PS-00302-2015

1/9 Procedimiento Nº PS/00302/2015 RESOLUCIÓN: R/02610/2015 En el procedimiento sancionador PS/00302/2015, instruido por la Agencia Española de Protección de Datos a la entidad TELEFÓNICA DE ESPAÑA S.A.U.., vista la denuncia presentada por D. B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14/7/14 tiene entrada en esta Agencia un escrito de D. B.B.B. en el que declara que han sido usurpados sus datos personales (nombre, domicilio, DNI, cuenta bancaria). Aporta copia de una denuncia presentada ante la Policía Nacional en fecha 17/6/14, en la que declara que tras observar un cargo de TELEFONICA en su cuenta bancaria, llamó a la operadora donde le informan que tiene contratadas dos líneas telefónicas fijas en Palma de Mallorca con la entidad, cuando en realidad tiene una única línea. Fue informado por el personal de la operadora que posiblemente una tercera persona las hubiese contratado haciéndose pasar por el denunciante. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/05152/2014. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 27/4/15. TERCERO: El Director de la Agencia Española de Protección de Datos acordó, con fecha 9/6/15 iniciar procedimiento sancionador a Telefónica por la presunta infracción del artículo 6 de la LOPD. CUARTO: En el escrito de alegaciones al Acuerdo de Inicio se manifiesta por Telefónica lo siguiente: Aplicación del art. 8 del RD 1398/93. Reconociendo su responsabilidad en los hechos al no haber sido posible la localización del contrato suscrito con el denunciante ni por tanto acreditar la contratación. Aplicación del art. 45.5.

1. b)Considerando que la situación se regularizó de forma diligente, ya que se compensó/bonificó la deuda pendiente en el momento en que el denunciante se puso en contacto con la entidad. Que además deben considerarse estas circunstancias: - Que la línea estuvo de alta un mes y medio - Que solo se emitieron dos facturas - Que se actuó de forma inmediata. En el momento en que el denunciante se puso en contacto con Telefónica. Dando de baja a la línea en menos de diez días y en 15 se anuló la deuda QUINTO: Con fecha 9/7/15 se apertura periodo de pruebas practicándose las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. B.B.B. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante TELEFÓNICA DE ESPAÑA S.A.U.., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05152/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00302/2015 presentadas por TELEFÓNICA DE ESPAÑA S.A.U., y la documentación que a ellas acompaña. SEXTO: Se dictó, con fecha 1/9/15, por parte del instructor del expediente, la siguiente propuesta de resolución: <<<<< Que por el Director de la Agencia Española de Protección de Datos se sancione a TELEFONICA DE ESPAÑA con multa de 10.000 € (diez mil euros) por la infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma >>>>> SEPTIMO: Por parte de Telefónica de España se ha presentado, con fecha 21/9/15, escrito de alegaciones manifestando, en síntesis, lo siguiente: - Se reafirman en las alegaciones presentadas en julio de 2015. - Se considera desproporcionada la multa propuesta de 10.000 euros. HECHOS PROBADOS 1º Consta denuncia presentada por D. B.B.B. en el que declara que han sido usurpados sus datos personales (nombre, domicilio, DNI, cuenta bancaria). 2º Se ha aportado copia de una denuncia presentada ante la Policía Nacional en fecha 17/6/14, en la que declara que tras observar un cargo de TELEFONICA en su cuenta bancaria, llamó a la operadora donde le informan que tiene contratadas dos líneas telefónicas fijas en Palma de Mallorca con la entidad, cuando en realidad tiene una única línea. Fue informado por el personal de la operadora que posiblemente una tercera persona las hubiese contratado haciéndose pasar por el denunciante 3º En los ficheros de Telefónica de España consta que D. B.B.B. ha figurado como titular de la línea E.E.E. y con domicilio en una dirección de Palma (Illes Balears), con alta en fecha 6/5/2014 y baja en fecha 26/6/2014. 4º Que la baja se produjo por una reclamación efectuada por el denunciante. 5º Constan emitidas dos factura en fechas 01/06/2014 y 01/07/2014 por importes de 15,49 € y 38,72 € respectivamente. La primera factura fue bonificada y la segunda fue anulada como consecuencia de la reclamación efectuada con fecha 16/6/2014. Aporta la entidad impresión de pantalla mediante la cual acredita la inexistencia de deuda. 6º Que Telefónica de España ha reconocido su responsabilidad al no poder acreditar la contratación de la línea. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 7º Constan los siguientes contactos con el denunciante, en el que figuran las siguientes anotaciones: -- De fecha 27/06/2014 en la que consta una solicitud de la anulación de las facturas emitidas a la línea E.E.E. por suplantación de personalidad. -- De fecha 04/07/2014 según la cual se reintegra al denunciante unos importes, y se procede a la anulación de la factura. * Aporta igualmente TELEFONICA impresión de su sistema de reclamaciones en el que consta una reclamación recibida el 16/6/14 en la que el cliente manifiesta: <<Yo no he solicitado un alta nueva quisiera saber quién ha usado mis datos. Quiero que se anule todo>> Por parte de TELEFONICA se anota: <<Aparece esta línea en domicilio distinto al de cliente, y en uso. El cte no lo reconoce por lo que solicita anulación. Intentamos contactar con el n° fijo E.E.E. pero no contestan. >> Y se procede a calificar el caso como fraude (suplantación de personalidad). Aparece una nota entre el personal de TELEFONICA: <<Se traslada a la Unidad responsable, para actuación, vuestra petición de eliminar las facturas pendientes de emitir del número E.E.E.. Debido a las fechas de los procesos de facturación no es posible actuar ya sobre la próxima factura que se emitirá el 1/7/14, aunque sí sobre las siguientes. >> * Aporta finalmente la entidad copia de un escrito de fecha 2/7/2014 dirigido al denunciante, mediante el que se le informa que se ha procedido a cancelar la deuda existente. >>>>> FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/05152/2014 se dictó por el Director de la Agencia, Acuerdo de Inicio de Procedimiento Sancionador (PS/302/2015) al apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción. Dichos indicios estaban motivados en que el denunciante figuraba como titular de una línea de telefonía sin haberse acreditado su contratación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
3. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
4. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos de la denunciante en sus propios ficheros por lo que está sometida al régimen de responsabilidad contemplado en la LOPD IV Se analiza en el presente procedimiento si los hechos denunciados suponen una vulneración del contenido del art. 6.1 LOPD, que consagra el principio del consentimiento en el marco de la LOPD: como derecho del afectado a consentir de manera inequívoca sobre el uso y tratamiento de sus datos de carácter personal. En el presente caso no consta aportado ningún documento que acredite el consentimiento expreso del afectado (vgr. DNI o documento de naturaleza similar) ni consta acreditado que por Telefónica de España se haya realizado actividad alguna de comprobación de la identidad del titular de los datos en orden a la activación de la línea presuntamente contratados. A mayor abundamiento Telefónica de España ha aceptado su responsabilidad por la comisión de dicha infracción, en lo relativo al tratamiento de los datos del denunciante, manifestando que “no ha sido posible la localización del contrato suscrito con el Sr. Navarrete y, por lo tanto, no es posible acreditar la contratación” La infracción cuya comisión se atribuye a la entidad denunciada consiste en el tratamiento de datos personales del denunciante sin su consentimiento, mediante su incorporación a sus ficheros como titular de la línea E.E.E. y la emisión de dos facturas por los distintos consumos de los servicios a cargo de éste. El art. 3
5. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Pero, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28 febrero 2007 -recurso nº.236/2005 -, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos. En el presente caso, el afectado niega en todo momento haber dado consentimiento alguno para el alta de los servicios, que son objeto de facturación por la Entidad denunciada. Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Por consiguiente, se ha de concluir que ante la falta de acreditación por parte de Telefónica de España del consentimiento del denunciante para el tratamiento de sus datos personales, ni del empleo de una diligencia razonable a la hora de identificar a la persona con la que suscribió la contratación, resulta acreditada la infracción atribuida a la Entidad denunciada, que ha procedido a realizar un tratamiento de los datos del denunciante sin su consentimiento expreso e informado V El artículo 44.3.
6. b)de la LOPD tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Telefónica de España, a través de sus empleados o agentes, ha realizado un tratamiento de datos, sin controlar ni realizar un trabajo de supervisión que permita detectar si la persona ha manifestado real e inequívocamente su voluntad de contratar. En definitiva, es necesario que, una vez identificada la persona sin lugar a dudas –y documentada la identificación-, y tras la información pertinente ha prestado su consentimiento al contrato del servicio y, en consecuencia, al tratamiento de sus datos personales. En el caso que nos ocupa han tratado los datos de la persona denunciante sin contar con su consentimiento lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.
7. b)de la citada Ley Orgánica. VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
8. a)El carácter continuado de la infracción.
9. b)El volumen de los tratamientos efectuados.
10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
11. d)El volumen de negocio o actividad del infractor.
12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
13. f)El grado de intencionalidad.
14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: “a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 cualificada”) y concretos. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. En el presente caso, la Entidad denunciada Telefónica de España procedió al alta de una línea de telefonía sin contar con el consentimiento inequívoco del titular de los datos. La infracción apreciada consiste en tratar los datos de carácter personal con vulneración del principio del consentimiento consagrado en el artículo 6 de la LOPD, que dispone "1.-El tratamiento automatizado de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa". Dicha infracción se puede cometer tanto a título de dolo como de culpa, es decir de forma intencional o negligente, apreciándose en el supuesto de autos una falta de diligencia en la actuación de Telefónica de España al no haber realizado las verificaciones oportunas para constatar si la denunciante había prestado realmente su consentimiento para darle de alta en el servicio y tratar en definitiva sus datos personales. Como resumen, de lo expuesto, ha quedado acreditado que la Entidad denunciada no contaba con el “consentimiento inequívoco” del afectado, procediendo a procedido a tratar los datos del afectado mediante la emisión de facturas; se trata de una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que debe ser especialmente cuidadosa con dichos tratamientos. Telefónica de España en las alegaciones al Acuerdo de Inicio procede al reconocimiento voluntario de la responsabilidad, motivo por el que se procede aplicar el art. 45.5
18. d)LOPD. “Cuando el infractor haya reconocido espontáneamente su culpabilidad” En cuanto a las circunstancias tenidas en cuenta para fijar el importe de la sanción, en aplicación de los criterios de graduación de las sanciones establecidos en el artículo 45.4, se han tenido en cuenta las siguientes: - El carácter continuado de la infracción. En este caso procede considerar que ha existido una actuación diligente por parte de Telefónica en la regularización de la situación irregular, lo que permite apreciar una cualificada disminución de su culpabilidad, ya que consta que la línea estuvo de alta desde 6/5/14 a 26/6/14. Consta además una reclamación del denunciante ante la entidad, de fecha 16/6/14, procediéndose por aquella, con fecha 04/07/2014, a la anulación de las facturas emitidas. - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es evidente, estando su actividad estrechamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 relacionada con el tratamiento de datos personales. - El volumen de negocio - El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. - La imputada ha sido objeto de expedientes sancionadores por infracciones similares. - No se ha acreditado daño cuantificable en euros, solo puede computarse la redacción y presentación de escritos de reclamación y denuncias, y todas las gestiones a que se ve obligado la persona denunciante. - Los procedimientos implantados no han sido efectivos en el presente caso Por todo ello se considera procedente, en base a los criterios expresados más arriba y que atenúan la responsabilidad de Telefónica de España imponer una sanción de 10.000€ por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFÓNICA DE ESPAÑA S.A.U.., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de la LOPD, una multa de 10.000€ (diez mil euros), de conformidad con lo establecido en el artículo 44.5 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA DE ESPAÑA S.A.U.., y a D. B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es