← España

PS-00330-2016

1/17 Procedimiento Nº PS/00330/2016 RESOLUCIÓN: R/03291/2016 En el procedimiento sancionador PS/00330/2016, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A.U., vista la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes, ANTECEDENTES PRIMERO: D. B.B.B., en representación de D.ª A.A.A. (en lo sucesivo, la denunciante), ha presentado en la Agencia Española de Protección de Datos (AEPD) el 04/09/2015 un escrito en el que declara que VODAFONE ESPAÑA, S.A.U., (en lo sucesivo, VODAFONE o la denunciada) atribuye a la denunciante una deuda que no es cierta y cuyo pago le ha requerido mediante cartas envidadas en mayo, julio y agosto de 2015. Añade que ha incluido sus datos personales en el fichero de solvencia patrimonial BADEXCUG asociados a la deuda inexistente. La denunciante expone que mantuvo en el pasado una controversia con VODAFONE relacionada con las mismas deudas que ahora le atribuye por las que fue incluida entonces en el fichero ASNEF. En relación con la citada controversia la denunciante obtuvo una resolución favorable de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI) y presentó una denuncia ante la AEPD que dio lugar al expediente PS/487/2014, en el que se sancionó a VODAFONE por vulneración del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) con una multa de 30.000 euros. Aporta copia de los siguientes documentos: La acreditación de la representación que dice ostentar; tres cartas de requerimiento de pago enviadas por VODAFONE el 26/05/2015, 21/07/2015 y 25/08/2015; dos cartas remitidas por Experian Bureau de Crédito, S.A., el 30/06/2015 y 25/08/2015, en las que le comunica la inclusión en el fichero BADEXCUG, a instancia de VODAFONE, de sus datos personales asociados a un saldo deudor de 274,36 euros (fecha de alta 28/06/2015) y 402,27 (fecha de alta 23/08/2015); la resolución dictada por la SETSI el 18/12/2012 y la resolución sancionadora dictada por la AEPD el 27/02/2015 en el marco del PS/487/2014. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia se practicaron actuaciones de investigación encaminadas a su esclarecimiento teniendo conocimiento de los siguientes extremos recogidos en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ANTECEDENTES C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 Con fecha de 4 de septiembre de 2015 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: HECHOS DENUNCIADOS: En los meses de mayo, julio y agosto de 2015, recibió requerimientos de pago de VODAFONE, por importes de 274,36€ y 402,27€, en los que le informaban de la posible inclusión de sus datos en BADEXCUG. En los meses de junio y agosto de 2015, recibió sendas notificaciones de la inclusión de sus datos en BADEXCUG, por los citados importes. Entre los años 2011 y 2015, como consecuencia de reclamaciones interpuestas por la denunciante contra VODAFONE, se resolvió a su favor tanto por parte de la SETSI (diciembre de 2012), como de ésta Agencia (febrero de 2015). No obstante, VODAFONE ha incluido de nuevo los datos de la denunciante en el fichero BADEXCUG. DOCUMENTACION APORTADA: Copia de los requerimientos de pago recibidos de VODAFONE, de fechas 26 de mayo, 21 de Julio y 25 de agosto de 2015, por importes: el primero de 274,36€ y los dos siguientes de 402,27€. Copia de las notificaciones de inclusión de los datos de la denunciante en el fichero BADEXCUG, de fecha 30 de junio de 2015, por importe de 274,36€, y de fecha 25 de agosto de 2015, por importe de 402,27€. en ambos consta como entidad informante VODAFONE ESPAÑA S.A. Copia de la Resolución de la SETSI de fecha 18 de diciembre de 2012, en la que: 1. Se estima la reclamación de la denunciante respecto a la facturas de fecha 23 de febrero, 14 de marzo 23 de marzo y 26 de abril de 2011, debiendo el operador (VODAFONE ESPAÑA S.A.) bonificar su importe. 2. Se estima la reclamación de la denunciante respecto al alta no solicitada de las líneas ***TEL.1 y ***TEL.2, reconociendo el derecho de la denunciante a obtener la baja inmediata del servicio no solicitado. Copia de la Resolución de la Agencia de Protección de Datos de fecha 27 de febrero de 2015, en el expediente con referencia PS/487/2014, en relación con la denuncia presentada por la denunciante sobre la falta de requerimiento de pago previo a la inclusión de sus datos en ficheros de solvencia, por facturas impagadas correspondientes a las líneas ***TEL.3, ***TEL.4 y ***TEL.5 y sobre la inclusión de sus datos en ficheros de solvencia por facturas que no le correspondían. Según consta en la Resolución: 1. VODAFONE no acreditó haber realizado requerimientos de pago a la denunciante con carácter previo a la inclusión de sus datos en ficheros de solvencia. 2. Las anotaciones en los ficheros, lo son por importe de deuda que no le corresponde. Con fecha 12 de noviembre de 2015, se recibe un nuevo escrito de la denunciante con el que aporta copia de la contestación recibida de EXPERIAN BUREAU DE CREDITO, con fecha 9 de septiembre de 2015, a la solicitud de cancelación de sus datos en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 fichero BADEXCUG, en la que le informan de que han procedido a la cancelación. ACTUACIONES PREVIAS Con fecha 26 de enero de 2016, se solicita a EXPERIAN BUREAU DE CREDITO, SA información relativa a la denunciante y de la respuesta recibida, con fecha 29 de diciembre de 2016, se desprende lo siguiente 1. Respecto del fichero BADEXCUG: No consta información en esa fecha. 2. Respecto del fichero de NOTIFICACIONES: Constan varias notificaciones remitidas a la denunciante, como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad VODAFONE, las dos últimas de fechas 30 de junio y 25 de agosto de 2015. 3. Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. Consta información relativa a dos operaciones impagadas informada por VODAFONE ESPAÑA, cada una de ellas se ha incluido en tres ocasiones, las dos últimas inclusiones correspondientes a cada una de las operaciones son: con fecha de alta 25 de agosto de 2015 y fecha de baja 9 de septiembre de 2015, y con fecha de alta 28 de junio de 2015 y fecha de baja 9 de septiembre de 2015. En ambas operaciones el motivo de la baja ha sido la solicitud de cancelación por parte de la afectada. 4. Respecto a los EXPEDIENTES asociados al denunciante: Aportan copia de varios expedientes de cancelación relativos a la denunciante. Con fechas 15 de enero y 16 de febrero de 2016, VODAFONE ESPAÑA S.A. ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Durante la gestiones de los expedientes de actuaciones previas tramitados en la Agencia, que finalizaron con el Procedimiento Sancionador con referencia PS/487/2014, se solicitó desde VODAFONE a efectos de corregir los hechos, disponer a través de la denunciante de los adeudos con objeto de comprobar el titular del recibo respecto del titular de la cuenta bancaria y comprobar la cuenta cliente de VODAFONE con la que se cruzó el recibo para poder imputar la deuda correctamente. 2. VODAFONE nunca recibió dichos adeudos por lo que no pudo identificar al cliente correcto. Este hecho es el que ha motivado que en lugar de cancelarse la deuda, se mantuviera en los sistemas del operador y se realizaran de nuevo requerimientos de pago a la denunciante en el año 2015. 3. Por lo tanto, el hecho de que se incluyeran los datos de la denunciante de nuevo en el fichero BADEXCUG en el año 2015, se debió a un error cometido al gestionar el citado Procedimiento Sancionador, ya que la deuda no quedó cancelada sino bloqueada, por lo que pasado el tiempo se desbloqueó para continuar con su recuperación.>> TERCERO: Con fecha 20/07/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U., por una presunta infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 tipificada como infracción grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros. CUARTO: Notificado el acuerdo de inicio, VODAFONE, mediante escrito de fecha 12/08/2016, formuló alegaciones en las que solicitó la imposición de la sanción con arreglo a la escala prevista para las infracciones leves y en su cuantía mínima. En defensa de su pretensión adujo lo siguiente: - Que este procedimiento sancionador trae causa de unos hechos por los que la AEPD tramitó en el pasado los expedientes informativos E/768/2013 y E/7914/2013, en los que VODAFONE facilitó cuanta información obraba en su poder respecto a la denunciante y reconoció la existencia de un error por su parte. Añade que los hechos dieron lugar al PS/487/2014 en el que se le impuso una sanción de 30.000 euros. - Sobre la conducta que ha provocado la apertura del presente expediente, declara que se produjo por dos factores: Uno, el error humano de la persona que gestionó el caso de la denunciante, que procedió al bloqueo de la deuda en lugar de a su cancelación, lo que ocasionó que pasado el tiempo durante el cual las deudas de los clientes quedan bloqueadas volviera a activarse y a reclamarse y siendo un proceso automático no era posible corregir el error hasta el inicio del expediente de investigación E/6822/2015. El otro, que VODAFONE solicitó a la denunciante durante la gestión del PS/487/2014 que le facilitara “los adeudos”, necesarios - según declara- para “comprobar quién era el titular del recibo en relación con el titular de la cuenta bancaria” y ver cuál era la cuenta cliente con la que VODAFONE había “cruzado” el recibo y conocer así quién era el titular de la deuda, pese a lo cual la denunciante no le hizo entrega de dicho documento. - Invoca la aplicación del artículo 45.5 LOPD, apartados
  2. b)y d). Argumenta respeto a esta última circunstancia (reconocimiento espontáneo de la culpabilidad) que tanto ahora como en el procedimiento anterior ha reconocido su culpabilidad. Entiende que es aplicable también el apartado
  3. b)del precepto, -haber regularizado la situación irregular de forma diligente- aunque, añade, “al no quedar exenta de poder cometer errores, como en este caso, de carácter humano, en lugar de cancelar la deuda la bloqueó volviendo a reclamarse pasado el tiempo”. - Invoca la concurrencia, en calidad de atenuantes, de las siguientes circunstancias modificativas de la responsabilidad descritas en el artículo 45.4 LOPD: 1. La inexistencia “del carácter continuado”, apartado a), pues su reacción al conocer el error fue inmediata. 2. Apartado b), pues “solo se trata de los datos de un cliente. 3. Apartados “
  4. d)y
  5. e)el volumen de negocio, tal y como la Agencia conoce, no está incrementando año a año, sino todo lo contrario”.4. Apartado “
  6. f)no resulta intencionado para Vodafone no corregir errores cuando se compromete a ello reconociendo además el error cometido”. 5. Apartado “
  7. h)no existen perjuicios acreditados por el denunciante”. 6. Apartado “
  8. i)Vodafone dispone de procedimientos para gestionar la cancelación de deudas si bien, pueden ocurrir errores tal y como ha ocurrido en este caso”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 QUINTO: Con fecha 13/09/2016, de conformidad con lo prevenido en el artículo 17.1 del R.D. 1389/1993, se abrió el periodo de prueba en el que se acordó practicar las siguientes diligencias probatorias: 1. Dar por reproducidos a efectos de prueba la denuncia interpuesta por D.ª A.A.A. y la documentación adjunta, los documentos obtenidos y generados por los Servicios de Inspección ante VODAFONE y ante EXPERIAN BUREAU DE CRÉDITO, S.A., así como el Informe de actuaciones previas de Inspección; documentos que integran el expediente E/06822/2015. 2. Dar por reproducidas a efectos probatorios las alegaciones al acuerdo de inicio del PS/00330/2016 presentadas por VODAFONE y la documentación que a ellas acompaña. 3. Se solicitó a VODAFONE que informara si la denunciante continuaba siendo cliente de la entidad y de los servicios de los que es o había sido titular en la compañía, así como de las fechas de alta y baja. Se solicitó también copia de la última factura emitida a nombre de la denunciante por los servicios contratados. - La denunciada evacuó el trámite de prueba el 30/09/2015. Manifestó que la denunciante no es en la actualidad cliente de la operadora. Informó de cuáles eran las cuentas cliente que la denunciante había tenido en VODAFONE y de los números de línea de los que había sido titular con la entidad. Entre estos facilitó el ***TEL.1, número de línea sobre el que la SETSI se pronunció en su resolución de 18/12/2012 diciendo que la denunciada no había acreditado que la reclamante y actual denunciante hubiera prestado el consentimiento para el alta de dicha línea y resolvió que tenía derecho a exigir su baja inmediata. 4. La denunciante evacuó el trámite de prueba el 29/09/2016 informando que no era en la actualidad cliente de VODAFONE y que ante la negativa de la operadora para que pudiera portar sus números a otro operador dio de baja las líneas y contrató con otra compañía un nuevo número. SEXTO: En fecha 21/12/2016 se notificó a VODAFONE la propuesta de resolución del PS/330/2016, formulada en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con multa de 65.000 euros (sesenta y cinco mil euros) por la infracción del artículo 4.3, en relación con el 29.4, de la LOPD y 38.1.a, del RLOPD, tipificada como infracción grave en el artículo 44.3.
  9. c)de dicha norma.>> SÉPTIMO: En fecha 12/01/2017 tuvieron entrada en la AEPD las alegaciones de VODAFONE a la propuesta de resolución en las que la denunciada se allanó a las sanción propuesta por la AEPD. De las actuaciones practicadas en el presente procedimiento, han quedado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 acreditados los siguientes HECHOS PROBADOS PRIMERO: A.A.A., con NIF ***NIF.1 (folio 35) ha recibido varias cartas de VODAFONE en las que le requiere el pago de sendas deudas de 274,36 euros (carta de fecha 26/05/2015) y de 402,27 euros (cartas de fechas 21/07/2015 y 25/08/2015) y en todas ellas le informa que, de no proceder al pago de las deudas en un plazo inferior a 30 días naturales, sus datos serán incluidos en el fichero BADEXCUG (folios 4,5,6) SEGUNDO: VODAFONE comunicó al fichero BADEXCUG, asociadas al NIF de la denunciante, varias incidencias relativas a dos operaciones impagadas: a. Operación ***OP.1, por un saldo deudor de 402, 27 euros, con fecha de vencimiento 04/04/2015: Constan cuatro inclusiones, la última de ellas con alta 23/08/2015 y baja el 09/09/2015, (folios 58 y 59). b. Operación ***OP.2, por un saldo deudor de 274,36 euros, con fecha de vencimiento 05/05/2011: Constan tres inclusiones, la última de ellas con alta 28/06/2015 y baja el 09/09/2015, (folios 61 a 63). TERCERO: EXPERIAN BUREAU DE CRÉDITO, S.A., ha informado en escrito de fecha 26/01/2016 que no figura en el fichero BADEXCUG ninguna operación impagada asociada al NIF de la denunciante, (folio 40) CUARTO: Las inclusiones en el fichero BADEXCUG de los datos de la denunciante se dieron de baja como consecuencia de haber ejercitado el derecho de cancelación. Obra en el expediente copia de un escrito de la denunciante solicitando la cancelación de la inclusión, con sello de entrada en EXPERIAN el 09/09/2015. La denunciante remitió también a la responsable del fichero copia de la resolución dictada por la SETSI el 18/12/2012 y de la resolución sancionadora de la AEPD recaída en el PS/ 00487/2014. EXPERIAN procedió a cancelar las dos operaciones informadas por VODAFONE al fichero BADEXCUG y así lo comunicó a la denunciante mediante carta certificada recibida el 15/09/2015 (folios 108 a 126) QUINTO: VODAFONE ha manifestado en escrito dirigido a la Inspección de Datos el 12/02/2016 que “el motivo por el cual se incluyeron los datos de la Sra. A.A.A. con posterioridad a la gestión del expediente sancionador PS/487/2014 es consecuencia de un error cometido cuando gestionamos dicho expediente ya que la deuda no quedó cancelada sino bloqueada”. Añade que “pasado un tiempo desde el bloqueo la deuda quedó de nuevo desbloqueada y pasó a ser recuperada…”. “Lo anterior es lo que ocasionó que los datos de la Sra. A.A.A. fueran incluidos de nuevo en el fichero de solvencia Badexcug de donde han sido excluidos de forma definitiva en enero del presente año”, (folios 130 y 131) SEXTO: VODAFONE fue sancionada por la AEPD en el marco del PS 487/2014, por infracción del artículo 4.3 de la LOPD, en relación con el 29.4, al haber facturado a la denunciante servicios que correspondían a otro cliente y haber incluido sus datos personales en el fichero de solvencia ASNEF cuando existía una reclamación promovida ante la SETSI contra la operadora que ponía en tela de juicio la existencia de la deuda y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 por no haber efectuado el preceptivo requerimiento de pago. La sanción impuesta fue de 30.000 euros al estimarse la aplicación del artículo 45.5.
  10. d)LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  11. g)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). II La LOPD dedica el Título II a los “Principios de protección de datos” y en su artículo 4, “Calidad de los datos” establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 del citado texto legal dispone en su apartado 4: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Estos preceptos deben integrarse con las definiciones recogidas en los artículos 3.a), 3.
  12. e)y 3.
  13. c)de la LOPD respecto a lo que debe entenderse por “datos de carácter personal”, “afectado o interesado” y “tratamiento de datos”, respectivamente: “cualquier información concerniente a personas físicas identificadas o identificables”; “persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  14. c)del presente artículo”; “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El Reglamento de Desarrollo de la Ley Orgánica 15/1999, aprobado mediante el Real Decreto 1720/2007, de 21 de diciembre (RLOPD) se ocupa en el capítulo I del Título IV de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  15. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….)
  16. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto sin aquélla fuera de vencimiento periódico.
  17. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 obligación. 2. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. (El subrayado es de la AEPD). A su vez, los artículos 41.1 -“Conservación de los datos”- y 43.1 -“Responsabilidad”- del RLOPD disponen, respectivamente: “Sólo podrán ser objeto de tratamiento los datos que respondan con veracidad a la situación de la deuda en cada momento concreto…..”. “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Los requisitos que el artículo 38.1 del RLOPD exige para poder incluir datos de carácter personal en ficheros de solvencia patrimonial y crédito son una manifestación del principio de calidad de los datos que proclama el artículo 4.3 de la LOPD. Este principio significa que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. El cumplimiento de tal obligación incumbe a los responsables de los ficheros y a los encargados de tratamiento que deben velar para que su actuación se ajuste a las disposiciones reguladoras de este derecho fundamental III En el procedimiento sancionador que nos ocupa se atribuye a VODAFONE la comisión de una infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y en relación también con el artículo 38.1.
  18. a)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  19. c)de la citad Ley Orgánica, precepto que dispone: “Son infracciones graves: (…) Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Resulta acreditado que los datos personales de la denunciante fueron incluidos en el fichero de solvencia patrimonial BADEXCUG, a instancia de VODAFONE, por dos supuestas deudas, de 402,27 euros y 274,36 euros, con fechas de alta, respectivamente, 23/08/2015 y 28/06/215. Ambas anotaciones se dieron de baja el 09/09/2015 como consecuencia de que la denunciante ejercitó ante EXPERIAN BUREAU DE CRÉDITO, S.A., (en adelante EXPERIAN), responsable del fichero de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 solvencia mencionado, el derecho de cancelación (hechos probados segundo y cuarto). Asimismo, consta acreditado que la inclusión de la denunciante en el fichero de solvencia estuvo precedida del preceptivo requerimiento de pago que exige el aparatado c, del artículo 38.1 del RLOP (hecho probado primero) Como se detalla en el Fundamento precedente, el artículo 38.1 del RLOPD supedita la inclusión de datos personales de un tercero en un fichero de morosidad al cumplimiento de las condiciones que en él se detallan, entre ellas la prevista en el apartado
  20. a)que versa sobre la existencia de una deuda cierta, vencida y exigible que haya resultado impagada. Las dos deudas –de 402,27 euros y 274,36 euros- por las que VODAFONE incluyó en BADEXCUG los datos personales de la denunciante eran “inexistentes” y VODAFONE era perfectamente conocedora de ese extremo cuando decidió informar sus datos al fichero de solvencia en fechas 23/08/2015 y 28/06/215, respectivamente. Llegados a este punto es necesario referirse a la resolución dictada por la AEPD en el PS 487/2014, en el que la entidad denunciada fue sancionada por idéntica vulneración de la LOPD que ahora se le imputa. La conducta infractora consistió en haber incluido en dos ocasiones en el fichero ASNEF los datos de la denunciante asociados a dos deudas -de 402,27 euros y 274,36 euros, con fechas de vencimiento 04/04/2011 y 05/05/2011- que no cumplían el requisito de certeza exigido en el apartado a), del artículo 38.1 del RLOPD. VODAFONE había incluido a la denunciante en ASNEF, por las deudas indicadas, con fecha de alta 12/01/2012. En esa fecha estaba pendiente de resolución en la SETSI una reclamación promovida por la denunciante contra la operadora, extremo que VODAFONE conocía perfectamente, pues el escrito informativo que remitió a la SETSI data del 31/08/2011; esto es, varios meses antes de la fecha de alta de las incidencias. Conforme al criterio fijado en la STS de 15/07/2010, para que una deuda cumpla el requisito de certeza que menciona el artículo 38.1.a, del RLOPD ha de ser irrefutable e indiscutible, por lo que su impugnación ante órganos administrativos, arbitrales o judiciales competentes para pronunciarse sobre la existencia o inexistencia de aquélla a través de resoluciones de obligado cumplimiento para las partes impide que la deuda pueda calificarse como cierta hasta que haya recaído resolución firme. La SETSI dictó resolución el 18/12/2012 estimando la pretensión de la reclamante y ordenando a VODAFONE bonificar los importes de las facturas 23/02/2011, 14/03/2011, 23/03/2011 y 24/04/2011 por corresponder a otro cliente y la baja inmediata de las líneas ***TEL.1 y ***TEL.2, cuya alta no fue solicitada por la afectada. El 03/01/2013 y el 08/01/2013 se dieron de baja de ASNEF los datos de la denunciante asociadas a las dos deudas que la SETSI estimó que no correspondían a la denunciante. Sin embargo, días más tarde VODAFONE procedió de nuevo a incluir a la denunciante en el fichero de solvencia por las mismas deudas; altas de fecha 24/01/2013 y 18/02/2013. Las incidencias se cancelaron del fichero de solvencia el 22/02/2013. En la resolución del PS 487/2014 se sancionó a VODAFONE por infracción del artículo 4.3 LOPD en relación con el 29.4, con una multa de 30.000 euros, al apreciarse la atenuante cualificada del artículo 45.5.
  21. d)que alude al reconocimiento espontáneo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 la culpabilidad por el infractor. La conducta de VODAFONE que es objeto de valoración en el presente expediente aconteció con posterioridad a que se dictara la resolución sancionadora del PS 487/2014 de 26/02/2015. Como ha quedado acreditado en el expediente VODAFONE informó a BADEXCUG el 23/08/2015 y el 28/06/2015 (hecho probado segundo) los datos de la afectada asociados a dos deudas de 402,27 euros y 274,36 euros, cuyas fechas de vencimiento eran también el 04/04/2011 y 05/05/2011. Se trataba, por tanto, de las mismas deudas sobre las que versaron las inclusiones sancionadas en la resolución dictada en el PS/487/2014. La reseña hecha sobre la conducta infractora de VODAFONE que fue sancionada en el PS 487/2014, demuestra que la entidad denunciada conocía entonces que las deudas por las que había incluido a la denunciante en el fichero ASNEF no reunían el requisito de certeza que exige el artículo 38.1.
  22. a)del RLOPD. Por idéntica razón, resulta incuestionable que cuando años más tarde, en 2015, VODAFONE informó a BADEXCUG los datos de la denunciante asociados a las mismas deudas tenía perfecto conocimiento de que aquéllas no reunían el requisito de certeza previsto en el apartado a, del artículo 38.1 del RLOPD. En consecuencia, a la luz de los hechos declarados probados, la conducta de VODAFONE que se somete a la valoración de esta Agencia es contraria al principio de exactitud y veracidad de los datos recogido en el artículo 4.3 de la LOPD, en relación con el 29.4 de la misma norma, y en relación también con el artículo 38.1.a, del RLOPD. B. Los argumentos que esgrime VODAFONE en su defensa son, por una parte, el error humano en el que incurrió la persona que gestionó el caso de la denunciante, que procedió al bloqueo de la deuda en lugar de a su cancelación, lo que ocasionó que pasado el tiempo durante el cual las deudas de los clientes quedan bloqueadas volviera a activarse y a reclamarse y siendo un proceso automático no era posible corregir el error hasta el inicio del expediente de investigación E/6822/2015. Por otra, que la denunciante no le había entregado los documentos que le había solicitado durante la tramitación del PS/487/2014. Los documentos requeridos eran “los adeudos”, necesarios - según manifiesta VODAFONE- para “comprobar quién era el titular del recibo en relación con el titular de la cuenta bancaria” y ver cuál era la cuenta cliente con la que VODAFONE había “cruzado” el recibo y conocer así quién era el titular de la deuda. A propósito de este último argumento basta decir que, incluso en la hipótesis de que tal documento fuera imprescindible para la entidad, la falta de entrega por la afectada no habilita a la operadora a incluir sus datos en un fichero de solvencia si se cumplen las condiciones a las que la normativa de protección de datos supedita la legitimación para dicha inclusión. En relación con el primero de sus alegatos nos remitimos a lo expuesto sobre el elemento subjetivo de la infracción. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 Corresponde analizar seguidamente si concurre el elemento subjetivo de la culpabilidad. Análisis necesario si tenemos en cuenta que VODAFONE alega en su defensa que la conducta que es objeto de valoración en este expediente se produjo por “error”. La presencia del elemento subjetivo de la infracción es esencial para poder exigir responsabilidad en el ámbito del Derecho Administrativo Sancionador, pues no cabe imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. El Tribunal Constitucional, en Sentencia 76/1999 afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. El artículo 130.1 de la LRJPAC acoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Por tanto, la acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia, como ya reconoció el Tribunal Supremo en Sentencias de 16 y 22 de abril de 1991. Es más, del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia. En tal sentido, y concretado al ámbito del procedimiento administrativo sancionador en materia de protección de datos, cabe citar la Sentencia de la Audiencia Nacional de 17/10/2007 (Rec. 63/2006), en la que el Tribunal dice que “....el ilícito administrativo previsto en el artículo 44.3.
  23. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) Por su parte, el Tribunal Supremo (STS 05/07/1998 y 03/03/1999) viene entendiendo que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia a observar se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. VODAFONE incluyó a la denunciante en un fichero de morosidad por dos deudas inexistentes, incumpliendo con ellos el artículo 38.1, apartado
  24. a)del RLOPD, conducta que justifica en el escrito de alegaciones al acuerdo de inicio en que se produjo por un error humano. A ese respecto procede indicar que el “error vencible” (único que cabría admitir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 en este caso) no excluye la responsabilidad. En el presente caso estamos ante un error “vencible”, de modo que tal error podría haberse evitado si se hubiera actuado con la diligencia que la operadora está obligada a desplegar en el desarrollo de su actividad empresarial. De haber observado la diligencia procedente no habría lugar a exigir responsabilidad sancionadora pues ello supondría vulnerar el principio de culpabilidad. Muy esclarecedora es la Sentencia del Tribunal Supremo de 23/01/1998 (RJ 1998/601) que no exculpó al sujeto infractor y argumentó que “no hay datos para concluir que la entidad mercantil sancionada actuase con la diligencia exigible, lo que excluiría su responsabilidad”. La conducta sobre la que versa la denuncia es el resultado de una grave falta de diligencia de VODAFONE. Esta entidad no desplegó en el cumplimiento de las obligaciones que le impone la normativa de protección de datos la diligencia que está obligada a observar. Es más, vistos los antecedentes de la conducta que se somete a nuestra consideración –en particular, la sanción impuesta a VODAFONE en 2014, en el marco del PS 487/2014, por haber vulnerado el principio de calidad del dato al haber incluido en un fichero de solvencia, en dos ocasiones, los datos personales de la denunciante asociados a dos deudas que no cumplían el requisito descrito en el apartado a, del artículo 38.1 del RLOPD- y tomando en consideración que las dos deudas inexistentes por las que VODAFONE ha informado al fichero BADEXCUG los datos personales de la denunciante son las mismas deudas sobre las que versó el PS 487/2014, la gravedad de la diligencia omitida resulta a todas luces acreditada. Se añade a lo anterior que la normativa de protección de datos, además de supeditar la legalidad de la inclusión de los datos del afectado en un fichero de solvencia al cumplimiento los requisitos descritos en el artículo 38.1 del RLOPD, refuerza la diligencia que debe observar el acreedor informante en su cumplimiento. Así, el artículo 43.1 RLOPD insiste en que tiene el deber de “asegurarse de que concurren todos los requisitos exigidos en los artículos 38 y 39” en el momento de notificar los datos adversos al responsable del fichero común” “. (El subrayado es de la AEPD) De la exposición precedente se ha de concluir que sí está presente en la conducta analizada el elemento subjetivo de la culpabilidad; falta de diligencia que se materializa en una radical ausencia de controles que verifiquen el cumplimiento las condiciones exigidas por la ley para incluir los datos de un tercero en un fichero de solvencia. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17
  25. a)El carácter continuado de la infracción.
  26. b)El volumen de los tratamientos efectuados.
  27. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  28. d)El volumen de negocio o actividad del infractor.
  29. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  30. f)El grado de intencionalidad.
  31. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  32. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  33. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  34. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  35. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  36. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  37. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  38. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  39. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en la que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La Audiencia Nacional, Sala de lo Contencioso Administrativo, viene entendiendo que la aplicación del artículo 45.5 LOPD ha de ser individualizada en atención a las circunstancias concretas que resulten de cada caso, correspondiendo al sancionado la carga de acreditar los elementos de los que resulte una disminución "especialmente cualificada" de la culpabilidad o de la antijuridicidad. Si bien VODAFONE, en el trámite de audiencia, se allanó a la propuesta sancionadora de la AEPD, en su escrito de alegaciones al acuerdo de inicio había solicitado la aplicación del artículo 45.5 LOPD, apartados b, y d. Respeto a esta última C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 circunstancia (reconocimiento espontáneo de la culpabilidad) argumentó que tanto ahora como en el procedimiento anterior había reconocido la culpabilidad en los hechos. Centrándonos en el expediente que nos ocupa, PS/330/2016, y en particular en las Actuaciones de Investigación previa del E/6822/2015, no consta que la operadora hubiera reconocido en ese trámite la culpabilidad en los hechos analizados, lo que resulta en todo caso esencial pues el precepto cuya aplicación solicitó (45.5.d, LOPD) exige que el reconocimiento de la culpabilidad sea “espontaneo”. Condición ésta sobre la que ha incidido la Audiencia Nacional en su SAN de 10/05/2016 (Rec. 913/2015) que dice: “Por último, aunque deba valorarse positivamente que la compañía demandante haya reconocido en vía administrativa su culpabilidad por los hechos denunciados, constitutivos de la infracción por cuya autoría ha sido sancionada, debemos precisar que el hecho de que este reconocimiento de responsabilidad tuviera lugar en el escrito de alegaciones presentado ante la propuesta de resolución del instructor, como admiten las partes, y no con anterioridad impide su calificación como la circunstancia prevista en el artículo 45.5.d), pues carece de la espontaneidad necesaria para ello.” (El subrayado es de la AEPD) La “espontaneidad” que ha de caracterizar al reconocimiento de la culpabilidad que integra el artículo 45.5.
  40. d)LOPD está vinculada con el momento en el que el infractor hace esa declaración de voluntad, de forma que el reconocimiento se produzca nada más tener noticia de los hechos presuntamente infractores. Paralelamente, los precedentes del asunto que analizamos impedirían en todo caso que pudiera estimarse la atenuante cualificada que se invoca. Recordemos que VODAFONE había incluido anteriormente, en dos ocasiones, los datos de la afectada en ficheros de solvencia sin que las deudas fueran ciertas, en el sentido al que se refiere el artículo 38.1.a, del RLOPD; que esa conducta fue objeto de un procedimiento sancionador anterior; que la operadora también invocó en él el artículo 45.5.
  41. d)LOPD, circunstancia que fue estimada, y que pese a todo no canceló el dato inexacto de las deudas atribuidas a la denunciante. Respecto a la circunstancia contemplada en el artículo 45.5.
  42. b)que se invoca, no existen tampoco elementos de juicio que evidencien la pretendida reacción diligente. Más al contrario, la actuación de VODAFONE en relación a los hechos analizados es un ejemplo de extremada falta de diligencia. Así pues, la sanción que procede imponer a VODAFONE por la infracción del principio de calidad del dato estará comprendida entre las previstas para las infracciones graves en el artículo 45.2. LOPD. Por lo que atañe a las circunstancias del artículo 45.4 LOPD que permiten graduar la cuantía de la sanción, decir que la denunciada invocó en las alegaciones al acuerdo de inicio como atenuantes las descritas en los apartados a), b), d), e),
  43. h)e
  44. i)del precepto. En el presente asunto, como se expuso en la propuesta de resolución, estimamos que únicamente opera como atenuante la recogida en el apartado
  45. b)del artículo 45.4 LOPD -el volumen de tratamientos efectuados- pues el tratamiento de datos contrario a la normativa vigente que es objeto de este expediente sancionador ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 afectado a una sola persona. Paralelamente, la Agencia aprecia que en el presente asunto concurren como agravantes las siguientes circunstancias contempladas en el artículo 45.4 LOPD: - - - Apartado a), carácter continuado de la infracción. Los datos de la denunciante estuvieron incluidos en el fichero BADEXCUG sin legitimación para ello durante quince días respecto a una de las deudas anotadas y un mes y diez días para la otra.
  46. d)el volumen de negocio o actividad del infractor. Si bien VODAFONE invoca que la cifra de negocio de la compañía está decreciendo en los últimos años es un hecho notorio que se trata de una de las principales operadoras del mercado español por cuota de negocio.
  47. f)el grado de intencionalidad. Esta expresión debe entenderse como equivalente a grado de culpabilidad y, como ha quedado dicho, VODAFONE ha omitido la más mínima diligencia en su actuación por lo que existió una “grave falta de diligencia”.
  48. h)La naturaleza de los perjuicios causados a las personas interesadas. Sobre este particular señalar, por una parte, que la Audiencia Nacional ha declarado, a propósito de la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, (por todas SAN de 16/02/2002, Rec. 1144/1999, Fundamento de Derecho Cuarto) que “...la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...” Por otra, que los hechos analizados son reiteración de la misma conducta infractora y que la denunciante se ha dirigido a la AEPD representada por medio de Abogado. A la luz de lo anterior, es evidente que los perjuicios sufridos han sido además de morales económicos. De la exposición precedente se concluye, en primer término, que no concurre ninguna de las atenuantes cualificadas del artículo 45.5 LOPD. En segundo lugar, que de las agravantes que se aprecian (las descritas en los apartados a, d, f y h, del artículo 45.4 LOPD), alguna, como la recogida en el apartado a), tienen escasa entidad. Así, como se ha indicado anteriormente, los datos de la denunciante permanecieron incluidos en ASNEF sin cumplir la condiciones exigidas legalmente durante un máximo de quince días para una de las deudas y un mes y diez días para la otra. Tomando en consideración las circunstancias tanto adversas como favorables a la entidad presuntamente infractora y a la luz del principio de proporcionalidad de la sanción que proclama el artículo 130.3 de la Ley 30/19992 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC), se acuerda sancionar a VODAFONE con una multa de 50.000 euros por la infracción del artículo 4.3 de la LOPD, en relación con el 29.4, cuantía próxima al importe mínimo fijado por el artículo 45.2 de la LOPD para las infracciones graves. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A.U., por una infracción del artículo 4.3, en relación con el 29.4, de la LOPD, tipificada como infracción grave en el artículo 44.3.
  49. c)de la LOPD, una multa 50.000 euros (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U., y a D.ª A.A.A.. TERCERO: Advertir a la entidad sancionada que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.