1/11 Procedimiento Nº PS/00338/2013 RESOLUCIÓN: R/02753/2013 En el procedimiento sancionador PS/00338/2013, instruido por la Agencia Española de Protección de Datos a la entidad TELEFONICA MOVILES ESPAÑA S.A.U., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 17/7/12 tiene entrada en esta Agencia un escrito de D. A.A.A. en el que declara que ha tenido conocimiento de la inclusión de sus datos personales en el fichero ASNEF por parte de TME no habiendo formalizado contrato alguno con dicha compañía. Solicitó la cancelación de sus datos siendo ésta denegada por confirmación de la deuda por parte de la entidad informante. Aporta entre otra documentación copia de la contestación emitida por EQUIFAX IBERICA SL a su ejercicio de derecho de cancelación, en la que figuran cuatro incidencias a su nombre en el fichero ASNEF informadas por TME. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/05160/2012. Por los Servicios de Inspección de esta Agencia se recaba información a la entidad denunciada y concluye la investigación con informe de la Inspección de Datos de fecha 6/5/13 TERCERO Por parte del Director de la Agencia Española de Protección de Datos se. acordó iniciar procedimiento sancionador la presunta infracción de los artículos 6 y 4 de la LOPD al deducirse que, salvo prueba en contrario, TME no ha acreditado la existencia de consentimiento del denunciante para el tratamiento de sus datos personales, facturándole por el uso de una línea de móvil cuya contratación por el mismo no se ha acreditado. Con la consecuencia que los datos del denunciante que fueron informados a un fichero de morosidad, no fueran exactos y respondieran con veracidad a su situación CUARTO: Por parte de la entidad denunciada se presentó escrito de alegaciones, acompañada de documentación, que se han valorado en la resolución de este expediente QUINTO: Con fecha 12/9/13 por el instructor del expediente se abrió periodo de prácticas de pruebas incorporando al expediente la denuncia interpuesta, los documentos obtenidos y generados por los Servicios de Inspección ante TME y el Informe de actuaciones previas de Inspección que forman parte del expediente E/5160/2012. Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por TME y la documentación que a ellas acompaña También se solicitó a Equifax Ibérica información sobre la fecha de baja de las incidencias informadas por TME en relación con el denunciante. Remitiéndose información en el sentido que dichas incidencias fueron canceladas con fecha 12/2/13. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 SEXTO: Con fecha 23/10/13 se dictó Propuesta de Resolución por el instructor del procedimiento en el sentido que por el Director de la Agencia se sancione a TME por la infracción del artículo 6 y 4.3. SEPTIMO: Se ha presentado por parte de la entidad denunciada escrito de alegaciones a la Propuesta de Resolución, manifestando, en síntesis lo siguiente: - Se reiteran las alegaciones realizadas anteriormente - Que no se ha podido aportar copa del DNI puesto que la custodia de una copia del mismo no es una obligación impuesta a sus agentes distribuidores ni un requisito legal. - Que como fue una contratación ante distribuidor es el propio cliente el que se lleva copia de su contrato a casa sin remitido el mismo por la compañía - Que las contrataciones se llevaron a cabo ante dos distribuidores distintos por lo que, quien contratara supuestamente en nombre del denunciante tuvo que presentar documentación falsa en dos sitios. Se manifiesta que el Distribuidor tiene la obligación de verificar la documentación pero no de custodiarla. - Que a las 48 horas de producirse el alta TME detectó un patrón sospechoso y se procedió a suspender los servicios con la finalidad de solicitar garantías. Sin embargo en el presenta caso la apariencia de veracidad ante la existencia de copia del contrato y la imposibilidad de contactar con el Sr. A.A.A. al no haber sido cliente de la compañía hizo que la confirmación para TME de que las altas podían ser fraudulentas, no ha sido posible hasta que llegó el requerimiento de información de esta Agencia. HECHOS PROBADOS 1º Consta escrito de denuncia presentado por D. A.A.A., en el que manifiesta que ha tenido conocimiento de la inclusión de sus datos personales en el fichero ASNEF por parte de TME, no habiendo formalizado contrato alguno con dicha compañía. Solicitó la cancelación de sus datos siendo ésta denegada por confirmación de la deuda por parte de la entidad informante. Aporta entre otra documentación copia de la contestación emitida por EQUIFAX IBERICA SL a su ejercicio de derecho de cancelación, en la que figuran cuatro incidencias a su nombre en el fichero ASNEF informadas por TME. 2º Consta la siguiente información remitida por Equifax Ibérica, a solicitud de esta Agencia, dentro del trámite de actuaciones previas de investigación. * Constan en sus ficheros cuatro incidencias informadas por TME con los siguientes datos: A)- fecha de alta 11/10/2011, fecha de última actualización 25/01/2013, por vencimientos impagados primero y último de fechas JUL/2011 – SEP/2011 y por un importe de 496,81 euros. B)- fecha de alta 08/11/2011, fecha de última actualización 25/01/2013, por vencimientos impagados primero y último de fechas AGO/2011 – SEP/2011 y por un importe de 400,86 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 C)- fecha de alta 08/11/2011, fecha de última actualización 25/01/2013, por vencimientos impagados primero y último de fechas AGO/2011 – SEP/2011 y por un importe de 376,42 euros. D)- fecha de alta 08/10/2011, fecha de última actualización 25/01/2013, por vencimientos impagados primero y último de fechas AGO/2011 – SEP/2011 y por un importe de 376,42 euros. * Constas notificaciones emitidas a nombre del afectado, para las cuatro incidencias del apartado anterior, con fechas de emisión 15/10/2011 para la primera y 12/11/2011 para el resto. Constan devueltas todas ellas por el servicio de correos y confirmada la dirección como dirección contractual. 3º Por parte de Equifax Ibérica se ha informado que la fecha de baja de las incidencias informadas por TME ha sido el día 12/02/13 4º En los ficheros de TME consta el alta de cuatro líneas telefónicas a nombre del denunciante todas ellas con fecha de alta 24/06/2011 y fecha de baja por fraude 28/07/2011. 5º Se manifiesta que se procedió a la suspensión por fraude de las cuatro líneas el 26/06/2011, a las 48 horas de la contratación, por patrón sospechoso. 6º Que La venta se formalizó presencialmente a través de dos distribuidores. Aportan copia de los contratos suscritos con los distribuidores. 7º Se ha aportado copia de los contratos suscritos El contrato está firmado por el contratante. No aportan copia de DNI junto al contrato 8º Que no constan contactos con el cliente registrados en el sistema de información de la entidad. 9º Se manifiesta por TME que la deuda contraída se encuentra condonada cancelada no existiendo facturas pendientes de pago. 10º Que por parte de TME se solicitó la exclusión de los datos del afectado del fichero ASNEF con ocasión del requerimiento de información de esta Agencia. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/05160/2012/2012, se determinó que, salvo prueba en contrario, TME no ha acreditado la existencia de consentimiento del denunciante para el tratamiento de sus datos personales, facturando por el uso de unas líneas de móvil cuya contratación no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 ha acreditado, y con la consecuencia, que los datos del denunciante que fueron informados a un fichero de morosidad, no fueran exactos u respondieran con veracidad a su situación. TME manifiesta que si se analiza el documento relativo a los contratos suscritos ante los distintos distribuidores se puede apreciar que la firma es similar a todos, habiéndose realizado en dos puntos de venta distintos en los que la persona que contratara tuvo que presentar la documentación necesaria para la contratación. Se añade además que no existe normativa alguna que exija tener copia del DNI para poder acreditar una contratación Por otra parte se manifiesta que no habiendo sido el denunciante cliente de TME y constando contrato de las líneas, TME procedió a suspender el servicio por detectar un patrón sospechoso de fraude y evitar de este modo mayor perjuicio económico en primera instancia. Que como medida cautelar se suspende el servicio en espera que el usuario o titular de las mismas contacte con TME para poder informar de las causas de la suspensión. Al no haberse producido esta llamada por parte de los usuarios las líneas permanecieron suspendidas cautelarmente para que no continúe el consumo telefónico. Sin embargo los procesos de cobro van por otro lado y teniendo acreditación documental nada impidió a TME que continuara el proceso de cobro de facturas. Se considera que la aportación de los contratos justifica la existencia de una relación jurídica por lo que no existe infracción del art. 6 de la LOPD. Tampoco ha existido infracción del art 4.3 puesto que trató los datos en la creencia que actuaba con datos legítimos, por lo que la inclusión de los mismos en los ficheros de morosidad se constata como correcta. Además tan pronto como tuvo conocimiento directo de la reclamación del denunciante se procedió a anular las facturas y a solicitar la exclusión de sus datos de dichos ficheros III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV Se imputa en primer lugar a TELEFONICA MOVILES en el presente procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 sancionador una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En este caso, en los ficheros de la entidad denunciada figuran cuatro líneas contratadas a nombre del denunciante, asociadas a su identificador ***NIF.1 que este no reconoce como suya al manifestar que no ha mantenido ninguna relación contractual con TME. En la copia de los contratos aportada aparece el nombre y apellidos del denunciante, su identificador, un domicilio en Murcia que no coincide con el denunciante radicado en Barcelona, y una cuenta corriente de cargo ***CCC.1. Dichos contratos se gestionaron a través de dos distribuidores: Thader Telecomunicaciones Orihuela y B.B.B.. Sin embargo no existe concordancia entre la rúbrica del firma de dicho contrato con la propia de la persona denunciada. Por consiguiente la copia de dichos contratos no pueden considerarse un elemento probatorio que acredite la celebración de los mismos con el denunciante, y tampoco hay constancia del ulterior envío y recepción por el destinatario de la documentación correspondiente a los mencionados contratos. Existe pues un falta de diligencia de TME ya que dio de alta unos contratos, sin controlar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 ni realizar un mínimo trabajo de supervisión que permita detectar si la persona ha manifestado real e inequívocamente su voluntad de contratar y por ende de que sus datos personales sean tratados. Siendo necesario, en definitiva, que, una vez identificada la persona sin lugar a dudas –y documentada la identificación-, y tras la información pertinente, verificar si ha prestado su consentimiento al contrato del servicio ofertado y, en consecuencia, al tratamiento de sus datos personales. Es necesario analizar si dan los elementos de culpabilidad necesarios para imputar una presunta infracción del artículo 6 por parte de la entidad denunciada. A este respecto, la Sentencia de la Audiencia Nacional dictada el 21/09/2005, Recurso 937/2003, que establece, “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
- d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Asimismo, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. Por tanto, es a TME a quien le corresponde adoptar las medidas adecuadas para la perfecta identificación de los clientes, sin que pueda constituir elemento alguno de atenuación de la responsabilidad, sino el cumplimiento de una obligación ordinaria exigible a las empresas, que como la denunciada, trabajan con grandes volúmenes de datos personales y, sin que pueda considerarse la adopción de estas medidas base para la apreciar disminución de la culpabilidad. En definitiva, por de TME se ha producido un tratamiento de los datos del denunciante sin contar con su consentimiento, pues no ha justificado en modo alguno la razón por la que obraban en su poder los mismos, pese a recaer sobre aquella la carga de acreditar la existencia del consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal, que no consta. V El artículo 44.3.
- b)de la LOPD tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. TME, a través de sus empleados o agentes, ha realizado un contrato, sin controlar ni realizar un trabajo de supervisión que permita detectar si la persona ha manifestado real e inequívocamente su voluntad de contratar. En definitiva, es necesario que, una vez identificada la persona sin lugar a dudas –y documentada la identificación-, y tras la información pertinente ha prestado su consentimiento al contrato del servicio y, en consecuencia, al tratamiento de sus datos personales. En el caso que nos ocupa han tratado los datos de la persona denunciante sin contar con su consentimiento lo que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.
- b)de la citada Ley Orgánica. VI El artículo 4.3 de la LOPD, referente a la “calidad de los datos”, establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Estos preceptos deben integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
- c)y 3,
- h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por su parte, el R.D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, (en lo sucesivo RLOPD), en su artículo 38 y bajo la rúbrica “Requisitos para la inclusión de los datos” dispone: “1. Solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).” Se deduce por tanto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige, por una parte, que la deuda sea cierta, vencida, exigible y que haya resultado impagada, y por otra, que se haya requerido de pago al deudor antes de informar los datos a la entidad responsable de la gestión del fichero. Conviene recordar, además, que es el acreedor el responsable de comprobar que los datos que se comunican se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. No se discute en este supuesto la existencia de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 requerimiento previo sino la certeza de la deuda. VII Consta acreditado en esta Agencia que las entidades asociadas a los ficheros de solvencia patrimonial suministran periódicamente las relaciones de altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el fichero, siendo las entidades informantes las que deciden sobre el alta, el mantenimiento y la cancelación de los datos de los clientes de los referidos ficheros. En este caso TME incorporó a sus sistemas informáticos datos personales de la denunciante (nombre, apellidos, NIF,) asociados a una línea de telefonía móvil de las que no era titular; pues la operadora, no ha probado que la afectada hubiera prestado el consentimiento inequívoco que la Ley exige para el tratamiento de sus datos. Por ello, el tratamiento posterior de esos datos, materializado en la emisión de una factura por unos servicios que el denunciante no contrató determinó que la operadora le imputara una deuda que, respecto al denunciante, no era cierta, ni vencida ni exigible. Posteriormente, comunicó a los ficheros de solvencia patrimonial una incidencias asociadas a los datos personales del denunciante que fueron incluidos por TME en los ficheros Asnef y Badexcug vinculados a una deuda a la que era ajena al denunciante; deuda que no era cierta, ni vencida ni exigible desde la perspectiva del afectado por cuanto no tenía la condición de deudor ya que no había prestado su consentimiento para el alta de la línea controvertida. Por ello la información comunicada por TME a los ficheros de morosidad no se ajustó al principio de exactitud y veracidad, esencia del principio de calidad del dato que proclama el artículo 4.3 de la LOPD. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificada en el artículo 44.3.
- c)de la citada norma, que dispone: “Son infracciones graves, (..)
- c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. VIII El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IIS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La entidad denunciada solicita de forma subsidiaria la aplicación del art. 45.5 dada la inexistencia de culpa, intencionalidad y de beneficio por TME. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
- d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. De la dinámica de los hechos concurrentes en este caso, no se acredita la adopción por parte de TME de ninguna medida, que de haberse adoptado, habrían evitado los hechos como el denunciado; En concreto consta que a pesar que las 4 líneas que figuran en los ficheros de la entidad a nombre de D. A.A.A. - y que se dieron de alta con fecha 24/06/11 - fueron todas ellas dadas de baja por fraude con fecha 28/07/11; dicha circunstancia no impidió emitir una factura por cada una de ellas que al resultar impagadas motivó cuatro incorporaciones de los datos de carácter personal del denunciante en un fichero de morosidad, por unas deudas que no era cierta ni exigible, y en el que figuraron de alta hasta 12/2/13 Por tanto, no se considera que concurran las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45.5 de la LOPD. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de grave. En el presente caso, deben tenerse en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, como el carácter continuado de la infracción y en particular la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal y el volumen de negocio de la misma se impone una multa de 50.000 € por cada una de las infracciones cometidas. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFONICA MOVILES ESPAÑA S.A.U., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad TELEFONICA MOVILES ESPAÑA S.A.U., por una infracción del artículo 4 de la LOPD, tipificada como grave en el artículo 44.3.c de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a TELEFONICA MOVILES ESPAÑA S.A.U. y a D. A.A.A. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es