← España

PS-00328-2017

1/21 Procedimiento Nº PS/00328/2017 RESOLUCIÓN: R/03204/2017 En el procedimiento sancionador PS/00328/2017, instruido por la Agencia Española de Protección de Datos a la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A., vista la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: En fecha 27/06/2016 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que expone que DTS, DISTRIBUIDORA DE TELEVISION DIGITAL, S.A., (en adelante, DTS o la denunciada) ha tratado sus datos personales sin su consentimiento vinculados a un contrato celebrado a su nombre por terceras personas suplantando su identidad y ha incluido sus datos personales, asociados a una deuda que no le pertenece, en ficheros de solvencia patrimonial. La denunciante explica que en abril de 2013 extravió su DNI y que desde agosto de ese año está recibiendo requerimientos de pago de empresas con las que no ha tenido relación. Añade que en abril de 2016, a través de su entidad bancaria, conoció que existían varias incidencias asociadas a sus datos personales incluidas en ficheros de morosidad. Aporta con la denuncia, entre otros, los documentos siguientes: - - - C/ Jorge Juan, 6 28001 – Madrid Copia de la denuncia presentada en la Guardia Civil el 19/04/2013 por extravío de una cartera que contenía su DNI y su carnet de conducir. Copia de la denuncia presentada en la Guardia Civil el 25/04/2016 en la que relata que al acudir a su sucursal bancaria de La Caixa a solicitar un crédito le comunican que sus datos personales se encuentran incluidos en listas de morosos por deudas relacionadas con la contratación de líneas telefónicas. Que acude a Caja Murcia donde le corroboran esa información. Que anteriormente había recibido dos cartas de los abogados “Oriola Abogados” y “Medina Cuadros” a las que no dio importancia. El resultado de la consulta al fichero ASNEF efectuada el 05/05/2016 en la que, entre las incidencias vinculadas a su NIF, figura una informada por DTS con fecha de alta 16/12/2014. El domicilio que se vincula a sus datos es (C/...1). Copia de un contrato celebrado con DTS a su nombre (constan su nombre, dos apellidos y su DNI), de fecha 22/08/2013, siendo el domicilio del contratante el mismo que se comunicó a ASNEF. En el contrato se indica que la contratación es individual; se facilita el número de instalador y los datos de una cuenta bancaria en la entidad ***Nº.2 para la domiciliación de los pagos. www.agpd.es sedeagpd.gob.es 2/21 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad DTS, teniendo conocimiento los siguientes extremos recogidos en el Informe de Actuaciones que seguidamente se reproduce: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 2 de septiembre de 2016 se remiten escritos de requerimiento de información a DTS y de la respuesta recibida en fecha 19 de octubre se desprende: 1. En los Sistemas de Información de DTS constan los datos de la denunciante (nombre y apellidos y DNI) asociados a un contrato con fecha de alta 22/08/2013 y fecha de baja 21/04/2014. Constan dos domicilios, uno de ellos de fecha 21/08/2013 corresponde a (C/...1) y el otro domicilio que corresponde con el remitido por la denunciante a la Agencia figura como fecha de alta el 14/07/2016. DTS ha aportado copia del contrato suscrito a nombre de la denunciante de fecha 22 de agosto de 2013 donde consta el domicilio (C/...1) y manifiesta que no almacena la copia del DNI cuya exhibición para su cotejo se realiza previamente a la formalización del contrato.. 2. DTS manifiesta que el alta del contrato se ha realizado el 22/08/2013 tras la instalación en el domicilio indicado en el contrato. Dicha instalación fue realizada por la compañía DTB ***INSTALADOR.1 NOVATEL DIGITAL, S.L. con la que tiene suscrito un contrato de prestación de servicios de instalador oficial de fecha 6 de junio de 2014. 3. DTS ha aportado facturas emitidas y remitidas a la dirección (C/...1) y manifiesta que todas ellas quedaron pendientes de pago a excepción de la primera abonada con tarjeta en fecha 22/08/2013. DTS manifiesta que todas las facturas han sido anuladas cautelarmente en fecha 13/07/2016 al recibirse la denuncia por usurpación de Identidad remitida por la denunciante. 4. Respecto de los contactos y reclamaciones mantenidas con el titular del contrato, constan diversas anotaciones en relación con impagos y durante los meses de mayo y junio de 2016 figuran anotaciones relacionadas con una posible suplantación de identidad resuelta en julio de 2016. A este respecto, DTS ha aportado escrito remitido a la denunciante a su dirección donde le indican la suspensión cautelar de la recuperación de la deuda en fecha 13/07/2016. También figura una anotación en la que la denunciante aporta un nuevo domicilio ya que toda la documentación se está remitiendo a la dirección de las personas que han realizado el fraude. Y consta que, con fecha 13/07/2016, se ha constatado que la dirección en la correcta. 5. En relación con los requerimientos previos antes de la inclusión en ficheros de morosidad, DTS ha aportado documentación que acredita su remisión desde septiembre de 2014 a nombre de la denunciante y al domicilio (C/...1).>> TERCERO: Con fecha 23/06/2017 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a DTS DISTRIBUIDORA DE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 TELEVISION DIGITAL, S.A., por presunta infracción de los artículos 6.1 y 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD), tipificadas ambas como infracciones graves en los artículos 44.3.

  1. b)y 44.3.
  2. c)de dicha norma, pudiendo ser sancionada cada una con multa de 40.001 a 300.000 euros de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, DTS, mediante escrito que tiene entrada en la AEPD el 18/07/2017 – que completó días más tarde, el 21/07/2017, al remitir a la AEPD la copia del contrato de Distribuidor/Instalador Oficial suscrito entre Canal Satélite Digital, S.L. y Novatel Digital, S.L., en fecha 14/03/2006- formuló alegaciones en las que solicitó la imposición de la sanción prevista en el artículo 45.1 LOPD para las infracciones leves en su grado mínimo, pues a su juicio concurren las atenuantes cualificadas del artículo 45.5 LOPD apartados a, b, y d. Aduce en defensa de su pretensión los argumentos siguientes: - Que DTS cuenta con un contrato celebrado el 22/08/2013, debidamente cumplimentado y firmado, que consta a nombre de A.A.A., con NIF ***NIF.1. Que el impago de los servicios prestados generó una deuda que motivó la inclusión en el fichero ASNEF de los datos personales de la contratante. - Respecto al procedimiento seguido en la contratación dice: “fue realizada de forma presencial en el domicilio de la cliente por el distribuidor/instalador NOVATEL DIGITAL, S.L., en virtud del contrato que DTS tiene suscrito con el mismo y que fue aportado en el escrito de contestación a la solicitud de información con referencia E/04144/2016, si bien existe un contrato que data de 2006 y se aporta como Documento 1” (El subrayado es de la AEPD) - En relación con el procedimiento de contratación expone que cuando el Distribuidor recibe una “solicitud de instalación envía a un instalador al domicilio del cliente”. Y añade: “El instalador se encarga de que el cliente firme el contrato de DTS, le instala el servicio y automáticamente envía a DTS en un sobre prefranqueado una copia del contrato firmado por el cliente”. Que el contrato a nombre de la denunciante fue suscrito por el instalador/distribuidor NOVATEL DIGITAL, S.L., y subraya que esta entidad “verificó que el nombre, apellidos y número de DNI del firmante coincidían con los que figuraban en el documento nacional de identidad”. Concluye que “está fuera de toda duda que los servicios fueron instalados y disfrutados (sino por el denunciante sí por alguna persona cercana a él o conocedora de sus datos personales)”. - Afirma que reaccionó con diligencia pues no tuvo conocimiento de la posible suplantación de identidad hasta que acusó recibo de la denuncia presentada por la Sra. A.A.A. el 25/04/2016 y “de inmediato procedió a excluir los datos personales de la afectada del fichero ASNEF”, en particular el 13/07/2016. Aporta como documento nº 2 una impresión de pantalla de su fichero interno. - Invoca la aplicación del artículo 45.5.
  3. d)LOPD. Así, dice que “reconoce espontáneamente su responsabilidad” y añade que ha “reconocido que en el momento de la contratación el distribuidor no recaba copia del DNI del titular C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 del contrato sino que simplemente exige su exhibición y verifica la coincidencia de sus datos con los reflejados en el contrato” Considera que el reconocimiento de responsabilidad conlleva la imposición de la sanción con arreglo a la escala de las infracciones leves. - Invoca la aplicación del artículo 45.5.
  4. b)LOPD, pues a su juicio reaccionó diligentemente ante la reclamación de la afectada y procedió a excluir sus datos del fichero de solvencia ASNEF con fecha 13/07/2016. - Invoca la aplicación del artículo 45.5.
  5. a)LOPD. A tal fin argumenta lo siguiente: Que la entidad “en todo momento actuó en la creencia legítima de que el contrato había sido suscrito legítimamente y con el consentimiento del titular” Añade que “Dicha creencia viene propiciada por la confianza depositada por DTS en la labor de sus distribuidores”. - Menciona que el consentimiento puede manifestarse por actos reiterados del afectado que revelen que efectivamente ha prestado el consentimiento. Cita la SAN de 26/12/2013 (Rec. 480/2012) que estimó el recurso contencioso administrativo y dejó sin efecto la resolución sancionadora de la AEPD, toda vez que la Audiencia consideró que la entidad había obrado con una diligencia razonable y entendió otorgado el consentimiento de la afectada para el tratamiento de sus datos derivado de los hechos concurrentes: durante casi tres años se estuvieron pagando las facturas generadas por el servicio prestado en una cuenta bancaria que constaba en el contrato. DTS estima que existe paralelismo entre el supuesto de hecho contemplado en la SAN precitada y el caso que nos ocupa y afirma a estos efectos que en la cuenta bancaria que figura en el contrato celebrado a nombre de la denunciante “fueron abonadas la facturación inicial”. - A su juicio, concurren las siguientes circunstancias descritas en el artículo 45.4 LOPD que operan como atenuantes de la responsabilidad exigible: * No ha existido falta de diligencia por parte de DTS, pues si la infracción se comete es debido a un tercero de mala fe que suplanta la identidad de la afectada (apartado f,). * DTS no ha obtenido beneficios a consecuencia de su actuación (apartado,
  6. e)* Que esta actuación es puntual y excepcional y no existe reincidencia. Sobre este particular señala que no son ejemplo de reincidencia los procedimientos sancionadores PS 300/2016 y PS719/2016, por lo que no concurre la agravante apreciada por la AEPD en su acuerdo de inicio, apartado g). * Alega la inexistencia de perjuicios causados al denunciante (apartado
  7. h)y dice que tiene “implantados procedimientos adecuados de actuación de los distribuidores/instaladores para evitar supuestos como el presente de suplantación de identidad que a raíz de lo ocurrido se han visto reforzados”. QUINTO: Con fecha 27/10/2017, de conformidad con el artículo 77 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas, se inició un período de práctica de pruebas acordando realizar las siguientes diligencias: 1. Incorporar al expediente a efectos probatorios la denuncia presentada en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 AEPD y documentación adjunta, la información recabada por la Inspección de Datos de DTS, en el curso de las actuaciones de investigación previa, y el Informe de Actuaciones de Investigación Previa. Documentos todos ellos que integran el expediente E/04144/2016. 2. Asimismo, se dan por reproducidas a efectos probatorios las alegaciones al acuerdo de inicio del procedimiento PS/00328/2017 presentadas por DTS y la documentación adjunta. 3. Se solicitó a BANCO SABADELL información sobre quién era en agosto de 2013 titular o persona autorizada de la cuenta bancaria cuyos últimos dígitos son XX. La petición dirigida a BANCO SABADELL no consta notificada correctamente, por lo que se carece de la información solicitada. SEXTO: Con fecha 03/07/2017 tuvo entrada en el Registro de la AEPD un escrito de la denunciante solicitando información sobre el estado de su denuncia. En escrito firmado por la Instructora del expediente el 04/10/2017 se le comunica la apertura de un procedimiento sancionador (PS/00328/2017) frente a DTS. SÉPTIMO: Con fecha 23/11/2017 se notificó a DTS la Propuesta de resolución formulada en los siguientes términos: <<PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a DTS, DISTRIBUIDORA DE TELEVISIÓN DIGITAL, S.A., con multa de 60.00 euros (sesenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  8. b)de dicha norma. SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a DTS, DISTRIBUIDORA DE TELEVISIÓN DIGITAL, S.A., con multa de 32.000 euros ( treinta y dos mil euros) por la infracción del artículo 4.3, en relación con el 29.4, de la LOPD, tipificada como infracción grave en el artículo 44.3.
  9. c)de dicha norma.>> OCTAVO: DTS aceptó la notificación electrónica de la Propuesta de resolución el 24/11/2017. En fecha 12/12/2017 tuvieron entrada en el Registro de la AEPD sus alegaciones a la Propuesta en las que, en esencia, reiteró lo alegado al acuerdo de inicio del expediente sancionador. En particular, en el citado escrito hizo las siguientes manifestaciones: - Muestra su disconformidad con la Propuesta formulada por la AEPD en tanto en ella no se admitió la aplicación del artículo 45.5.
  10. d)LOPD, (reconocimiento espontáneo de responsabilidad) que solicitó en sus alegaciones al acuerdo de inicio, lo que, dice, le ha generado cierta indefensión. Solicita la aplicación del artículo 45.5
  11. a)de la LOPD Discrepa de la aplicación en calidad de agravante del apartado
  12. f)del artículo 45.4 LOPD y solicita que se reconozcan las atenuantes de los apartados e),
  13. h)e
  14. i)del artículo 45.4 LOPD. - De las actuaciones practicadas en el presente procedimiento, han quedado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 acreditados los siguientes HECHOS PROBADOS PRIMERO: A.A.A., con NIF ***NIF.1, (folio 3) y domicilio en ***LOCALIDAD.1, manifiesta que DTS ha tratado sus datos personales sin su consentimiento vinculados a un contrato celebrado por terceros a su nombre y ha informado sus datos, asociados a una deuda que no le pertenece, al fichero ASNEF. (Folio 1) SEGUNDO: En los registros de DTS figuran los datos personales de la denunciante (nombre, dos apellidos y NIF), asociados a un domicilio en (C/...1). La denunciante consta como titular de un contrato de Canal + celebrado el 21/08/2013 (folios 138 y 139) TERCERO: DTS ha facilitado copia del contrato de CANAL + celebrado a nombre de la denunciante el 22/08/2013. En el apartado 1 del contrato, datos personales del cliente, figuran el nombre, apellidos y NIF de la denunciante y el domicilio antes citado de Paseo (C/...1). En el apartado 4, tarjetas autorizadas, se hace mención a una tarjeta Mastercard número ***Nº.1. En el apartado 6, domiciliación bancaria, constan los veinte dígitos de una cuenta en la entidad ***Nº.2, finalizada en “XX”. El contrato incluye en los tres apartados destinados a la “firma del titular” una rúbrica. El instalador que interviene en el contrato está identificado por el sello de la empresa, NOVATEL DIGITAL, S.L., con NIF ***NIF.1, y por el número de instalador, ***INSTALADOR.1, (Folio 164) CUARTO: Obra en el expediente, aportado por DTS, el contrato de “Distribuidor/Instalador Oficial” celebrado entre DTS y NOVATEL DIGITAL, S.L., el 14/03/2006 (folios 276 a 300). Se estipula que el objeto del contrato es establecer el marco regulador por el que el Distribuidor/Instalador prestará determinados servicios a DTS consistentes principalmente en promover la suscripción a Digital+, otorgándole la calificación de Distribuidor Oficial de Digital + en todo el territorio nacional. El contrato consta de catorce cláusulas, una disposición adicional y VI anexos. En ninguna de sus cláusulas o anexos se hace mención al deber que tiene el Distribuidor/Instalador de solicitar al cliente que le muestre el DNI u otro documento que acredite su identidad y de contrastar la información del documento identificativo con la que el cliente incorpora al contrato. QUINTO: De la documentación facilitada por DTS se evidencia que, derivadas del servicio contratado a nombre de la denunciante, se emitieron facturas en las siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 fechas: El 22/08/2013 por importe de 3,84 euros; el 01/09/2013 por 31,61 euros; el 01/10/2013 por 79,68 euros; el 06/08/2014 por 300 euros (correspondientes a una indemnización por retención del equipo); y el 07/08/2014 . (Folios 140 y153 a 158) SEXTO: DTS ha manifestado que “todas las facturas emitidas, cuya copia se adjunta …, fueron devueltas a excepción del pago con tarjeta realizado el 22/08/2013. El resto quedó pendiente de pago y se anuló de manera cautelar el 13/07/2016 tras recibir la denuncia por Usurpación de identidad en el alta del contrato por parte de la reclamante” (Folio 140). El subrayado es de la AEPD. SÉPTIMO: Los datos personales de la denunciante se dieron de alta en ASNEF, informados por DTS, en fecha 16/12/2014, por un saldo deudor de 500,68 euros (folio 41) DTS ha declarado que canceló del fichero ASNEF la incidencia a nombre de la afectada en fecha 13/07/2016 (folio 228). Aporta a tal fin una impresión de pantalla de sus registros informáticos en la que consta que con esa fecha se ha “regularizado la situación”, (folio 236) OCTAVO: En los registros informáticos de DTS se hace referencia a las siguientes comunicaciones mantenidas entre la denunciante y esa entidad: - - El 11/05/2016 la denunciante solicita que le remitan por correo electrónico copia del contrato existente a su nombre y de todas las facturas emitidas. DTS le responde el mismo día. El 13/05/2016 hay registrada una llamada en la que la denunciante manifiesta que consulta sus datos personales por haber sido objeto de un uso fraudulento. El 25/06/2016, DTS recibe un email de la denunciante en el que se identifica por su nombre, apellidos y NIF, les comunica que la deuda que le atribuyen con el número de cliente ***CLIENTE.1 no la ha contraído ella y le remite copia de la denuncia formulada en la Guardia Civil. Solicita que cancelen la deuda a su nombre y la eliminen de las listas de morosos. El 27/06/2016 DTS envía un email a la denunciante en el que se le informa de que han dado traslado de su reclamación con número ***RECL.1 al Departamento Administrativo que la tramitará a la mayor brevedad. El 12/07/2016 DTS dirige un email a la denunciante solicitando una ampliación de la denuncia presentada en la que se haga referencia al alta de sus datos en un contrato con CANAL + El 12/07/2016 la denunciante responde a DTS que en el último párrafo de la hoja número 7 de la denuncia se hace referencia a CANAL PLUS. El 13/07/2016 DTS responde a la denunciante por correo certificado y le comunica que “hemos suspendido cautelarmente el procedimiento de recuperación de deuda iniciado contra Vd.” (Folios 142 a 144 y 160) OCTAVO: Obra en el expediente el “Acta de Declaración” de fecha 12/05/2016 efectuada en las dependencias de la Guardia Civil de ***LOCALIDAD.1 por A.A.A. en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 que añade a la denuncia presentada el 25/04/2016 más datos “referentes a la utilización de su identidad para la contratación de servicios telefónicos y créditos bancarios”. Este Acta forma parte del Atestado número ***ATESTADO.1, que se inció con la denuncia de 25/04/2016 (folios 3 y 6) En el Acta de Declaración de 12/05/2016 se recoge: << Otro hecho a denunciar es que la dicente solicita vía correo electrónico a EQUIFAX (ASNEF, lista de morosos) la relación de deudas pendientes a las que se le vincula, siéndole enviado un documento en el que se detallan las actividades económicas pendientes. Que visualizado el documento, observa que existe un impago referente a la empresa de TELEVISIÓN DIGITAL por la cantidad de 500,68 euros, por lo que se pone en contacto con CANAL PLUS a través del teléfono ***TELF.1 para que le enviaran la copia del contrato firmado. Que recibido este documento, se percata de que aparecen escritos sus datos personales con una firma la cual no corresponde con la suya y figurando los últimos cuatro dígitos (***Nº.1) de una tarjeta bancaria MASTERCARD con número de autorización ***AUTORIZACION.1 de la que no es titular. Que también aparece relacionada una cuenta bancaria para la domiciliación bancaria siendo la ***CUENTA.1, tampoco titularidad de la dicente>> (El subrayado es de la AEPD). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  15. g)en relación con el artículo 36 de la LOPD. II Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. El artículo 6 LOPD se refiere al principio del consentimiento en el tratamiento de los datos de carácter personal y bajo la rúbrica “Consentimiento del afectado” establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  16. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) . El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. (El subrayado es de la AEPD). El artículo 44.3.
  17. b)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. El artículo 44.3.
  18. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Las infracciones graves pueden ser sancionadas con multa de 40.001 € a 300.000 €, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. III Se atribuye a DTS en el presente expediente sancionador la comisión de dos infracciones de la LOPD, artículos 6.1 y 4.3, materializadas en haber tratado los datos personales de la denunciante vinculados a la contratación de un servicio de CANAL C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 PLUS sin su consentimiento y en la posterior inclusión en ficheros de morosidad de sus datos personales asociados a la deuda derivada de aquél, a la que la denunciante es ajena, por lo que, respecto a ella, la deuda informada al fichero de solvencia ASNEF no era cierta, ni vencida ni exigible. Sobre la infracción del artículo 6.1 de la LOPD han de hacerse las siguientes consideraciones A. A tenor del artículo 6 de la LOPD, el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, del que se dispensa al responsable del fichero -entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento se refiere a las partes de un contrato o precontrato y es necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD). Esto, porque el consentimiento para el tratamiento de los datos está implícito en el consentimiento otorgado a la contratación pero únicamente si quien facilita los datos personales con ocasión de ella es efectivamente su titular y en la medida en que el referido tratamiento sea preciso para la ejecución del contrato. Ha quedado acreditado a través de la documentación obrante en el expediente que los datos personales de la denunciante, nombre, dos apellidos y NIF (no así su dirección postal) se incorporaron a los registros informáticos de DTS vinculados a la contratación de varios servicios de Canal Plus ( “Opción Canal +Liga”, “Taquilla General”, y “Servicio Digital) con fecha de alta 21/08/2013 (folio 138). La denunciante ha negado la contratación de cualquier servicio con esa entidad tanto en la denuncia presentada en la AEPD, como en la denuncia ante la Guardia Civil, como en las reclamaciones que formuló ante DTS (nos remitimos al Hecho probado octavo) Paralelamente, ha quedado acreditado (Hecho probado segundo) que en los registros de DTS constan los datos personales de la denunciante como titular de un contrato de Canal + celebrado el 21/08/2013 (folios 138 y 139) DTS ha facilitado a la AEPD la copia del contrato de CANAL + celebrado a nombre de la denunciante el 22/08/2013 en el que, junto a su NIF, nombre y dos apellidos, figuran una dirección postal que no le pertenece, que es el lugar de instalación del servicio, los veinte dígitos de una cuenta bancaria de la que no es titular y los números identificativos de una tarjeta MASTERCARD de la que tampoco es titular. DTS fue requerida por la Inspección de Datos para que aportara copia de los “contratos suscritos por el afectado, incluyendo las condiciones generales y particulares aplicables así como la copia del DNI, pasaporte o cualquier otro documento recabados que acredite la identidad del contratante”. En el requerimiento informativo de la Inspección de Datos se indicaba que si la contratación se había realizado por Distribuidor la requerida debía aportar el nombre y domicilio social actual del Distribuidor, la copia del contrato firmado con él, la copia de las instrucciones que la entidad requerida (DTS) hubiera facilitado al Distribuidor para realizar altas de sus productos o servicios y el detalle de los documentos que el Distribuidor debía recabar para acreditar la identidad del cliente antes de proceder a contratar. La documentación aportada por DTS ha consistido únicamente en la copia de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 contrato con el anagrama de Canal +, suscrito en fecha 22/08/2013, y en cuyo apartado “datos personales del cliente” constan el nombre, dos apellidos y NIF de la denunciante. Los restantes datos, como la dirección postal (C/...1), o los datos bancarios, no pertenecen a la denunciante. DTS no ha facilitado de ningún documento identificativo del cliente que haga prueba de la identidad de la persona que contrató con ella, limitándose a manifestar que “Esta entidad no almacena copia de los DNI cuya exhibición para cotejo solicita previamente a la formalización del contrato aportado”. La entidad denunciada afirmó en sus alegaciones al acuerdo de inicio del expediente sancionador que cuando el distribuidor recibe una solicitud de contratación envía a un instalador al domicilio del cliente; que es el instalador quien se encarga de que el cliente firme el contrato, le instala el servicio y envía a DTS en un sobre prefranqueado la copia del contrato firmado por el cliente. Y añade que el distribuidor es perfecto conocedor de la importancia que tiene verificar que el DNI original que le exhiben el cliente se corresponde con la persona que firma el contrato. Es más, DTS afirma taxativamente que NOVATEL “verificó que el nombre, apellidos y número de DNI del firmante coincidían con los que figuraban en el documento nacional de identidad” Lo cierto es que, examinado detenidamente el contrato suscrito entre DTS y NOVATEL DIGITAL, S.L., el 14/03/2006 (folios 276 a 300) - contrato que se compone de catorce cláusulas, una disposición adicional y VI anexos- en ninguna de sus cláusulas o anexos se menciona que el Distribuidor/Instalador tenga la obligación de solicitar al cliente que le muestre el DNI u otro documento que pruebe su identidad, ni de contrastar la información del documento identificativo con la que el cliente incorpore al contrato. Sobre ese particular hemos de advertir que, inicialmente, en el curso de las actuaciones de investigación previa, DTS, en respuesta al requerimiento para que hiciera entrega a esta Agencia de la copia del contrato celebrado con el Distribuidor NOVALTEL DIGITAL, S.L.,, aportó la copia de un contrato firmado el 06/06/2014, en el que se mencionaba ( Anexo II, Apartado II, Sub apartado segundo) que el Distribuidor tenía la obligación de verificar la identidad del cliente mediante la exhibición de su DNI. Sin embargo, como se puso de manifiesto en el Acuerdo de Inicio del expediente, era de todo punto imposible que si se aceptaba lo manifestado por la entidad según lo cual el contrato celebrado a nombre de la afectada por DTS en fecha 21/08/2013, se celebró a través de NOVATEL DIGITAL, S.L., el contrato marco que vinculaba a esta entidad y a DTS se hubiera suscrito, como se invocó en su momento, pues ese fue el documento contractual aportado por la denunciada, el 06/06/2014, estos es, casi diez meses después de la fecha en la que NOVATEL interviene en la contratación en calidad de Distribuidor Oficial de DTS. La denunciada remitió a la AEPD en el trámite de alegaciones al acuerdo de inicio del expediente, la copia del contrato del que nace la relación entre la responsable del fichero y tratamiento, DTS, (entonces denominada Canal Satélite Digital, S.A.) y la Distribuidora, documento que está fechado el 14/03/2006. A la luz de este contrato resulta que CANAL PLUS (en la actualidad DTS), pese C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 a que en virtud de él el Distribuidor asumía la obligación de “Formalizar debidamente los contratos de suscripción bajo las condiciones y precios especificados CSD y/o DTS” (Cláusula segunda, apartado 1.
  19. a), no establecía en él un protocolo de actuación en la contratación de sus servicios al que debiera ajustarse NOVALTEL. Es más, el contrato ni siquiera exigía que la Distribuidora NOVALTEL recabara una copia del DNI del cliente ni tampoco -a diferencia del contrato de Distribución de 2014- exigía que el Distribuidor verificara la identidad del cliente que contrata los servicios de CANAL PLUS cotejando los datos facilitados con algún documento oficial. Resulta de la exposición precedente que no hay elemento alguno del que pueda inferirse que DTS obró diligentemente y que no parece admisible tampoco que invoque como exponente de su conducta diligente la “creencia en que el contrato se celebró legítimamente”, con el consentimiento del titular de los datos, creencia que, dice, “viene propiciada por la confianza depositada por DTS en la labor de sus distribuidores”. Esto, porque no hay ninguna base en la que fundamentar esa “creencia” de DTS, cuando en el documento que regula el procedimiento de actuación de los distribuidores ni siquiera tiene previsto que éstos deban recabar los documentos de identificación de los clientes ni contrastar los datos personales incorporados al documento contractual. B. Así las cosas, una vez acreditado, por una parte, que DTS ha venido tratando los datos personales de la afectada y, por otra, en tanto no consta que la entidad denunciada hubiera recabado el consentimiento de la titular de los datos a la contratación ni que hubiera desplegado con ocasión de ella la diligencia mínima exigible a fin de estar en condiciones de acreditar la identidad de la persona que los facilitó como suyos, existió por su parte un claro incumplimiento del principio del consentimiento. En relación a la carga de la prueba del consentimiento para el tratamiento de los datos personales, la Audiencia Nacional, Sala de lo Contencioso Administrativo, viene considerando que cuando el titular de los datos niega la contratación corresponde a quien afirma su existencia la carga de esa prueba. Puede traerse a colación en tal sentido una antigua SAN, de 11/05/2001, que señalaba que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” (El subrayado es de la AEPD). La Audiencia Nacional ha manifestado reiteradamente que el responsable del tratamiento de datos personales de terceros debe recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Se mencionan a estos efectos, por todas, la SAN de 31/05/2006 (rec. 539/2004) que en su Fundamento de Derecho Cuarto dice: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). Especialmente significativa es también la SAN de 29/04/2010 que, a propósito C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 de la contratación fraudulenta, indicó en su Fundamento Jurídico sexto: “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) Y sobre el grado de diligencia que ha de observarse por el responsable del fichero la SAN de 17/10/2007 (rec. 63/2006) después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado es de la AEPD) La Doctrina jurisprudencial de la Sala de lo Contencioso administrativo de la Audiencia Nacional antes mencionada está en consonancia con la Directiva 95/46/CE – que ha sido derogada por el Reglamento europeo de Protección de Datos vigente a partir de mayo de 2018- y la interpretación que el Grupo de Protección de Datos del Artículo 29 -creado en virtud del artículo 29 de la Directiva 95/46/CE como órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad- mantuvo en su Dictamen 15/2011, de 13/07/2011, sobre la definición del consentimiento, en el que a propósito del consentimiento al tratamiento señaló: “Como se describe a continuación, este requisito obliga a los responsables del tratamiento a crear procedimientos rigurosos para que las personas den su consentimiento; se trata de, o bien buscar un claro consentimiento expreso o bien basarse en determinados tipos de procedimientos para que las personas manifiesten un claro consentimiento deducible. El responsable del tratamiento debe además asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. (…)(El subrayado es de la AEPD) C. Finalmente, señalar que no es extrapolable al asunto que nos ocupa –en contraposición a lo alegado por DTS- el supuesto contemplado en la SAN de 26/12/2013 (Rec 480/2012), en el que la Audiencia Nacional consideró que existía un consentimiento tácito del titular de los datos personales para su tratamiento. Consentimiento tácito que se dedujo de los hechos concurrentes, en particular, de que durante tres años se estuvieron pagando las facturas generadas por el servicio prestado por Canal Plus en una cuenta bancaria que figuraba en el contrato. Sin embargo, en el presente caso, como la propia entidad denunciada reconoce (ver folio 140) únicamente se pagó la primera factura, de 22/08/2013, y el pago se hizo no por domiciliación bancaria sino a través de tarjeta bancaria. Por tanto, la pretensión de DTS de equiparar ambos supuestos ha de ser rechazada al no existir entre ellos elementos coincidentes que permitan también concluir que existió un consentimiento tácito de la afectada al tratamiento de sus datos personales. Se concluye de lo expuesto que la actuación de DTS, habida cuenta de que trató los datos personales de la afectada vinculados a un contrato que ella no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 suscribió sin haber adoptado la diligencia mínima exigible para verificar la identidad del contratante, vulnera el artículo 6.1 de la LOPD y es subsumible en el tipo sancionador del artículo 44.3.
  20. b)LOPD. IV Respecto a la infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma, de la que se responsabiliza a DTS, han de hacerse las siguientes reflexiones: A. Las normas jurídicas reproducidas en el Fundamento de Derecho I ponen de manifiesto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige que la deuda sea cierta, vencida, exigible y que haya resultado impagada. Conviene recordar, además, que el acreedor que informa los datos al fichero es el responsable de comprobar que tal inclusión se ajusta a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. En tal sentido ha de traerse a colación la disposición del artículo 43.1 del RLOPD que establece: “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) B. Constituye un hecho probado que DTS trató los datos personales de la denunciante (su nombre, apellidos y NIF) asociados a la contratación de determinados servicios con ella. Como se ha expuesto en el Fundamento Jurídico precedente DTS no ha podido acreditar que la afectada hubiera otorgado el consentimiento a la contratación de esos servicios. Los servicios se prestaron efectivamente a quien facilitó como propios los datos personales de la afectada derivándose de ello la emisión de varias facturas. En tanto DTS no ha acreditado que fuera la denunciante la persona que contrató los servicios de los que deriva la deuda, tal deuda no es, respecto a la denunciante, ni cierta, ni vencida ni exigible. Ante el impago de las facturas, DTS comunicó al fichero ASNEF una incidencia asociada al NIF de la afectada con fecha de alta 16/12/2014 por un importe de 500,68 euros. La inclusión de los datos personales de la denunciante en el fichero de solvencia incumplía el requisito del artículo 38.1.
  21. a)del RLOPD en relación con el artículo 4.3 y 29.4 LOPD. DTS ha declarado que procedió el 13/07/2016 a dar de baja de ASNEF los datos personales de la denunciante y a anular las facturas de manera cautelar nada más tener conocimiento de que existía una denuncia por suplantación de identidad en la que se mencionada el tratamiento de datos realizado por DTS. En definitiva, los datos personales de la denunciante fueron incluidos por DTS en un fichero de solvencia patrimonial vinculados a una deuda a la que ella era ajena; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 deuda que no era cierta, ni vencida ni exigible desde la perspectiva de la afectada por cuanto la entidad informante, DTS, no ha podido acreditar su condición de deudora. Resulta por ello que la información que la entidad denunciada comunicó a ASNEF no se ajustó al principio de exactitud y veracidad, corolario del principio de calidad del dato que proclama el artículo 4.3 de la LOPD. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificada en el artículo 44.3.
  22. c)de la citada norma. V El artículo 45 de la LOPD, apartados 1 a 5 establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  23. a)El carácter continuado de la infracción.
  24. b)El volumen de los tratamientos efectuados.
  25. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  26. d)El volumen de negocio o actividad del infractor.
  27. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  28. f)El grado de intencionalidad.
  29. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  30. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  31. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  32. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  33. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  34. b)Cuando la entidad infractora haya regularizado la situación irregular de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 diligente.
  35. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  36. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  37. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en la que se integra la considerada en el caso de que se trate". Para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado o de la antijuridicidad del hecho o bien de alguna otra de las circunstancias que el mismo precepto cita. A. Manteniendo el criterio fijado en el acuerdo de inicio del expediente sancionador se aprecia la concurrencia de la atenuante cualificada prevista en el apartado
  38. b)del artículo 45.5 LOPD, “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, pero únicamente respecto a la infracción del artículo 4.3 LOPD, dado que la denunciada procedió a excluir de ASNEF, de manera cautelar, los datos personales de la denunciante el 13/07/2016, después de recibir el 25/06/2017 un email con la copia de la denuncia interpuesta en la Guardia Civil. El motivo por el que no se aprecia esta circunstancia en relación a la infracción del principio del consentimiento de la que se responsabiliza también a DTS, es que en ningún momento la entidad ha manifestado que hubiera cancelado de sus ficheros los datos personales de la afectada ni que hubiera anulado las facturas emitidas a su cargo. Se ha limitado a indicar que había cancelado cautelarmente las facturas. Tampoco en el escrito de alegaciones al acuerdo de inicio de este expediente hay una manifestación al respecto de la entidad, debiendo tener en cuenta que las alegaciones son de fecha 18/07/2017 y que desde que se canceló la incidencia de ASNEF, el 13/07/2016, ha transcurrido un tiempo considerable para adoptar esa medida. B. DTS, por su parte, ha invocado la concurrencia de tres atenuantes cualificadas del artículo 45.5 LOPD: las descritas en los apartados a),
  39. b)y d). A este respecto hemos de señalar que, como reiteradamente viene pronunciándose la Sala de lo Contencioso administrativo de la Audiencia Nacional, no es posible aplicar más de una vez el efecto jurídico descrito en el artículo 45.5 LOPD. Y, lo que es determinante, como expondremos seguidamente, no se dan en el asunto que nos ocupa elementos que justifiquen la estimación de las circunstancias contempladas en el artículo 45.5 LOPD apartados
  40. a)y
  41. d)Por lo que hace mención al apartado
  42. d)del artículo 45.5 LOPD, “Cuando el infractor haya reconocido espontáneamente su responsabilidad”, hemos de subrayar que la Audiencia Nacional viene exigiendo para que el reconocimiento de responsabilidad pueda calificarse de espontáneo que la entidad haga el reconocimiento nada más tener noticia de su presunta conducta infractora. En este caso, sin embargo, DTS reconoció su responsabilidad en los hechos denunciados en el trámite de las alegaciones al acuerdo de inicio pero no, como era lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 procedente para que pudiera apreciarse la circunstancia invocada, en la respuesta al requerimiento informativo de la AEPD. En ninguno de los dos escritos que DTS remitió a la AEPD en el trámite de actuaciones previas (ambos de 19/10/2016) reconocía su responsabilidad en los hechos por lo que su pretensión sobre ese extremo ha de rechazarse. DTS invoca en su defensa la aplicación de diversas circunstancias atenuantes del artículo 45.4 LOPD que a su juicio determinan la aplicación del artículo 45.5.
  43. a)LOPD. A estos efectos argumenta lo siguiente: En primer término, que no concurren las agravantes que esta Agencia tomó en consideración en el acuerdo de inicio del expediente sancionador recogidas en el artículo 45.4 LOPD, apartados
  44. g)–reincidencia- y
  45. h)- perjuicios causados-. Además, alega que son de aplicación como atenuantes las descritas en los siguientes apartados del artículo 45.4 LOPD: e), la ausencia de beneficios obtenidos.
  46. f)grado de culpabilidad, pues afirma que no omitió la diligencia debida.
  47. i)por tener implantados procedimientos adecuados de recogida de datos personales. La pretensión de la denunciada, sin embargo, con carácter general, y con la única excepción que veremos, no puede prosperar. En relación a la invocada atenuante del apartado
  48. e)del artículo 45.4 LOPD, ausencia de beneficios obtenidos, señalar que la Audiencia Nacional considera que no procede aplicarla como atenuante cuando la vulneración de la normativa de protección de datos se produce por omitir la diligencia que es procedente en el desarrollo de una actividad lucrativa, por más que el resultado final termine siendo perjudicial económicamente para la entidad infractora. Respecto a la aplicación como atenuante de la circunstancia del apartado
  49. f)del artículo 45.4 LOPD, omisión de la diligencia debida, -omisión que DTS niega- nos remitimos a lo expuesto en los Fundamentos precedentes de esta resolución y añadimos que la “actuación de mala fe” del tercero que suplantó la identidad de la afectada, a la que se alude por la entidad, es irrelevante desde la perspectiva que nos ocupa, pues esa materia es ajena a la competencia atribuida a esta Agencia por su normativa reguladora y en nada interfiere la mala fe del suplantador con las obligaciones impuestas por la LOPD que DTS ha incumplido. Tampoco puede prosperar la pretensión de la denunciada de que se aprecie como atenuante la circunstancia del apartado
  50. i)del artículo 45.4 LOPD. Como se pone de manifiesto en los Fundamentos de esta resolución, DTS no tenía establecido ningún protocolo de actuación para verificar la identidad de la persona que presta el consentimiento a la contratación de sus servicios al que tuviera que atenerse el Distribuidor oficial de la entidad. Tampoco consta que DTS hubiera verificado (así se infiere de los resultados de su actuación), antes de decidir incluir los datos personales de un tercero (en este caso, de la denunciante) en ficheros de solvencia que obraban en su poder los documentos que le permitían acreditar el cumplimiento de las condiciones a las que el RLOPD supedita la legalidad de tal inclusión. C. Por lo que concierne a las circunstancias modificativas de la responsabilidad descritas en el artículo 45.4 LOPD que se estiman aplicables al presente caso, procede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 señalar lo siguiente: C.1. En relación tanto a la infracción del artículo 6.1 y del artículo 4.3 LOPD, de las que se responsabiliza a DTS, estimamos que concurren en calidad de agravantes las siguientes circunstancias del artículo 45.4 LOPD: -“El carácter continuado de la infracción” (apartado a,). Resulta de aplicación en aquellos casos en los que la infracción cometida tenga carácter permanente, naturaleza que la Audiencia Nacional atribuye a las de los artículos 6.1 y 4.3 LOPD. Tiene especial relevancia por el prolongado periodo de tiempo durante el cual los datos personales de la denunciante fueron objeto de tratamiento por DTS sin legitimación para ello, pues incorporó a sus ficheros y trató los datos personales de la afectada desde el 22/08/2013, fecha en la que celebró un contrato a su nombre, hasta al menos el 13/07/2016. Si bien en esa fecha sus datos se dieron de baja de ASNEF no tenemos constancia de que hubiera sido también en esa fecha cuando los canceló de sus propios ficheros. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) La actividad empresarial de DTS lleva implícita el tratamiento de datos de carácter personal lo que le obliga a extremar la diligencia en el cumplimiento de la normativa de protección de datos. La Audiencia Nacional en SAN de 17/10/2007 (Rec. 63/2006), exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia y precisa que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. - “El volumen de negocio o actividad del infractor” (apartado
  51. d)DTS tiene la condición de gran empresa dentro del sector en el que desarrolla su actividad empresarial. - “El grado de intencionalidad” (apartado,
  52. f)Esta expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador …”. En el presente caso, DTS obró con una “grave” falta de diligencia pues omitió aquella que las circunstancias del caso exigían y el estado de la técnica aconsejaba a fin de garantizar el respeto al principio del consentimiento, lo que implicaba haber recabado y conservado a disposición de la AEPD un documento, cualquiera que fuese el soporte, que acreditara que la persona que otorgó el consentimiento a la contratación era el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 titular de los datos personales que había facilitado como suyos o, al menos, que había desplegado una conducta diligente a esos efectos. Por el contrario, ni el protocolo estipulado en el contrato que DTS celebró con su Distribuidora preveía que ésta tuviera que solicitar al cliente un documento identificativo oficial y cotejar la identidad, ni evidentemente recabó copia de ninguno de ellos. La diligencia que DTS invoca consiste en su “confianza” en la empresa Distribuidora, en que cotejará la veracidad de los datos personales que le facilite el cliente con un documento identificativo, ello pese a que el protocolo de actuación al que debía someterse la Distribuidora según el contrato celebrado con DTS no hacía ninguna referencia a ese deber. Tampoco respecto a la infracción del artículo 4.3 LOPD, en relación con el 38.1.a, RLOPD, se aprecia una actuación diligente de DTS. Más al contrario, una grave falta de diligencia por cuanto el artículo 43 del RLOPD exige expresamente a la entidad que informa datos de terceros a un fichero de solvencia que se asegure (“deberá asegurarse”, dice el precepto) de que concurren todos los requisitos exigidos para tal comunicación. Uno de ellos es que la deuda sea cierta; lo que no sólo significa que la entidad preste un servicio y exista consumo, sino también que la deuda sea atribuible a quien consta como titular, lo que presupone una actuación diligente en la verificación de la identidad de quien contrata. C.2. De aplicación específica a la infracción del artículo 4.3, LOPD (principio de calidad de los datos) se estiman aplicables, además de las anteriores, estas otras agravantes: - “La reincidencia por comisión de infracciones de la misma naturaleza”, apartado g). Precepto que ha de integrarse con la norma del artículo 29.3. d, de la Ley 40/2015, de Régimen Jurídico del Sector Público que, al referirse a la aplicación del principio de proporcionalidad, advierte que se deberán tomar en consideración, entre otros criterios, “La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme en vía administrativa”. En tal sentido nos remitimos a los procedimientos sancionadores PS/300/2016 y 317/2016, en los que se dictó resolución sancionadora a DTS por vulneración del artículo 4.3 LOPD, en relación con el 29.4. - “La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas”, apartado
  53. h)A tal efecto se ha de recordar que la denunciante ha permanecido incluida en el fichero ASNEF, a instancia de DTS, sin legitimación para tal inclusión, durante un año y siete meses. Recordemos que la Audiencia Nacional (SAN de 16/02/2002,Rec. 1144/1999), ha considerado que “la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan”. (El subrayado es de la AEPD) A la luz de la exposición precedente, tomando en consideración la aplicación de la atenuante cualificada del artículo 45.5.
  54. b)LOPD respecto a la infracción tipificada en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 artículo 44.3.
  55. c)LOPD; las circunstancias agravantes que resultan de aplicación específica a dicha infracción (apartados g, y h, del artículo 45.4) y aquellas cuya concurrencia se aprecia respecto a las dos infracciones de las que se responsabiliza a DTS ( apartados a, c, d, y f, del artículo 45.4 LOPD) se acuerda imponer a DTS una sanción de 60.000 euros (sesenta mil euros) por la infracción del artículo 6.1 LOPD – cuantía próxima al mínimo previsto para las infracciones graves- y una sanción de 32.000 euros (treinta y dos mil euros) por la infracción del artículo 4.3, en relación con el 29.4 de la LOPD y 38.1.a, del RLOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A. con NIF ***NIF.1, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  56. b)LOPD, una sanción de 60.000 euros (sesenta mil euros), de conformidad con el artículo 45.2. LOPD. SEGUNDO: IMPONER a la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A. con NIF ***NIF.1, por una infracción del artículo 4.3, en relación con el 29.4 de la LOPD, y en relación también con el artículo 38.1.a, RLOPD, tipificada como infracción grave en el artículo 44.3.
  57. c)LOPD, una sanción de 32.000 euros (treinta y dos mil euros) de conformidad con los artículos 45.5., 45.2 y 45.1 LOPD. TERCERO: NOTIFICAR la presente resolución a DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A. CUARTO: Advertir a la entidad sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  58. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.