← España

PS-00318-2015

1/9 Procedimiento PS/00318/2015 RESOLUCIÓN: R/02181/2015 En el procedimiento sancionador PS/00318/2015, instruido por la Agencia Española de Protección de Datos a la entidad Vodafone España SAU, vista la denuncia presentada por C.C.C. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 30 de junio de 2014 se recibe en esta Agencia escrito de C.C.C. en el que denuncia que Vodafone España SAU ha incluido sus datos personales en Asnef y Badexcug asociados a una deuda que se encuentra pendiente de resolución ante la SETSI, por no estar conforme con la misma e incumple una cláusula del contrato firmado con la compañía. Adjunta copia de las notificaciones de inclusión de Equifax y Experian, y de dos reclamaciones presentadas ante la SETSI, con fechas 14/01/2014 y 13/03/2014. SEGUNDO: A la vista de los hechos denunciados se inicia expediente de actuaciones previas de investigación. Se solicita información a Equifax, Experian y Vodafone. Por los Servicios de Inspección de esta Agencia se eleva el siguiente informe: <<< --- Con fecha 6 de octubre de 2014, se recibe en esta Agencia escrito de Vodafone España SAU, con información relativa al denunciante y de la respuesta recibida se desprende lo siguiente: Respecto a la información relativa a la inclusión en ficheros de Solvencia: Los datos del denunciante fueron incluidos en ficheros de Solvencia por primera vez con fecha 17 de mayo de 2014, estando pendiente la reclamación ante la SETSI de fecha 24 de enero de 2014. Esta inclusión se debió a un error de cálculo en la gestión del procedimiento implantado por parte de Vodafone en torno a procesos de inclusión/exclusión de ficheros de morosos, lo que supuso, que en este caso concreto, se incluyesen los datos en dichos ficheros antes del transcurso del plazo de seis meses de resolución de la reclamación por parte de la SETSI. Este plazo hubiese cumplido el 24 de julio de 2014. Los datos del denunciante han sido excluidos de los ficheros de Solvencia con fecha 21 de septiembre de 2014. --- Con fecha 29 de diciembre de 2014 se recibe contestación a nuestra solicitud de información, por parte de Equifax Ibérica, con relación a la información obrante en sus ficheros relativa al denunciante y las inclusiones realizadas por Vodafone España SAU, con la que se adjunta la siguiente información: Respecto del fichero ASNEF: A fecha 02/03/2015, en que se realiza la consulta, no constan anotaciones de inclusión por parte de Vodafone España SAU. Respecto del fichero NOTIFICACIONES: Constan dos anotaciones de notificación de inclusión por parte de Vodafone, con fechas de emisión 17/05/2014 y 29/05/2014, respectivamente, figurando como fecha de alta 16/05/2014, por un importe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 de 161,22€, a la dirección: B.B.B.). Respecto del fichero FOTOCLÍ: Consta una anotación de Baja de fecha 20/09/2014, relativa a la citada deuda, constando como Motivo de la Baja: “F. PURA”. --- Con fecha 6 de octubre de 2014 se recibe contestación a nuestra solicitud de información, por parte de EXPERIAN BUREAU DE CRÉDITO SA, con relación a la información obrante en sus ficheros relativa a la anotación por parte de Vodafone España SAU, a nombre del denunciante, con la que se adjunta la siguiente información: Respecto del fichero BADEXCUG: A fecha 24/09/2014, en que se realiza la consulta, no constan anotaciones de inclusión por parte de Vodafone, asociadas al denunciante. Respecto del fichero NOTIFICACIONES e HISTÓRICO DE ACTUALIZACIONES: Consta una anotación de notificación de inclusión con fecha de emisión 20/05/2014. Con Fecha de Alta 18/05/2014 y Fecha de Baja 21/09/2014 por un importe de 161,22€. >>> TERCERO: De todo lo actuado en las investigaciones previas se concluye, salvo prueba en contrario, que Vodafone realizó tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos en las siguientes actuaciones: ---Impugnación ante la SETSI (14/01/14) por unos importes facturados por Vodafone al denunciante con los que este no está de acuerdo. ---SETSI notifica (23/01/14) a Vodafone la citada reclamación. Pendiente de resolución por la SETSI. ---Inclusión en Asnef (16/05/14) y Badexcug (18/05/14) de los datos personales de la persona denunciante asociados a la deuda puesta en cuestión ante la SETSI y pendiente de resolución. ---No ha acreditado Vodafone la notificación de requerimiento de pago previo a las inclusiones. ---Las inclusiones en los ficheros de solvencia son dadas de baja el 20/09/14 (Asnef) y 21/09/14 (Badexcug). CUARTO: Con fecha 02/06/15 el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a Vodafone por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, Vodafone presentó escrito de alegaciones, formulando, en síntesis, las siguientes: <<< ... , Vodafone recibió el primer escrito procedente de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (en adelante, SETSI) el 24 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 de enero de 2014. En ese momento, por un fallo puntual de sincronización y comunicación entre los sistemas que recogen la entrada de ese escrito, y los sistemas de cobros que lo deben dejar en cuarentena hasta que concluye el procedimiento, no se excluyó al Sr. C.C.C. de ese proceso, concluyendo con la inclusión de sus datos en los ficheros de solvencia Asnef y Badexcug en mayo de 2014 mientras el procedimiento estaba en curso. Los datos del Sr. C.C.C. fueron excluidos de ambos ficheros en septiembre de 2014. A los anteriores hechos, le son de aplicación los siguientes …, esta parte viene a A.A.A.. , resultan de aplicación lo previsto en los apartados 4 y 5 del art. 45 de la LOPD. Así, en primer lugar y en cuanto al apartado
  2. b)en el presente caso y una vez que ocurrió el hecho que ha dado lugar a la apertura del presente expediente, esto es la inclusión de los datos del Sr. C.C.C. en ficheros de solvencia, los datos de éste estuvieron incluidos durante 5 meses, hasta su exclusión en septiembre de 2014 cuando tuvo entrada en Vodafone el requerimiento de la Agencia, es decir, cuando Vodafone fue consciente de lo ocurrido, procedió a excluirle de manera inmediata, y
  3. d)Vodafone ha reconocido su culpabilidad tal y como se desprende del presente escrito. …,
  4. a)respecto al carácter continuado, los datos estuvieron incluidos de forma incorrecta durante un plazo de 5 meses, no siendo un período de tiempo relativamente largo, y los excluyó de forma inmediata cuando fue consciente de lo que ocurría a través del requerimiento de la Agencia,
  5. b)se trata de los datos de un único cliente,
  6. d)y
  7. e)el volumen de negocio, tal y como la Agencia conoce, no está incrementando año a año, sino todo lo contrario,
  8. f)no resulta intencionado a Vodafone requerir deudas que están siendo objeto de discusión, cuando además, como conoce la Agencia, tiene procesos destinados para que no ocurran escenarios de este tipo,
  9. h)no existen perjuicios acreditados por el denunciante e ¡) Vodafone, de nuevo, y como la Agencia conoce, tiene acordados procedimientos de no inclusión, o exclusión de ficheros, de datos de clientes que tienen un procedimiento oficial abierto, en tanto en cuanto, dichos procedimiento no sean cerrados. … SOLICITO .. la sanción correspondiente y proporcional de acuerdo con lo previsto en el art. 45 apartados 4 y 5 y en función de lo manifestado a ese respecto, entiende esta parte que es en su cuantía mínima y decretando la resolución del procedimiento en esos términos. >>> SEXTO: Al haber reconocido la entidad interesada la responsabilidad en los hechos que se le imputan, se procede a elevar a la Directora de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. HECHOS PROBADOS 1. El denunciante ( C.C.C.) era cliente de Vodafone desde mayo de 2012 por los servicios contratados de varias líneas de telefonía móvil y una fija. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 2. 14/01/14, el denunciante, por diferencias en el cumplimiento de algunas cláusulas del contrato suscrito con Vodafone y las cantidades facturadas, formula reclamación ante la SETSI. 3. 24/01/14, Vodafone, una vez ha recibido de la SETSI la notificación de la reclamación del denunciante, remite escrito de respuesta a dicho organismo informando de la posición de la compañía. Por escrito de 20/03/15 Vodafone amplia dicha información ante cuestiones planteadas por el denunciante. 4. 16/05/14, Vodafone incluye en el fichero Asnef los datos personales del denunciante ( C.C.C.) asociados a una deuda de 1161,22 € por impagos vencidos entre el 13/01/14 y el 11/04/14, correspondientes al código de operación ***NÚMERO.1. No ha sido acreditada notificación de requerimiento de pago previo a la inclusión. 5. 18/05/14, Vodafone incluye en el fichero Badexcug los datos personales del denunciante ( C.C.C.) asociados a una deuda de 1161,22 €, correspondientes al código de operación ***NÚMERO.1. No ha sido acreditada notificación de requerimiento de pago previo a la inclusión. 6. 30/06/14, entrada en la Agencia de la denuncia de C.C.C.. Equifax recibe la petición de información de la Agencia el 02/03/15 y en esa fecha emite su informe. 7. Vodafone ordena la baja de los datos personales del denunciante en Asnef el 20/09/14 y en Badexcug el 21/09/15. 8. Experian y Vodafone reciben la petición de información de la Agencia el 24/09/15. 9. Vodafone en su escrito de alegaciones al acuerdo de inicio reconoce sus responsabilidad en el hecho de la inclusión de los datos personales del denunciante en los ficheros Asnef y Badexcug estando pendiente la resolución de la SETSI y no haber transcurrido seis meses desde que tuvo conocimiento de la reclamación. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  10. g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 "Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda". En aplicación del anterior precepto y teniendo en cuenta que VODAFONE ha reconocido la responsabilidad en los hechos acaecidos, procede resolver el procedimiento iniciado. III Se imputa a Vodafone en el presente procedimiento la comisión de una infracción del artículo 4.3 de la LOPD, que dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. El apartado 2 del artículo 29 de la LOPD habilita al acreedor o a quien actué por su cuenta o interés para que, sin consentimiento del deudor, facilite los datos de carácter personal de sus deudores a ficheros comunes de solvencia patrimonial y crédito, siempre y cuando concurran los requisitos establecidos en el artículo 38.1 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, cuyo apartado
  11. a)requiere para la inclusión de datos personales en este tipo de ficheros la existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. La exigencia de que la deuda sea "cierta" responde al principio de calidad de datos recogido en el artículo 4.3 de la LOPD, al expresar que "los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar datos de carácter personal, relativos al cumplimiento o incumplimiento de obligaciones dinerarias, a ficheros comunes de solvencia patrimonial y crédito, siempre que la información registrada en este tipo de ficheros respete el principio de veracidad y exactitud del mencionado artículo 4.3 de la LOPD. Por ello, la impugnación de la deuda, cuestionando su existencia o certeza, ante los órganos administrativos, arbitrales o judiciales competentes para declarar la existencia o inexistencia de la misma, a través de resoluciones de obligado cumplimiento para las partes, impide que pueda hablarse de una deuda cierta hasta que recaiga resolución firme, y por tanto, la inclusión de la misma en los ficheros de solvencia patrimonial y crédito. El Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  12. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda anotada realmente existe. Vodafone no ha cumplido los requisitos pues la facturación, la reclamación del pago y la anotación en los ficheros de morosos no respondía con veracidad a la situación real entre las partes, pues estaba pendiente de resolución de la SETSI y no había concluido el plazo para resolver. IV El artículo 44.3.
  13. c)de la LOPD considera infracción grave: "Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave". Vodafone ha incurrido en la infracción grave descrita al haber realizado el tratamiento de un dato personal de la persona denunciante para la emisión y cargo de facturas de una tercera persona en la cuenta bancaria, que había comunicado a la operadora para el pago de las facturas propias. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)
  18. e)infracción. El volumen de negocio o actividad del infractor. Los beneficios obtenidos como consecuencia de la comisión de la
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.» .5. : El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  25. b)C/ Jorge Juan, 6 28001 – Madrid Cuando la entidad infractora haya regularizado la situación irregular de www.agpd.es sedeagpd.gob.es 8/9 forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad En el supuesto examinado, VODAFONE ha solicitado la aplicación del artículo 45.4 y 5 de la LOPD, estableciendo en la cuantía de la sanción la escala relativa a las infracciones leves, graduando la sanción en su cuantía mínima. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, al concurrir la circunstancia prevista en el apartado
  29. d)al haber reconocido la entidad denunciada espontáneamente su responsabilidad en los hechos acaecidos, lo que permite apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, estableciendo una sanción de "la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". El tratamiento de los datos personales de la persona denunciante, asociados a una deuda pendiente de resolución de la SETSI se prolongó durante cinco meses en los ficheros Asnef y Badexcug. La baja de las inclusiones, según afirma la imputada en sus alegaciones, se produjo de forma inmediata cuando tuvo conocimiento de la denuncia formulada ante la Agencia. Teniendo en cuenta el reseñado reconocimiento de la responsabilidad de la imputada y su diligente actuación en la regularización de la situación irregular –inclusión indebida en los ficheros de morosos y valoradas las demás circunstancias en relación a los criterios de graduación de las sanciones establecidos en el artículo 45.4 procede imponer una sanción de 10.000 €, por vulneración del artículo 4.3 de la LOPD, de la que Vodafone debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Vodafone España SAU., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  30. d)de dicha norma, una multa de 10.000 € (veinte mil euros), de conformidad con lo establecido en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 artículo 45.2, 5 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a Vodafone España SAU, y a Don C.C.C.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.