspondiente a las sanciones leves y, adicionalmente, la aplicación del apartado 4 del citado artículo, al concurrir supuestos contemplados en el mismo y que permiten rebajar la cuantía de la sanción. El principio de proporcionalidad permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate"; y la propia A.N. en numerosas sentencias ha señalado que debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad del hecho resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Sin embargo, las citadas circunstancias no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, a que no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados c),
  38. d)y
  39. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Tampoco se aprecia una diligencia razonable de la denunciada a la hora de tratar de corregir las irregularidades cometidas, sino todo lo contrario, apreciándose una grave falta de diligencia a la luz de los hechos denunciados y acreditados a lo largo del procedimiento. En primer lugar, VODAFONE no ha podido acreditar a través de ninguno de los medios de prueba admitidos, tanto documentales como sonoros, que la contratación se hubiera producido por el afectado, principalmente porque dicha imposibilidad proviene de la declaración de incapacidad del Juzgado de Primera Instancia nº 1 de Logroño, de 17/03/2006; contratación que únicamente podía llevar a cabo su tutor, en este caso su hija, necesitando para ello autorización judicial de conformidad con lo señalado en el artículo 271 del Código Civil y la Diligencia de Comparecencia y Aceptación del Cargo, dictada por el mismo Juzgado el 02/05/2006. En segundo lugar, VODAFONE no solo se limitó a comunicar los datos de D. B.B.B. a los ficheros ASNEF y BADEXCUG, como consecuencia de las deudas originadas por las contrataciones de las líneas asociadas a los números ***TEL.1, ***TEL.2, ***TEL.3 y ***TEL.4, que habían generado unos saldos impagados por importes de 378,69 euros, 90,56 euros y 186,82 euros, deudas que no eran ciertas ni respondían a la situación del afectado; sino que para más inri, ante el ejercicio del derecho de cancelación por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 denunciante de los datos de D. B.B.B. incluidos en los ficheros, ASENF-EQUIFAX le informaba que habían procedido a su baja cautelar ante la falta de contestación de VODAFONE, comunicándole a esta última que “ante la falta de contestación de su estimada entidad, conforme a las normas de funcionamiento del fichero ASNEF hemos procedido a la baja cautelar del dato” , y en cuanto a EXPERIAN, se veía obligada a informarle el 16/01/2012, “Lamentamos no poder proceder a la cancelación de los datos que se adjuntan a continuación por haber sido confirmados por la entidad informante del mismo al fichero BADEXCUG” (folio 198), lo que evidencia y pone de manifiesto la gravísima falta de diligencia de la operadora. Además, las citadas incidencias continuaban informadas en el fichero ASNEF, con fecha 29/10/2012, a pesar del derecho de cancelación ejercido por la denunciante y de la comunicación enviada por el responsable del fichero a VODAFONE. Por lo que atañe a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, en cuanto a la circunstancia prevista en el apartado
  40. f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la citada operadora hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a titulo de simple negligencia. En cuanto a la circunstancia prevista en el apartado
  41. e)del artículo 45.4 tampoco pueden aceptarse, basta con una remisión al relato de los hechos y a la denuncia para verificar su existencia. Además, la denunciante ante la proliferación de requerimientos de pago remitidos tanto por la propia entidad denunciada, como por las empresas dedicadas al recobro de deudas, intimando al afectado al pago de los saldos impagados, deudas que no eran ciertas ni le correspondían, se vio obligada a demandar a VODAFONE por daños y perjuicios ante el Juzgado de Primera Instancia de Logroño. En este sentido, la Audiencia Nacional en varias de sus sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, ha señalado que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. Alega igualmente la representación de VODAFONE las circunstancias previstas en las letras g), falta de reincidencia en sanciones de la misma naturaleza e i), la acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de control; sin embargo, es necesario señalar que las citadas circunstancias no pueden ser invocadas como atenuantes de la conducta infractora, premiando la no infracción de la normativa sobre protección de datos y el cumplimiento de deberes que la ley impone, aunque sí podrían ser utilizadas ambas circunstancias como agravantes de la conducta a enjuiciar e incrementando la sanción a imponer. Además, si al procedimiento sancionador le son de aplicación, sin excepciones, los principios inspiradores del derecho penal, parece obvio que dichas circunstancias no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 pueden ser tenidas en cuenta como atenuantes y en ese mismo sentido se pronuncia la Audiencia Nacional en numerosas sentencias, entre otras, la de fecha 10/05/2013, cuando establece “Así las cosas, el art. 45.4 de la LOPD contempla en la actualidad circunstancias que podríamos denominar agravantes, y no solo atenuantes de la responsabilidad,… Si ello lo relacionamos con que para aminorar la sanción, a tenor del apartado 5 del art. 45 de la LOPD deben concurrir dos o más circunstancias del apartado 4 del mismo art. 45, y además de manera "significativa", circunstancias significativas que no se dan en el presente supuesto y que además, en el mismo apartado 4, se prevé como circunstancia agravante la reincidencia, y es un hecho notorio la reiteración de conductas infractoras en materia de protección de datos por parte de la sociedad recurrente. A ello debemos de añadir, que la parte actora no actuó con la debida diligencia ya que de conformidad con la documentación que figura en el expediente, el denunciante se puso en contacto en varias ocasiones con la parte demandante para exponer su disconformidad con las penalizaciones aplicadas…” Por otra parte, en aras a graduar la sanción que corresponde imponer, se advierten otras circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las agravantes previstas en el artículo 45.4, apartados
  42. a)El carácter continuado de la infracción, porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a VODAFONE, tiene naturaleza de infracción continuada o permanente (STAN de 24 de junio de 2010, Rec. 539/2007),
  43. c)“la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros y el apartado
  44. d)“volumen de negocio” toda vez que se trata de una de las mayores operadoras de telefonía del país, por cuota de mercado. Además, como señala la Audiencia Nacional en sentencia de 10/05/2013, anteriormente mencionada “lo cierto es que consta en autos que si ha habido perjuicios para el denunciante, como es el hecho de tener que interponer una demanda judicial, y el elevado volumen de tratamientos efectuados por tal entidad actora opera como circunstancia agravante (y no como atenuante), dado el mayor rigor que, para dichas empresas que manejan un elevado volumen de datos, se exige por la doctrina de esta Sala”. Por tanto, en el presente caso, valorados los criterios de graduación de las sanciones, tanto agravantes como atenuantes establecidos en el artículo 45.4 de la LOPD, procede la imposición de dos multas de 60.000 € cada una, por la infracción del artículo 4.3 y 6.1, ambos de la LOPD, de las que VODAFONE debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  45. c)de dicha norma, una multa de 60.000 € (sesenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad VODAFONE ESPAÑA, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  46. b)de dicha norma, una multa de 60.000 € (sesenta mil euros) de conformidad con lo establecido en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 artículo 45.2 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a EQUIFAX IBERICA, S.L., VODAFONE ESPAÑA, S.A. y a A.A.A. . CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.