PS-00314-2013

1/17 Procedimiento Nº PS/00314/2013 RESOLUCIÓN: R/02514/2013 En el procedimiento sancionador PS/00314/2013, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A., vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 13 de octubre de 2011, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) escrito de denuncia presentado por Don A.A.A., en el que manifiesta que sus datos fueron incluidos por VODAFONE en el fichero BADEXCUG, estando pendiente de resolución una reclamación presentada ante la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI). Adjunto con el escrito de denuncia aportaba la siguiente documentación: - Copia de hoja de reclamaciones fechada a 01/03/2011. Copia de reclamación presentada ante la SETSI con fecha 13/04/2011. Copia de escrito de 13/05/2011 en el que la SETSI acusa recibo de la presentación de la reclamación señalada y comunica que con esa fecha se solicita informe a VODAFONE. Copia de escrito de 02/08/2011 remitido por EXPERIAN, en el que se informa de que sus datos han sido incluidos en BADEXCUG por VODAFONE con fecha de alta 31/07/2011 como consecuencia de una deuda por valor de 235,81 €. Copia de escrito de 14/02/2012 remitido por VODAFONE en el que se informa de que se da cumplimiento al Laudo Arbitral, abonándole las cantidades de 195 € y 192 €, confirmando que no existe deuda pendiente y que sus datos han sido objeto de exclusión en ficheros de solvencia patrimonial. SEGUNDO: Fruto de la denuncia presentada y, una vez examinada la documentación aportada, por la Subdirección General de Inspección de Datos fueron abiertas actuaciones previas de investigación, en el marco del E/01129/2012, que fueron cerradas por Resolución de 24/01/2013, que determinaba el archivo de las actuaciones por caducidad y la apertura de nuevas actuaciones en el marco del presente E/00301/2013. Con fecha 28 de enero de 2013, se solicitó a VODAFONE información relativa a A.A.A., NIF C.C.C., en relación a la inclusión de sus datos en ficheros de información de solvencia patrimonial y crédito. De la respuesta recibida se desprende lo siguiente: - VODAFONE expone que los datos del denunciante fueron incluidos en ficheros de información de solvencia patrimonial y crédito por una deuda acumulada de 235,81 €, fruto del impago de diversas facturas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 - VODAFONE manifiesta que la gestión del expediente incoado ante la SETSI se llevó en paralelo a la gestión de la reclamación de la deuda, de tal modo que la apertura del expediente ante la SETSI no impidió la inclusión. - VODAFONE manifiesta que la Resolución final de la SETSI dio en parte la razón a la empresa, considerando que “la cantidad reclamada era correcta, si bien, era necesario recalcular determinados conceptos facturados que no eran correctos”. En este sentido, VODAFONE expone que se procedió a practicar la exclusión de los datos con fecha 01/01/2012, una vez que el denunciante efectuó un pago por importe de 162,26 € y, paralelamente, la operadora realizó un abono sobre la deuda por valor de 73,55 €. - VODAFONE aporta distintas impresiones de pantalla que recogen las notas grabadas en su sistema, relativas a las diversas incidencias vinculadas a este expediente. Entre otros aspectos, figura que con fecha 13/05/2011 recibieron traslado de la reclamación presentada ante la SETSI por el denunciante. Las notas concluyen con fecha 05/12/2011, momento en que aparece grabada la última carta remitida a la SETSI, en la que se realiza una revisión de la facturación realizada al denunciante, reconociendo un error en la misma que reduciría la cantidad exigida a 162,26 €. TERCERO: Con fecha 18 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE ESPAÑA, S.A., por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3

1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, Vodafone mediante escrito de fecha 9 de julio de 2013, formuló alegaciones en las que manifestó, básicamente, lo siguiente: - - Que el Sr. A.A.A., titular de un servicio con Vodafone no realizó el abono de las facturas de febrero, marzo y abril de 2011 por disconformidad con la tarificación del servicio, cuando hasta la fecha no había habido ningún problema entre las partes, lo que supuso generar una deuda por importe total de 235,81€. Al ser una deuda cierta, líquida, vencida y exigible, dado que Vodafone no tenía conocimiento de la reclamación del denunciante ante la OMIC, inició las oportunas acciones de recobro, e incluyó sus datos en el fichero de solvencia patrimonial del 31 de julio de 2011. Vodafone tuvo conocimiento de la reclamación ante la OMIC en mayo de 2011, por lo que recalculó las cuotas rebajando la deuda a 162,26€, que era una deuda cierta, líquida, vencida y exigible por parte de Vodafone. Una vez que el denunciante abonó la cantidad debida, procedió a la exclusión de sus datos del fichero de solvencia patrimonial, el 1 de enero de 2012. Inexistencia de infracción del artículo 4.3, ya que cuando Vodafone incluyó los datos del denunciante en los ficheros de solvencia el 31 de julio de 2011, ante la continuidad del impago de la deuda, se trataba de una deuda cierta, líquida, vencida y exigible Que Vodafone tuvo conocimiento de la disconformidad del denunciante en mayo de 2011, cuando tuvo conocimiento de la reclamación ante la OMIC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 La resolución de la SETSI estimó que el denunciante debía abonar a Vodafone la cuantía que le correspondía. Una vez que el denunciante abonó la cantidad debida, procedió a la exclusión de sus datos del fichero de solvencia patrimonial, el 1 de enero de 2012. - Cabe concluir que Vodafone actuó conforme a la normativa, como estimó la SETSI, por lo que no se puede imputar la infracción del artículo 4.3. Subsidiariamente se solicita aplicación del art. 45.5 por falta de culpabilidad de la denunciada o disminución sustancial de la culpabilidad, aplicando una sanción según la escala anterior a las infracciones leves. En relación al artículo 45.4 de la LOPD manifiesta que en lo que se refiere a:  Carácter continuado de la infracción: ha acreditado que Vodafone cumplió con el laudo arbitral.  volumen de los tratamientos efectuados, el tratamiento de datos está asociado a un único cliente.  en cuanto a la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, Vodafone es una empresa que continuamente trata los datos personales de sus clientes y vela por el cumplimiento de la legalidad vigente.  en cuanto al volumen de negocio o actividad del infractor al ser Vodafone una empresa que presta servicios de comunicaciones móviles, conociendo la Agencia los volúmenes de actividad que este servicio implica tiene implementadas medidas tendentes a salvaguardar los datos personales de sus clientes.  en cuanto a los “beneficios obtenidos como consecuencia de la comisión de la infracción, Vodafone no los ha tenido.  respecto al grado de intencionalidad no le reporta a mi representada esta situación beneficio alguno.  no ha habido reincidencia.  ausencia de daños o perjuicios a persona afectada.  en cuanto a la acreditación de la existencia antes de la infracción de procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, manifiesta Vodafone que llevó a cabo una actuación diligente, teniendo implantados todos los procedimientos para la recogida de datos. En virtud de todo ello, solicitó que se proceda al archivo del procedimiento y, subsidiariamente, la graduación de la sanción correspondiente a las infracciones leves. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 QUINTO: Con fecha 12 de julio de 2013 se inició el período de práctica de pruebas, en el que se dieron por reproducidos a efectos probatorios la denuncia interpuesta por Don A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante VODAFONE ESPAÑA, S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00301/2013, así como las actuaciones previas de Inspección que forman parte del expediente E/01129/2012, que dio origen al presente procedimiento. Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00314/2013 presentadas por VODAFONE ESPAÑA, S.A., y la documentación que a ellas acompaña. Por otra parte, por la Instructora del expediente se acordó lo siguiente: 1. Solicitar a VODAFONE ESPAÑA, S.A.U. la siguiente información: - Acreditación del contacto con la SETSI de mayo de 2012. Remisión de copia de toda la documentación en papel que obre en su poder referente a las reclamación interpuesta por el denunciante contra esa compañía ante la SETSI (expediente RC********/11/PVD), relacionada con los hechos objeto del presente expediente sancionador. 2. Solicitar a la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información la siguiente información: - Remisión de copia del expediente correspondiente a la reclamación RC********/11/PVD presentada por Don A.A.A. contra VODAFONE ESPAÑA, S.A.U. y particularmente de la resolución adoptada en el mismo (Se adjunta copia de escrito identificativo de dicha reclamación) - En todo caso, se solicita indicación de la fecha exacta en que el citado operador de telefonía tuvo conocimiento de la interposición de la reclamación, contestó la misma y recibió la resolución acordada al respecto. 3. Solicitar a EXPERIAN BUREAU DE CREDITO, S.A. la siguiente información: - Copia impresa de los datos que figuran en los ficheros BADEXCUG, HISTORICO DE ACTUALIZACIONES DE BADEXCUG y BADEXESPACIO, de los que es responsable dicha entidad, respecto de Don A.A.A., con NIF C.C.C., en relación con deudas informadas por Vodafone.. - Copia de toda la documentación incluida en los expedientes asociados al afectado, incluyendo, en su caso, la impresión de los resultados de las consultas efectuadas al fichero BADEXCUG motivadas por el ejercicio de sus derechos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 SEXTO: Con fecha 29 de julio de 2013, Vodafone contestó a la práctica de prueba remitiendo, entre otra, la siguiente documentación: - Copia de la notificación de la reclamación ante la SETSI fechada el 13 de mayo de 2011. Copia de escrito de subsanación de Vodafone remitido a la SETSI el 12 de abril de 2011. Copia de escrito de la SETSI dirigido a Vodafone el 29 de marzo de 2011, solicitando la subsanación a la vista de denuncia presentada ante esa entidad. Burofax del denunciante dirigido a Vodafone el 24 de febrero de 2011en el que denuncia su disconformidad con la tarificación y les comunica la rescisión del contrato. Respuesta de Vodafone a la SETSI, de 14 de mayo de 2011, en la que indica que, tras la refacturación, el denunciante mantiene una deuda pendiente con la entidad de 235,81€. Respuesta de Vodafone a la SETSI, de 5 de diciembre de 2011, en la que indica que han realizado un abono de 56,89€ en la cuenta del cliente para aminorar la cuenta pendiente de pago y que queda pendiente de pago una deuda de 162,26€ que el denunciante deberá abonar. También con fecha 29 de julio de 2013, Experian Bureau contestó a la práctica de prueba remitiendo, entre otra, la siguiente documentación e información: - Los datos del denunciante fueron incluidos en Badexcug a instancia de Vodafone por un importe de 235,81€ inicialmente y de 162,26€ después, desde el 31 de julio de 2011 hasta el 1 de enero de 2012. Con fecha 19 de septiembre de 2013, la SETSI contestó a la práctica de prueba lo siguiente: - Que el operador tuvo conocimiento de la reclamación el 13 de mayo de 2011. Que el operador contestó a la SETSI el 14 de mayo de 2011. Que la fecha de notificación de la Resolución al operador fue el 9 de marzo de 2012. SÉPTIMO: Con fecha 23 de septiembre de 2013, se formuló propuesta de resolución, proponiendo la imposición de una sanción de 50.000€ a VODAFONE ESPAÑA, S.A., por la comisión de una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
2. c)de dicha Ley. OCTAVO: Con fecha 14 de octubre de 2013, Vodafone realizó alegaciones frente a la citada propuesta de resolución en las que básicamente manifestó lo siguiente: - Caducidad de las actuaciones previas. Según se recoge en el Acuerdo de Inicio del procedimiento sancionador y en el hecho probado primero de la propuesta de resolución, la reclamación del denunciado se recibió en la AEPD el 13 de octubre de 2011, por lo que habrían transcurrido más de 12 meses a contar desde la fecha de entrada en la Agencia, según establece el RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de carácter Personal, , sin que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 - - Director de la Agencia acordase la realización de dichas actuaciones (en este caso desde que el Director estimó el recurso de reposición e inició nueva fase de actuaciones) Teniendo en cuenta que la denuncia tuvo entrada el 11 de octubre de 2011 y la apertura del expediente sancionador ha tenido lugar el 21 de julio de 2013, resulta claro que la notificación del Acuerdo de inicio se ha producido pasados los doce meses indicados en el RLOPD desde que tuvo entrada en la Agencia la denuncia, por lo que nos encontramos ante un supuesto donde el vencimiento del plazo sin haber notificado a esta parte el Acuerdo de inicio implica la caducidad de las actuaciones previas. Vodafone recibió la resolución del Expediente de Información E/01129/2012, en fecha 30 de enero de 2013, fecha en la que el expediente se encontraba caducado, atendiendo a la fecha en la que el denunciante presentó la denuncia ante la Agencia. En dicha resolución se viene a decretar el archivo del expediente, si bien se da orden de iniciar el expediente de información E/00301/2013, sin que Vodafone hubiera recibido requerimiento de información alguno ni se hubiera derivado en actuación adicional alguna que afecte al fondo del asunto. Por todo ello Vodafone entiende que se han vulnerado principios básicos del procedimiento administrativo, tales como principio de No indefensión, principio de imparcialidad. Sin perjuicio de lo anterior, Vodafone considera que estamos ante un supuesto fraude y abuso del derecho por parte de la Agencia, que excede los límites normales del propio derecho. En virtud de todo lo expuesto, solicitó que se proceda a archivar el presente expediente por anulabilidad o, en su caso, la nulidad del acto administrativo. HECHOS PROBADOS PRIMERO: Don A.A.A. denunció ante la Agencia que sus datos fueron incluidos por VODAFONE en el fichero Badexcug, estando pendiente de resolución una reclamación presentada ante la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI) (folios 1-10) SEGUNDO: Con fecha 24 de febrero de 2011, el denunciante presentó a Vodafone reclamación mediante burofax en el que solicitaba la rescisión del contrato y manifestaba su disconformidad con la tarificación (folios 61-62, entre otros) TERCERO: Con fecha 15 de abril de 2011, Don A.A.A. presentó reclamación ante la SETSI contra Vodafone, por discrepancias en la tarificación del servicio relativo a la línea asociada B.B.B. (folio 50) CUARTO: La SETSI notificó a Vodafone, con fecha 13 de mayo de 2011, la reclamación presentada por el denunciante (folios 49 y 90) QUINTO: Con fecha 14 de mayo de 2011, Vodafone comunicó a la SETSI que, tras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 proceder a la refacturación, se mantenía un importe pendiente de pago de 235,81€. Con fecha 5 de diciembre de 2011, volvió a comunicar a la SETSI que tras proceder a la refacturación, se mantenía un importe pendiente de pago de 162,26€ que el denunciante deberá abonar (folios 64 y 66-67). SEXTO: Con fecha 1 de marzo de 2012 la SETSI dictó resolución en la que resuelve, básicamente, lo siguiente: - Estimar la reclamación, respecto de la solicitud de baja del servicio, reconociendo el derecho del reclamante a obtener la baja efectiva del servicio contratado y debiendo anular el operador, en el caso de que no lo haya efectuado aún, los cargos facturados con posterioridad a los dos días de la fecha en la que se solicitó la baja. - No se pronuncia respecto a la exclusión de los datos personales del denunciante de los ficheros de solvencia patrimonial. (folios 149-151). SÉPTIMO: Vodafone informó al fichero Badexcug los datos personales del denunciante en varias ocasiones: - Por un saldo deudor de 235,81€. Alta el 31 de julio de 2011 y baja en diciembre de 2011. - Por un saldo deudor de 162,26€. Alta el 11 de diciembre de 2011 y baja el 1 de enero de 2012 (folio 73, entre otros). OCTAVO: Vodafone tuvo conocimiento de la reclamación ante la SETSI, con fecha 13 de mayo de 2011, en que ésta notificó a Vodafone la reclamación presentada por el denunciante (folios 49 y 90). No obstante lo anterior, Vodafone dio de alta los datos del denunciante en el fichero Badex con fecha 31 de julio de 2011 y los mantuvo hasta el 1 de enero de 2012, todo ello a pesar de que tenía constancia de la reclamación del denunciante ante la SETSI. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Procede en primer lugar entrar a valorar las alegaciones de Vodafone a la propuesta de resolución respecto a la caducidad de las actuaciones previas, entendiendo que la denuncia tuvo entrada el 11 de octubre de 2011 y la apertura del expediente sancionador ha tenido lugar el 21 de julio de 2013, por lo que la notificación del Acuerdo de inicio se habría producido pasados los doce meses indicados en el RLOPD desde que tuvo entrada en la Agencia la denuncia, por lo que nos encontraríamos ante un supuesto donde el vencimiento del plazo sin haber notificado a esta parte el Acuerdo de inicio implicaría la caducidad de las actuaciones previas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 Vodafone manifiesta que recibió la resolución del Expediente de Información E/01129/2012, en fecha 30 de enero de 2013, fecha en la que el expediente se encontraba caducado, atendiendo a la fecha en la que el denunciante presentó la denuncia ante la Agencia. En dicha resolución se viene a decretar el archivo del expediente, si bien se da orden de iniciar el expediente de información E/00301/2013, sin que Vodafone hubiera recibido requerimiento de información alguno ni se hubiera derivado en actuación adicional alguna que afecte al fondo del asunto. A este respecto conviene traer a colación la SAN de 10-7-2013 en la que se ratifica el criterio de poder abrir un expediente de investigación (E) tras caducidad de actuaciones previas si no hay prescripción de la infracción por lo prevé declarar caducadas las actuaciones de este E y abrir otro: <<TERCERO.- Alega, en segundo lugar, la parte demandante que se produjo la caducidad de las actuaciones previas al haber transcurrido más de dos años desde la fecha de la denuncia hasta la notificación del acuerdo de iniciación del expediente sancionador, de conformidad con el artículo 122.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. De modo que presentada la denuncia con anterioridad al 21 de octubre de 2009, el archivo por caducidad de un primer procedimiento de actuaciones previas de investigación con número E/00528/2010 el 17 de noviembre de 2010, y la posterior incoación de otro procedimiento de actuaciones previas de investigación con número E/03901/2010 por los mismos hechos que dieron lugar a la incoación del procedimiento sancionador el 7 de noviembre de 2011, vulnera el principio de seguridad jurídica y el artículo 122 del Reglamento de la LOPD. Sin embargo, aunque los dos procedimientos de actuaciones previas de investigación tuvieran lugar sobre los mismos hechos, lo cierto es que se tramitaron sucesivamente, comenzando las segundas actuaciones de investigación tras declararse la caducidad de las primeras, tal y como se expuso en el Fundamento de Derecho Primero de esta sentencia, por haberse rebasado el plazo de doce meses de duración máxima que prevé el artículo 122 del Reglamento de la LOPD y en cumplimiento de lo dispuesto en el apartado cuarto de este precepto. Al respecto, el artículo 92 de la LRJPAC, al que se remite su artículo 44.2 al prever la caducidad de los procedimientos en los que la Administración ejercite potestades sancionadoras, entre otros, establece los efectos de la caducidad que, con independencia de provocar el archivo del procedimiento, “no producirá por si sola la prescripción de las acciones del particular o de la Administración pero los procedimientos caducados no interrumpirán el plazo de prescripción”. Por consiguiente, declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación, como ha sucedido en el presente caso. Recordemos que el procedimiento sancionador PS/00527/2011 trae causa de las actuaciones previas de investigación E/03901/2010, iniciadas por orden del Director de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 la Agencia Española de Protección de Datos, en la que dio instrucciones el 17 de noviembre de 2010 a la Subdirección General de Inspección de Datos para que procediera a realizar actuaciones de inspección, en relación con un escrito presentado por don M.M.M. en fecha 10 de noviembre de 2009, en el que manifestaba que “FENIX CARTERA (COLLE)” había incluido sus datos de carácter personal en el fichero de solvencia patrimonial y crédito ASNEF en fecha 7 de marzo de 2008 sin requerimiento de pago, practicándose diversas actuaciones para el esclarecimiento de los hechos denunciados. Practicadas las actuaciones de investigación, mediante resolución de 7 de noviembre de 2011 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador PS/00527/2011 a COLLECTA SERVICIOS DE GESTIÓN DE COBROS S.A. por la posible infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y los artículos 38 y 39 del Reglamento de desarrollo de la LOPD, tipificada como grave en el articulo 44.3.
4. c)de la LOPD, siendo notificado tal acuerdo a esta entidad el 11 de noviembre siguiente. Por consiguiente, no se incurrió en caducidad en estas últimas actuaciones previas de investigación, pues no se rebasó el plazo de duración máxima de doce meses que para las mismas establece el artículo 122 del Reglamento del la LOPD>> En el presente supuesto una vez examinada la documentación aportada en el momento de la denuncia, por la Subdirección General de Inspección de Datos fueron abiertas actuaciones previas de investigación, en el marco del E/01129/2012, que fueron cerradas por Resolución de 24/01/2013, que determinaba el archivo de las actuaciones por caducidad y la apertura de nuevas actuaciones en el marco del presente E/00301/2013. Con fecha 28 de enero de 2013, se solicitó a VODAFONE información relativa a A.A.A., NIF C.C.C., en relación a la inclusión de sus datos en ficheros de información de solvencia patrimonial y crédito, que contestó al requerimiento de información con fecha 14 de febrero de 2013, dando lugar al Informe de Actuaciones previas y al posterior acuerdo de inicio del presente procedimiento sancionador, sin que hubiera prescrito la infracción imputada. Por lo tanto, dicha alegación debe ser desestimada. III El artículo 4.3 de la LOPD, referente a la “calidad de los datos”, establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Estos preceptos deben integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
5. c)y 3,
6. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por su parte, el R.D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, (en lo sucesivo RLOPD), en su artículo 38 y bajo la rúbrica “Requisitos para la inclusión de los datos” dispone: “1. Solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
7. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).” IV La Audiencia Nacional, en diversas sentencias (entre otras, SAN de 24 de marzo de 2004 y 7 de julio de 2006), ha señalado que los principios generales contenidos en el Título II de la LOPD definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En este sentido, la STAN de 25 de julio de 2006 manifiesta: “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. Entre tales principios se recoge –artículo 4.3- el de exactitud o veracidad, a través del cual se trata de garantizar y proteger la calidad de la información sometida a tratamiento -exacta y puesta al día- por la que debe velar quien recoge y trata datos de carácter personal. La Directiva 95/46 CE, del Parlamento Europeo y del Consejo, que traspone la LOPD, establece en su artículo 6. I.
8. d)que “Los Estados miembros dispondrán que los datos personales sean….
9. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 La obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999 implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados, correspondiendo al acreedor la responsabilidad de comprobar que los datos que se comunican se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. El artículo 29 de la Ley Orgánica 15/1999 regula los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito y distingue dos hipótesis. En la primera, los datos son obtenidos de registros y fuentes accesibles al público o del interesado, quien presta su consentimiento a la inclusión. En la segunda, contemplada en el artículo 29.2 de la LOPD, los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias se facilitan al fichero por el “acreedor o por quien actúa por su cuenta o interés”. De tal manera que es la condición de acreedor del que comunica los datos lo que le legitima para efectuar dicha comunicación. Consta acreditado en esta Agencia que las entidades asociadas a los ficheros de solvencia patrimonial suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de los clientes del fichero de morosidad. V Se imputa a Vodafone en el expediente sancionador que nos ocupa una infracción del artículo 4.3 de la LOPD en relación con el artículo 29.4 de la citada norma y con el artículo 38.1.
10. a)del RLOPD. La obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999 implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. La exigencia de que la deuda sea “cierta”, (artículo 38.1.
11. a)del RLOPD) responde al principio de calidad de los datos plasmado en el artículo 4.3 de la LOPD. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar a ficheros comunes datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias siempre que la información registrada en los ficheros de esta naturaleza respete el principio de veracidad y exactitud. Al hilo de esta cuestión resulta conveniente hacer una breve referencia a la STS de 15 de julio de 2010, que declaró nulo, por ser disconforme a Derecho, el inciso último del artículo 38.1.
12. a)del RLOPD. El Fundamento de Derecho decimocuarto de la Sentencia, en el que se examina y valora la impugnación del citado precepto, concreta los términos de la controversia planteada. Manifiesta la STS que “procede indicar que la exigencia al inicio del apartado 1
13. a)del artículo 38 de que la deuda sea “cierta” responde al principio de veracidad y exactitud recogido en el artículo 4.3 de la Ley 15/1999(…) Siendo el adjetivo <cierto> sinónimo de irrefutable, incontestable, indiscutible, etc... el tema de debate se circunscribe a si es posible sostener con éxito que, en aquellos casos en que se hubiera entablado con respecto a la deuda un procedimiento de los expresados en el artículo 1
14. a), puede hablarse de una deuda cierta antes de que recaiga resolución firme o se emita, en los supuestos previstos en el Reglamento de los Comisionados, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 informe correspondiente”. La Sala Tercera del TS contesta a esta pregunta indicando que lo relevante es “decidir si el apartado 1
15. a)del artículo responde a la previsión legal del artículo 4.3, y la respuesta debe ser negativa en atención a la defectuosa redacción del precepto reglamentario por una inconcreción en su texto no sólo de aquellos procedimientos que justifican la no inclusión en los ficheros de las deuda a que aquellos se refieren, sino también porque esa vaguedad permite considerar que incluso cuando la reclamación se formule por el acreedor exista la imposibilidad de inclusión de los datos en el fichero”. Termina manifestando que el conflicto de intereses debe resolverse “exigiendo una mayor concreción en el precepto reglamentario que pondere los intereses en presencia en atención a las circunstancias concretas”. (El subrayado es de la AEPD) Del tenor literal de los fragmentos de la STS de 15 de julio de 2010 que se reproducen, se evidencia, por una parte, que es la inconcreción de que adolece la redacción del último inciso del artículo 38.1.
16. a)del RLOPD lo que justifica su anulación y por otra, que el Tribunal estima ajustada a Derecho la exigencia del artículo 38.1.
17. a)del RLOPD de que la deuda sea “cierta”, adjetivo que es sinónimo de irrefutable e indiscutible y que es consecuencia del principio de veracidad y exactitud que consagra el artículo 4.3. de la Ley Orgánica 15/1999. A la vista de tales consideraciones la Agencia Española de Protección de Datos entiende que la impugnación de una deuda, cuestionando su existencia o certeza ante órganos administrativos, arbitrales o judiciales con competencia para declarar la existencia o inexistencia de la misma a través de resoluciones de obligado cumplimiento para las partes, impide que pueda hablarse de deuda cierta hasta que recaiga resolución firme. Por tanto, al no estar presente en esos supuestos el requisito de la “certeza de la deuda” exigido por el artículo 38.1.
18. a)del RLOPD, su inclusión en los ficheros de solvencia patrimonial y crédito no puede estimarse ajustada a Derecho y constituye una infracción del artículo 4.3 de la LOPD. A mayor abundamiento en este sentido la Sentencia de la Audiencia Nacional de 30 de mayo de 2012 señala (tras la Sentencia del Tribunal Supremo de 15 de julio de 2010) en relación con el artículo 38.1
19. a)del RLOPD “en el supuesto en que consta una reclamación administrativa instada por el afectado para dirimir la certeza de la deuda y su cuantía no concurre el requisito de la deuda cierta” (Subrayado de la AGPD) En el caso que nos ocupa hay que señalar que el denunciante interpuso una reclamación ante la SETSI, que con fecha 13 de mayo de 2011 comunicó a Vodafone la reclamación presentada por el denunciante (folios 49 y 90). Sin embargo, la entidad denunciada informó al fichero Badexcug los datos personales del denunciante por un saldo deudor de 235,81€. La incidencia se dio de el 31 de julio de 2011 y baja en diciembre de 2011. Posteriormente, informó al fichero Badexcug los datos personales del denunciante por un saldo deudor de 162,26€. La incidencia se dio de alta el 11 de diciembre de 2011 y de baja el 1 de enero de 2012 (folio 73, entre otros). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 En conclusión, de la documentación que obra en el expediente se acredita cumplidamente que Vodafone informó los datos personales del denunciante al fichero de solvencia patrimonial Badexcug asociados a una deuda que no era cierta, ya que constaba una reclamación administrativa (ante la SETSI) instada por el afectado para dirimir la certeza de la deuda. Por tanto siguiendo la doctrina expresada por el Tribunal Supremo al existir dicha reclamación no podemos considerar esa deuda irrefutable, incontestable e indiscutible. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificada en el artículo 44.3.
20. c)de la citada norma, que dispone: “Son infracciones graves, (..)
21. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. VI Debemos analizar si concurre el elemento subjetivo de la culpabilidad cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. En STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. Conviene traer a colación en este caso la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
22. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la STAN anteriormente citada la Audiencia Nacional precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. B) Por otro lado, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por su parte, el artículo 3
23. d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. VII El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
24. a)El carácter continuado de la infracción.
25. b)El volumen de los tratamientos efectuados.
26. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
27. d)El volumen de negocio o actividad del infractor.
28. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
29. f)El grado de intencionalidad.
30. g)La reincidencia por comisión de infracciones de la misma naturaleza.
31. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
32. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
33. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
34. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 artículo.
35. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
36. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
37. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
38. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate"; pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las circunstancias mencionadas no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, a que no obra en el expediente ningún elemento que lleve a estimar la concurrencia de las circunstancias previstas en los apartados c),
39. d)y
40. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar, siempre, por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos, como de forma reiterada sostiene la Audiencia Nacional, entre otras, en Sentencia de 26 de noviembre de 2008. No obstante, del examen de los hechos probados y de la documentación que obra en el expediente se desprende la conveniencia de apreciar, la circunstancia prevista en el apartado
41. b)del artículo 45.5 de la LOPD respecto de la infracción del artículo 4.3 de la LOPD: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. En lo que respecta a la baja en el fichero de solvencia patrimonial Badexcug se dieron de baja el 1 de enero de 2012 (hecho probado octavo), es decir, ocho meses después de que Vodafone tuviera conocimiento de la reclamación del denunciante ante la SETSI. Por otra parte, la Resolución de la SETSI no dio la razón a Vodafone, toda vez que con fecha 1 de marzo de 2012, dictó resolución en la que resuelve, básicamente, lo siguiente: Estimar la reclamación, respecto de la solicitud de baja del servicio, reconociendo el derecho del reclamante a obtener la baja efectiva del servicio contratado y debiendo anular el operador, en el caso de que no lo haya efectuado aún, los cargos facturados con posterioridad a los dos días de la fecha en la que se solicitó la baja. No se pronuncia respecto a la exclusión de los datos personales del denunciante de los ficheros de solvencia patrimonial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 En cuanto a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, consideramos que concurren diversas circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el importante volumen de negocio de VODAFONE (apartado d, del artículo 45.4), dado que estamos ante el primer operador del país por cuota de mercado, hecho notorio sobre el que no es necesaria prueba. Están presente también otra circunstancia recogida en el artículo 45.4 ya citado: apartado c), que versa sobre la vinculación de la actividad de VODAFONE con la realización de tratamientos de datos de carácter personal, pues el desarrollo de su actividad empresarial exige un constante tratamiento de datos personales tanto de clientes como de terceros. Respecto del incumplimiento del artículo 4.3 valorados los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, cuya presencia ha quedado acreditada, y habida cuenta de que no concurre ninguna de las circunstancias que se mencionan en el artículo 45.5 de esta norma, se acuerda proponer sancionar a VODAFONE ESPAÑA, S.A. con una multa de 50.000 € (cincuenta mil euros) de la que esa entidad es responsable. Por tanto, no se considera que concurran las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45.5. de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A., por una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, tipificada como grave en el artículo 44.3.
42. c)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A. y a Don A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es