PS-00306-2015

1/9 Procedimiento PS/00306/2015 RESOLUCIÓN: R/02585/2015 En el procedimiento sancionador PS/00306/2015, instruido por la Agencia Española de Protección de Datos a la entidad Telefónica Móviles España SAU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 25 de junio de 2014 tiene entrada en la Agencia Española de Protección de Datos un escrito remitido por A.A.A., en el que denuncia a Telefónica Móviles España SAU (TME) porque el 22 de mayo de 2014 ha recibido una carta, enviada por la empresa de recobros "Medina-Cuadros Asociados" en nombre de TME, reclamándole el pago de una deuda de 35,40€ relativa a la línea de teléfono ***TEL.1, que él no la contratado. Adjunta copia del DNI, la carta de "Medina-Cuadros Asociados", la denuncia en la Comisaria de la Policía Nacional, ante Consumo de la J.C. de Castilla-La Mancha -con los oficios de traslado a TME, denunciante y "Medina-Cuadros Asociados"- y respuesta de TME a Consumo. En ella comunica que la línea está de baja desde 26/05/11, la deuda anulada el 30/05/14 y que no tiene deuda alguna. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la TME. Recibida ésta se eleva el siguiente informe: <<< Con fecha 10 de febrero de 2015 tiene entrada en esta Agencia escrito de la entidad Telefónica Móviles España SAU, en el que manifiestan que: SOBRE LA INFORMACIÓN ASOCIADA AL CLIENTE: Con relación a la información constan son los siguientes datos: Nombre y apellidos del denunciante; Dirección (C/....1) de Albacete; Domiciliación bancaria: ***CUENTA.1; Fecha de alta: 19/01/2011 (número de línea ***TEL.1); Fecha de baja: 26/05/2011; Con relación a las facturas emitidas: Todas ellas han sido anuladas SOBRE LA DOCUMENTACIÓN REMITIDA POR EL CLIENTE A LA ENTIDAD: Telefónica Movistar, no tiene constancia de contactos con el denunciante con relación a la citada línea de teléfono. Existe una Reclamación remitida por el Sr. A.A.A. ante la Consejería de Sanidad y Asuntos Sociales de Castilla-La Mancha, con fecha de salida 2 de junio de 2014, con relación a los hechos denunciados. Asimismo, unos días antes de recibir la citada Reclamación, se recibió denuncia formal sobre estos hechos, ante la Comisaria de Albacete, motivo por el que a día 26 de mayo se habría cursado baja de la línea y procedido a anular las facturas generadas, evitando así que los datos fueran incluidos en ficheros de Solvencia. SOBRE LA CONTRATACIÓN: La contratación se realizó vía Internet, adjuntan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 un pantallazo de la información obrante en sus sistemas, donde consta la entrega de un terminal. No obstante se observa que consta otro domicilio de entrega en la localidad de ***LOCALIDAD.1 (Cuenca). >>> TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que TME realizó tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco al incorporar a su fichero de clientes como titular de una línea de telefonía móvil que no había contratado. Siguiendo con la gestión de ese contrato y sin realizar comprobaciones de la identidad con suficiente diligencia emitieron facturas y reclamaciones de pago. CUARTO: Con fecha 01/06/15 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TME por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica. QUINTO: Fue notificado el acuerdo de inicio a denunciante y denunciada. TME presentó alegaciones y solicitó el archivo del procedimiento por inexistencia de responsabilidad en la infracción que se le imputa. Alega: <<< …, existen casos de altas de líneas inconsentidas denunciadas por los afectados, tal y como reconoce el propio Grupo de Delincuencia Económica de la Guardia Civil de Cuenca en la denuncia formal presentada con fecha 22/05/2014 Atestado N° 8582/14, en la que textualmente se indica: “en el verano de 2011, recibió la parte denunciante una llamada del Grupo de Delincuencia Económica de la Guardia Civil de Cuenca, comunicándole que en el curso de unas de sus investigaciones, con motivo de estafas a compañías telefónicas, habían sido detenidos varios ciudadanos de nacionalidad rumana, aparecían contratos de líneas tele fónicas con sus datos de identidad, no coincidiendo su domicilio ni los datos de su cuenta bancaria para el cobro...” …, se constata que probablemente los datos personales del ahora denunciante fueron facilitados por un tercero de mala fe, asimismo mi representada no solo no ha obtenido beneficios sino que además se ha visto perjudicada económicamente debiendo anular las facturas que resultaron impagadas pues las mismas nunca se cobraron. ..., la línea objeto de denuncia fue contratada a través de Internet, habiendo quedado acreditada dicha contratación con las documentación adjuntada como anexo N° 1 en el expediente informativo E/4943/20l4, pues TME ha aportado los datos facilitados por el cliente, entre otros, el nombre y apellidos y DNI de la denunciante, datos bancarios, ICC (n° SIM tarjeta), fecha de pedido y dirección de envío, tarifa contratada, dirección de facturación y de envío del terminal asociado a la contratación, así como que se trata de una operación de portabilidad, especificando el operador donante. ... actuó de manera inmediata tan pronto tuvo conocimiento de los hechos en primera instancia y con anterioridad a la recepción de la reclamación interpuesta ante la OMIC a pesar de tener constancia de la contratación de la línea objeto de denuncia, evitando así que los datos de la denunciante quedaran incluidos en los ficheros de solvencia patrimonial y crédito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 … ha sido una víctima más de una actividad fraudulenta realizada por parte de terceros, no pudiendo por lo tanto esa Agencia imputar a mi representada el incumplimiento del artículo 6.1 de la LOPD. >>> SEXTO: Con fecha 30/06/15 se inició el período de práctica de pruebas, acordándose las siguientes: Se dan por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos generados por los Servicios de Inspección y las alegaciones al acuerdo de inicio presentadas. SÉPTIMO: Con fecha 17/09/15 el Instructor del Procedimiento formúla propuesta de resolución sancionadora para Telefónica Móviles España SAU con multa de 20.000 € por la infracción del 6.1, tipificada como grave en el 44.3.
2. b)de la LOPD. La propuesta fue Notificada a TME el 22/09/15 y en el plazo de alegaciones presenta escrito en el que reitera sus alegaciones anteriores y solicita de nuevo el archivo por inexistencia de culpa, de intencionalidad y de beneficio. En todo caso minoración de la cuantía propuesta por actuación diligente, resolución del problema antes de recibir el requerimiento de información de la AEPD y un solo tratamiento. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1. 18/01/11, fecha de registro en la base de datos de TME del siguiente formulario de contratación por portabilidad del teléfono ***TEL.1, cuyos datos fueron incorporados para la tramitación del alta de la línea: [IMAGEN.1] 2. Un día más tarde TME remite al solicitante el siguiente mensaje: [IMAGEN.2] 3. En la base de datos de TME constan como entregados el día 31/01/11 dos envíos referidos al pedido nº ***NÚMERO.1. 4. Consta en la base de datos de TME que emitió por el teléfono ***TEL.1, a nombre del denunciante (A.A.A., DNI ***DNI.1) y a la dirección postal de calle (C/....2) –***LOCALIDAD.1, facturas el día 1 de los meses de marzo, abril, mayo, junio, julio y 27 de julio de 2011; las cuatro primeras figuran anuladas en mayo y julio de 2011. 5. TME, por medio de su empresa de recobros "Medina–Cuadros y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 Asociados" remite escrito sin fecha dirigido a A.A.A., (C/....1) Albacete. Le reclama el pago de 35,40 € por el teléfono ***TEL.1 y le informan que "movistar ha incluido sus datos en un fichero de impagados que consultan todas las entidades bancarias". 6. Al día siguiente (22/05/14) de recibir dicho escrito la persona denunciante acude a la Comisaría de Policía Nacional de Albacete para formular la siguiente denuncia: <<< ---Que recibe en su domicilio correo postal en el que la empresa de abogados Median-Cuadro y Asociados, movistar@medinacuadros.com, en representación de su cliente Movistar, le informan que se va a proceder contra el dicente al no haber atendido anteriores intentos de solución amistosa que se le han ofrecido para el pago de los 35,40 euros, en relación a la línea telefónica con número asociado ***TEL.1 dada de alta a su nombre. (NI Ref: ******-INC) Igualmente le información que Movistar ha incluido sus datos en un fichero de impagos que consultan todas las entidades bancarias, por lo que mientras no regularice el pago de esta deuda, no podrá solicitar ningún producto financiero. Que la línea telefónica con número asociado ***TEL.1, es desconocida para el dicente, no habiéndola dado de alta ni autorizado la misma. Que quieres significar que en el verano de 2011, recibió llamada telefónica del Grupo de Delincuencia Económica de la Guardia Civil de Cuenca, comunicándole que en el curso de unas de sus investigaciones, con motivo de estafas a compañías telefónicas, en el que habían sido detenidos varios ciudadanos de nacionalidad Rumana, aparecían contratos de líneas telefónicas con sus datos de identidad, no coincidiendo su domicilio ni los datos de su cuenta bancaria para el cobro, a los que señaló que nunca había contrato línea telefónica alguna con la compañía Movistar. Que en este acto aporta fotocopia remita por la empresa de abogados Medina-Cuadros y Asociados, movistar@medinacuadros.com. >>> 7. El mismo día con copia de la denuncia ante la policía y de la carta de TME presentó el "Formulario de Demanda del Consumidor" ante el Organismo de Consumo de la Junta de Comunidades de Castilla-La Mancha. En él pone de manifiesto que no ha contratado con esa compañía ese teléfono ni ningún otro, solicita que se anule ese contrato y la deuda que se le reclama y se le excluya de esos ficheros de morosos a los que aluden. 8. 04/06/14, TME, una vez recibido el traslado de la reclamación a Consumo de Castilla-La Mancha, envía su respuesta a dicho Organismo comunicando que la línea ***TEL.1 fue dada de baja el 26/05/11 y en los días sucesivos ordenó la anulación de dos facturas y el denunciante ya no tiene deuda con la compañía. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 I De la competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II De la valoración de la prueba: La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a TME que ha quedado reflejada en los hechos declarados probados arriba relatados. TME es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la imputada relacionados con las exigencias del principio del consentimiento contenido en el artículo 6.1 de la LOPD. A. Los datos personales de la persona denunciante fueron tratados por TME como titular de un contrato de servicio de una línea de telefonía móvil, que la persona denunciante niega haber contratado, para emitir al menos seis facturas. Se ha informado de las facturas y aportado copias de 5 facturas. No se han aportado facturas rectificativas posteriores. B. El denunciante tuvo conocimiento del tratamiento cuando el 21/05/14 recibe una reclamación de pago de una empresa de recobros al servicio de TME. C. De las actuaciones de TME desde la emisión de la última factura de julio de 2011 nada se ha acreditado en relación al tratamiento de los datos del denunciante como titular de la línea, ni de qué forma obtuvo los datos del domicilio de la persona denunciante. D. Se ha acreditado la actuación de TME, después de recibir la reclamación del denunciante ante Consumo de Castilla-La Mancha, ordenando la baja de la línea y la anulación de la deuda reclamada. E. No se ha acreditado la cancelación de los datos personales del denunciante en la base de datos de TME. Ha de concluirse que TME ha realizado un tratamiento de datos personales inconsentido. Ha realizado y probablemente sigue realizando. III El artículo 44.3.
4. b)de la LOPD tipifica como infracción grave: ““Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” TME trató los datos personales de la persona denunciante incorporándolos a su base de datos de clientes y emitiendo facturas por el servicio de móvil. En definitiva, es necesario que la persona titular de los datos permita su tratamiento de forma inequívoca y en este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 caso no se ha acreditado de forma indubitada que lo hubiera hecho. En este caso, ha incurrido en la infracción arriba descrita ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD. La imputada no ha acreditado tener el consentimiento necesario para los tratamientos efectuados. Supone una vulneración de este principio, el del consentimiento, conducta que encuentra su tipificación en este artículo 44.3.
5. b)de la citada Ley Orgánica. IV El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4.- La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora 5.- El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Para que el importe de la sanción pueda ser fijado han de ser examinadas las circunstancias a que se refiere el apartado trascrito: A. La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que TME es una empresa trasnacional que tiene como actividad la prestación de servicios de telecomunicaciones. Esta empresa tiene importancia a nivel mundial, y tiene un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. C. En lo que se refiere al volumen de negocio hay que hacer constar que si bien es un hecho notorio, que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa infractora. D. El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó la emisión de facturas no tuviera intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. F. La imputada ha sido objeto de muchos expedientes sancionadores por infracciones similares. G. No se ha acreditado daño cuantificable en euros, como acudir a declarar como imputado en un procedimiento penal, además de la redacción y presentación de escritos de reclamación, denuncias, y todas las gestiones a que se ven obligados las personas denunciantes. H. Los procedimientos implantados no han sido efectivos, y todo hace pensar en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. La actuación de TME una vez tuvo conocimiento de la reclamación del denunciante ante Consumo de Castilla la Mancha (salida en registro el 02/06/14) fue diligente en la regularización de la situación irregular, pues el 04/06/14 fechaba el escrito de respuesta comunicando la baja de la línea (26/05/11) y la anulación de la deuda (10/06/14). Conforme al 45.5.
21. b)de la LOPD el importe de la sanción puede ser fijado dentro de la escala de las sanciones leves. Todas estas circunstancias permiten graduar el importe de la sanción y fijarlo en 20.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a a Telefónica Móviles España SAU una multa de 20.000 € (veinte mil euros) en aplicación del artículo 45.2, 5 y 4, por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
22. b)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a Telefónica Móviles España SAUy a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es