← España

PS-00346-2013

1/15 Procedimiento Nº PS/00346/2013 RESOLUCIÓN: R/02292/2013 En el procedimiento sancionador PS/00346/2013, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A.U., vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 12 de septiembre de 2012 se dictó Resolución por el Director de la Agencia Española de Protección de Datos acordando, por un lado, desestimar el recurso de reposición de referencia RR/00205/2012 interpuesto por Don A.A.A. respecto de un procedimiento de Tutela de Derechos de referencia TD/01713/2011 y, por otro lado, iniciar de oficio actuaciones previas de de investigación, con número de expediente E/05865/2012, al objeto de dilucidar si la actuación realizada por VODAFONE ESPAÑA, SAU en el tratamiento de los datos de Don A.A.A. (en adelante el denunciante) por alta y facturación de un servicio de telefonía se realizó de conformidad con la legislación vigente en materia de protección de datos. SEGUNDO: En el escrito de interposición del recurso de reposición de referencia RR/00205/2012 el denunciante señalaba, entre otros extremos, que, con fecha 5 de septiembre de 2011, recibió una llamada de la compañía I.S.G.F. Informes Comerciales reclamándole el pago de una deuda a la entidad VODAFONE ESPAÑA, S.A. (en adelante VODAFONE) por el servicio de la línea número E.E.E. . El denunciante también indicaba que, dado que en ningún momento había mantenido una relación comercial con VODAFONE, en septiembre de 2011 interpuso una denuncia ante el Cuerpo Nacional de Policía y ejerció su derecho de acceso ante VODAFONE solicitando copia de los documentos o grabaciones por medio de los cuales ésta había recabado sus datos. Asimismo, el denunciante indicaba que como VODAFONE se limitó a remitirle un duplicado de las facturas correspondientes a la mencionada línea presentó reclamación de Tutela de Derechos, recibiendo durante su tramitación un escrito de VODAFONE de fecha 30 de diciembre de 2011 informándole que los datos que obraban en sus sistemas, y cuyo detalle le fue indicado, tenían su origen en el contrato formalizado por él mismo con el operador, si bien no se aportaba documentación o grabación alguna acreditativa de dicha contratación. Adjunto al Recurso de Reposición RR/00205/2012, el denunciante aportaba copia de la documentación acreditativa de los extremos indicados. TERCERO: En el marco de las actuaciones previas de inspección practicadas en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 expediente de investigación nº D.D.D. los Servicios de Inspección de esta Agencia solicitaron información a la entidad VODAFONE en relación con el tratamiento de datos del denunciante asociado a la supuesta contratación por su parte del reseñado servicio de telefonía. Con fecha 6 de marzo de 2013 se registra de entrada en esta Agencia escrito de contestación a dicho requerimiento de información en el siguiente sentido: 1. En los Sistemas de Información de VODAFONE los datos del denunciante (nombre y apellidos y NIE) constan asociados a la línea telefónica E.E.E., dada de alta con fecha 20/04/2011 y dada de baja con fecha 29/09/2011. Se observa que el domicilio que figura en los ficheros de la entidad no corresponde con el domicilio que obra en la documentación aportada por el denunciante ante esta Agencia. VODAFONE manifiesta que no ha podido localizar el contrato, en tanto que al tratarse de una contratación telefónica era el cliente receptor quien debía devolverlo a VODAFONE convenientemente firmado, lo que no ocurrió en este caso. Tampoco se aporta grabación que acredite la citada contratación. 2. Según VODAFONE ninguna de las facturas emitidas a nombre del denunciante se encuentra pendiente de pago en la actualidad. Añade sobre esta cuestión que, aunque la desactivación del servicio fue realizada con fecha 29 de septiembre de 2011, con fecha 5 de junio de ese mismo año se realizó una desactivación temporal por no pago. 3. En los Sistemas de Información de la entidad figura un contacto telefónico mantenido con el denunciante con fecha 27/09/2011, a través del cual éste solicitaba la copia del contrato ya que manifestaba no haber contratado con la entidad. En la impresión aportada relativa a este contacto figura una anotación indicando que se verifica que no hay consumo en dicha línea y, por tanto, se procede a la baja y a la regularización de las facturas. CUARTO: Con fecha 24 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE ESPAÑA, S.A.U., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, la representación de VODAFONE, mediante escrito registrado con fecha 18/07/2013, solicitó el archivo de las actuaciones por ausencia de infracción y, subsidiariamente, que se establezca la cuantía de la sanción aplicando la escala relativa a las infracciones leves de conformidad con lo establecido en el artículo 45.5 de la LOPD y se gradúe en su cuantía mínima de conformidad con lo dispuesto en el artículo 45.4, con base en las siguientes alegaciones: - Respecto de los hechos aduce que el denunciante contrató a través del canal de televenta de la entidad el servicio de la línea E.E.E. con fecha 20/04/2011, el cual fue desactivado temporalmente el 05/06/2011 debido a la acumulación de deuda impagada, desactivándose definitivamente el 27/09/2011, fecha en que el denunciante contacta por primera vez con la entidad manifestando no haber contratado el servicio objeto de controversia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 - Inexistencia de la infracción imputada por tratarse de un supuesto en que la propia norma exime de la exigencia del consentimiento del afectado en el párrafo segundo del artículo 6 de la LOPD en virtud de la existencia de una relación contractual entre las partes por un servicio de telefonía móvil debidamente consentida de manera inicial, causa por la que VODAFONE no ha infringido el artículo 6.1 de la LOPD al haber tratado los datos que fueron facilitados voluntariamente por el contratante a través del canal de televenta, mediando así su consentimiento. Se entiende, por tanto, que ya fuera el propio denunciante quien contrató, o un tercero en su nombre o incluso un tercero en disposición de los mismos aunque fuese de mala fe, se contaba con un consentimiento válidamente otorgado que no podía asociarse, al haberse facilitado datos de la esfera íntima de la persona como el DNI o la cuenta bancaria, con una contratación fraudulenta no consentida por el denunciante. - Subsidiariamente, en el caso de no aceptarse las alegaciones anteriores, debería imponerse la sanción en la cuantía correspondiente a las infracciones leves de acuerdo con lo previsto en el artículo 45.5 de la LOPD debido a la disminución de la culpabilidad producida por la actitud diligente de la compañía al regularizar la situación. - Adicionalmente, solicita la aplicación del artículo 45.4 de la LOPD, por cumplirse todas las condiciones requeridas para rebajar la cuantía de la sanción 1) carácter continuado de la infracción (breve plazo de tiempo desde el conocimiento de los hechos (27/09/2011) y la realización de las gestiones efectuadas para solventar la situación; 2) volumen de los tratamientos efectuados (datos asociados a un único cliente con base a la contratación de un servicio a través del cantal de televenta ); 3) vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (VODAFONE es una empresa que continuamente trata los datos personales de sus clientes y vela por el cumplimiento de la legislación vigente en materia de protección de datos. Se citan los diversos planes de acción implementados desde el año 2012 que se han puesto de manifiesto a la AEPDO en junio de 2013 con el fin de reforzar los procesos de contratación y la posibilidad de recuperar los documentos justificativos de la contratación, entre ellos las grabaciones realizadas a través de verificador ); 4) Volumen de negocio o actividad del infractor: VODAFONE es una empresa que presta servicios de comunicaciones móviles, siendo conocidos los volúmenes de actividad; 5) beneficios obtenidos (VODAFONE no ha obtenido beneficio alguno); 6) ausencia de intencionalidad, resultando evidentes que los perjuicios y daños derivados de contratos que resultan fraudulentos son soportados por la imputada; 7) no ha habido reincidencia en esta conducta; 8) ausencia de daños o perjuicios a la persona afectada ( el denunciante no ha abonado cantidad alguna y no se ha acreditado que haya sufrido perjuicio alguno) ; 9) VODAFONE tiene implantados procedimientos para la recogida de datos y tratamientos de los datos, requerir deudas y procesos de inclusión y exclusión en ficheros de morosidad, habiéndose probado que la entidad llevó a cabo una actuación diligente. SEXTO: Con fecha 19 de julio de 2013, se acordó por la Instructora del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta por el denunciante y su documentación adjunta, los documentos obtenidos y generados por los Servicios de Inspección ante VODAFONE ,el Informe de actuaciones previas de Inspección que forman parte del expediente E/05865/2012, las alegaciones al acuerdo de inicio PS/00346/2013 presentadas por la entidad imputada y la documentación adjunta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 Asimismo, con esa misma fecha se acordó solicitar a VODAFONE la remisión de la siguiente documentación: 1) Copia completa e íntegra de la grabación de la contratación telefónica asociada a la línea numero E.E.E. e información sobre el procedimiento establecido para acreditar la identidad del contratante, o, en su caso, copia del contrato suscrito por el afectado que incluya las condiciones generales y particulares aplicables al servicio, aportándose también la documentación recabada que acredite la identidad del contratante; 2) Copia de las facturas emitidas en relación con la línea asociada al citado número de teléfono móvil ; acreditación de las fechas de abono de las facturas, forma de pago e identidad del pagador, debiendo aclararse en el supuesto de que dichas facturas hayan sido objeto de anulación las fechas en que se llevó a cabo la misma y el motivo al que obedeció. Con esa misma fecha se solicitó a CAIXABANK, S.A. la práctica de la prueba consistente en la facilitación de los datos identificativos que figuran en sus ficheros del titular/es de la cuenta nº B.B.B. en el período comprendido entre abril de 2011 y noviembre de 2011. Con fecha 05/08/2012 se registra de entrada contestación de VODAFONE en respuesta a las pruebas cuya práctica le fue requerida adjuntando una serie de facturas asociadas a la línea requerida, si bien no adjunta ninguna documentación relativa a la contratación del servicio asociado al tratamiento objeto de imputación. Con fecha 08/08/2013 se registra de entrada contestación de CAIXABANK, S.A. a las pruebas cuya práctica le fue requerida, especificando la identidad de los titulares de la cuenta corriente en cuestión la cual no resulta coincidente con el denunciante. SÉPTIMO: Con fecha 26 de agosto de 2013 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 30.000 € a VODAFONE, por la comisión de una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  2. b)de dicha norma, de acuerdo con el artículo 45.2 y 4 y 5 de dicha Ley Orgánica. Notificada la citada propuesta, se recibe escrito de alegaciones de la representación de la entidad VODAFONE reproduciendo sus manifestaciones anteriores sobre la ausencia de responsabilidad en la comisión de la infracción imputada. Se insiste en que la actitud de la entidad ha sido diligente en todo momento, dado que el alta del servicio se gestionó entendiendo que se estaba ante una relación negocial/contractual correctamente gestionada y acordada entre las partes, por lo que al haberse utilizado los datos únicamente para el mantenimiento y cumplimiento de dicha relación contractual VODAFONE estaba eximida de exigir el consentimiento del afectado y no ha infringido el artículo 6.1 de la LOPD. Subsidiariamente, manifiesta su disconformidad a la falta de apreciación de la Agencia de la concurrencia de las circunstancias de los apartados
  3. c)y
  4. d)del artículo 45. 4 como atenuantes, motivo por el que solicita su revisión a los efectos de graduar la sanción hasta el mínimo contemplado en la Ley dentro de la escala correspondiente a las infracciones leves. Mediante escrito de fecha 23 de septiembre de 2013 se remitió a VODAFONE copia de la documentación solicitada referida al presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 HECHOS PROBADOS PRIMERO: En los sistemas informáticos de VODAFONE el nombre, apellidos y NIE de Don A.A.A. figuran asociados al servicio de telefonía móvil de la línea E.E.E., el cual consta como dado de alta con fecha 20/04/2011 y dada de baja con fecha 29/09/2011. (folios 2 al 4, 17, 72, 75 y 76) SEGUNDO: VODAFONE no ha aportado documentación alguna, grafica o sonora, de la contratación telefónica que según afirma se efectuó a través del canal Televenta de la entidad asociada a la línea E.E.E. (folio 73). TERCERO: El domicilio del denunciante que aparece en los ficheros de la entidad, y al que se ha dirigido la facturación correspondiente al alta del servicio telefónico objeto de controversia no resulta coincidente con el que figura en el NIE del denunciante ni tampoco con el que constaba en el escrito dirigido por éste a VODAFONE con fecha 17/09/2011 (folios 2 al 4, 8 al 13 y 121 al 134 ) CUARTO: En el período comprendido entre 26/04/2011 y el 26/10/2011 VODAFONE emitió un total de nueve facturas en relación con el servicio de la línea de telefonía nº E.E.E.. Cuatro de estas facturas reflejaban un importe de 0 euros, entre ellas la de fecha 26/10/2011. Las dos facturas de fecha 30/09/2011 se correspondían con facturas rectificativas de “Nota de Abono” por importes de (-34,35 €) y (-) 107,16 €, rectificando la primera la factura de 26/07/2011 y rectificando la segunda las facturas de fechas 26/04/2011, 26/05/2011 y 26/06/11. En todas las facturas, el domicilio que figura en las mismas no se corresponde con e del denunciante. (folios 78, 79, 121 al 131 al 133 ) QUINTO: Según información facilitada por CAIXABANK, S.A. entre abril y noviembre de 2011 el denunciante no figuraba como titular de la cuenta corriente que consta en los ficheros de VODAFONE a los efectos de domiciliación bancaria de la facturación del servicio que consta a su nombre. (folios 17, 139) SEXTO: En los Sistemas de Información de la entidad figuran dos registros, uno correspondiente a un contacto telefónico mantenido con fecha 27/09/2011 por una operadora con el denunciante quien solicitaba la copia del contrato manifestando que no había contratado con la entidad. El otro registro de fecha 28/09/2011 recoge el siguiente comentario respecto de la reclamación: “Se verifica y no tiene consumos se da de baja y se hace abono. Facturas Relacionada (…) 703Error activación. Información_ Cliente: indicar a la cliente que se da de baja la línea y se hace abono para que el cliente no tenga saldo pendiente con Vodafone. No me puedo comunicar con la cliente porque el número de contacto no lo tiene el cliente.”, cerrándose el caso mediante apunte del 29/09/2011 (folio 80) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 SÉPTIMO: Con fechas 15/09/2011 y 20/10/2011 el denunciante presentó denuncia en la Comisaría de Policía de Centro, Madrid. En el primer atestado consta que el denunciante manifestó que con fecha 05/09/2011 recibió una llamada de una persona de la Asesoría Jurídica de ISGF Informes Comerciales comunicándole que tenía una deuda con la compañía VODAFONE de 125,16 euros asociada al número de teléfono E.E.E. , quien también le indicó, al negarse el alta por su parte, que presentase denuncia en alguna dependencia policial y la remitiese a un número de Fax de Fraudes que le es proporcionado, volviendo a requerirle el pago mediante nueva llamada de fecha 15/09/2011. En el segundo atestado, ampliatorio del anterior, señala que VODAFONE en respuesta a su solicitud de documentación acreditativa del origen de sus datos en relación con la estafa denunciada, dicha compañía le ha proporcionado tres facturas del número de alta denunciado en la que se contienen datos que no se corresponden con los reales del afectado.(folios39 al 41). OCTAVO: Con fecha 17/09/2011 el denunciante ejerce ante VODAFONE su derecho de acceso, solicitando copia de los documentos y/o grabaciones que han servido para recabar sus datos personales en relación con el número E.E.E., solicitud que junto con la copia del atestado policial de fecha 15/09/2011 fue recibida el 20/09/2011 por VODAFONE (folios 134 al 138) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II En el presente procedimiento sancionador se imputa a VODAFONE la conculcación del principio del “consentimiento del afectado” recogido en el artículo 6 de la LOPD, piedra angular en la construcción del derecho fundamental a la protección de datos. Dicho precepto establece que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 tratamiento que sea necesaria para el mantenimiento del contrato. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. De tal modo que el tratamiento de datos sin consentimiento de los afectados constituye un límite al ejercicio del mismo. El artículo 6 de la LOPD debe integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
  6. c)y 3,
  7. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento (artículo 43 LOPD), por tanto ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  8. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Esta definición ha de completarse con la contenida en el artículo 2, letra d), de la Directiva Comunitaria 95/46, de 24 de octubre de 1995, a cuyo tenor se considera como tal toda persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales. En el presente caso se ha producido un tratamiento automatizado de los datos personales del denunciante por parte de VODAFONE con motivo de la supuesta contratación por parte de éste del servicio de la línea de telefonía móvil asociada al número E.E.E. , de tal forma que el nombre, apellidos y NIE del denunciante que se incluyeron en sus ficheros se han utilizado para la gestión y desarrollo de la relación contractual, emitiéndole facturas en las que el domicilio y la cuenta de domiciliación bancaria no le pertenecen. Este tratamiento de los datos personales del denunciante se ha efectuado sin que VODAFONE haya acreditado a lo largo del procedimiento que contara con el consentimiento inequívoco del titular de los mismos para ello. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 Por lo tanto, dicha sociedad ostenta una posición jurídica, en tanto que responsable de los citados ficheros y del tratamiento informatizado efectuado con los datos personales registrados en los mismos, susceptible de generar responsabilidad por incumplimiento de uno de los principios rectores de la LOPD al haber decidido sobre la finalidad, contenido y uso del tratamiento objeto de imputación. Dicho tratamiento de datos, efectuado durante el período que, como mínimo, se encuentra comprendido entre la fecha del alta el 24/04/2011 y la emisión de la última factura registrada en sus ficheros el 26/10/2011 por importe de 0 €, vulnera el principio de consentimiento, recogido en el artículo 6 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a VODAFONE tratar los datos del denunciante sin su consentimiento. III La representación de VODAFONE niega la existencia de la infracción imputada alegando que el tratamiento de datos de carácter personal se basa en la existencia de una relación contractual entre las partes que según el apartado 2 del artículo 6 de la LOPD exime de la exigencia del consentimiento del afectado, y, por tanto, VODAFONE habría tratado los datos del contratante contando con el consentimiento otorgado por éste al contratar telefónicamente el servicio telefónico en cuestión. De la documentación aportada al expediente por la imputada se evidencia que en los ficheros de VODAFONE la línea de telefonía móvil asociada al número E.E.E. figura vinculada a los datos personales del denunciante. Aunque la propia denunciada manifiesta que el citado servicio fue contratado a través del canal de televenta de la compañía, sin embargo no ha presentado ningún medio de prueba que acredite la existencia de dicha contratación por parte del afectado o por tercero suplantando su personalidad, al igual que tampoco ha justificado que en el momento de la contratación se siguiera el procedimiento establecido por la compañía para este tipo de contratación al que se aludía en la contestación efectuada durante las actuaciones previas de inspección. Se hace necesario indicar que es a VODAFONE a quien le corresponde acreditar el consentimiento del titular de los datos tratados. La LOPD exige que el titular de los datos preste su consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre sus datos personales. Muy claramente el artículo 3.h de la LOPD al definir el consentimiento se refiera a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. Por otra parte, el sistema de contratación telefónica es un método válido y admitido en derecho del que se ocupa el Real Decreto 1906/1999, por el que se regula la contratación telefónica o electrónica con condiciones generales, en desarrollo del artículo 5.3 de la Ley 7/1998, de 13 de abril, de condiciones generales de la contratación. El artículo 5.3 de la citada Ley 7/1998 establece que “en los casos de contratación telefónica o electrónica será necesario que conste en los términos que reglamentariamente se establezcan la aceptación de todas y cada una de las cláusulas del contrato, sin necesidad de firma convencional. En este supuesto, se enviará inmediatamente al consumidor justificación escrita de la contratación efectuada, donde constarán todos los términos de la misma”. El R.D. 1906/1999 reitera la obligación de confirmar documentalmente la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 contratación efectuada por vía telefónica, electrónica o telemática y dispone en su artículo 5.1 y 2 lo siguiente: “1. La carga de la prueba sobre la existencia y contenido de la información previa de las cláusulas del contrato; de la entrega de las condiciones generales; de la justificación documental de la contratación una vez efectuada; de la renuncia expresa al derecho de resolución; así como de la correspondencia entre la información, entrega y justificación documental y el momento de sus respectivos envíos, corresponde al predisponente. 2. A estos efectos, y sin perjuicio de cualquier otro medio de prueba admitido en derecho, cualquier documento que contenga la citada información aún cuando no se haya extendido en soporte papel, como las cintas de grabaciones sonoras, los disquetes y, en particular, los documentos electrónicos y telemáticos, siempre que quede garantizada su autenticidad, la identificación fiable de los manifestantes, su integridad, la no alteración del contenido de lo manifestado, así como el momento de su emisión y recepción, será aceptada en su caso, como medio de prueba en los términos resultantes de la legislación aplicable...” Asimismo, el artículo 4.1 del citado Real Decreto 1906/1999 establece: “1.Cumplidas las obligaciones a que se refieren los artículos 2 y 3, el adherente dispondrá de un plazo de siete días hábiles, según el calendario oficial de su lugar de residencia habitual, para resolver el contrato sin incurrir en penalización ni gasto alguno, incluido los correspondientes a la devolución del bien. El ejercicio del derecho a que se refiere este apartado no estará sujeto a formalidad alguna, bastando que se acredite en cualquier forma admitida en derecho.” Sin embargo, en el presente caso VODAFONE no ha presentado ninguna prueba de la contratación telefónica a través de la cual supuestamente el denunciante habría prestado su consentimiento para el tratamiento de sus datos personales, ni ha acreditado haber adoptado las medidas que la diligencia aconseja a fin de demostrar que la persona que presta el consentimiento es en realidad el titular de los datos tratados, tal y como respecto de la “Obtención del consentimiento del afectado” dispone el artículo 12.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, (en adelante RDLOPD) al establecer que “3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” Es a VODAFONE a quien le corresponde adoptar las medidas adecuadas y pertinentes para la perfecta identificación de sus clientes, sin que tal comportamiento deba constituir elemento alguno de atenuación de la responsabilidad, sino el cumplimiento de una obligación ordinaria exigible a las entidades, que como la presente, trabajan con grandes volúmenes de datos personales. Es VODAFONE, en su calidad tanto de responsable de los ficheros en los que registró información personal del denunciante y en su también condición de responsable del tratamiento efectuado por su parte con dichos datos de carácter personal, a quien corresponde asegurarse de que aquél a quien solicita el consentimiento, efectivamente lo da y que la persona que está dando el consentimiento es realmente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, que es la encargada de velar por el cumplimiento de la Ley, Significativa en este sentido, C/ Jorge Juan, 6 28001 – Madrid al hablar de la contratación telefónica, es la www.agpd.es sedeagpd.gob.es 10/15 Sentencia de la Audiencia Nacional, de 31/05/2006, Recurso 539/2004, en su Fundamento de Derecho Cuarto, cuando señala “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”, y continúa, ”Resulta, por tanto, que tal empresa demandante no sólo no ha aportado ningún elemento probatorio que acredite la celebración telefónica del contrato, sino que tampoco ha acreditado el cumplimiento de las garantías y cautelas que determinan las normas descritas” Más recientemente la sentencia de la Audiencia Nacional de 27/01/2011, ratifica el criterio precedente y señala: “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”, debiéndose recordar que en este supuesto el denunciante ha negado reiteradamente dicha contratación ante esta Agencia, conforme se desprende de la documentación del expediente de TD/01713/2011 y del registro telefónico obrante en los sistemas de información de la imputada. En el presente caso, VODAFONE no ha acreditado el cumplimiento de tales obligaciones y por contrario queda suficientemente probado que no adoptó las medidas suficientes para acreditar que se hayan producido las causas recogidas en el artículo 6.2 de la LOPD que habilitarían el tratamiento efectuado por VODAFONE de sus datos de carácter personal por cuanto no ha aportado prueba de la contratación telefónica invocada, ni tampoco ha acreditado contar con el consentimiento inequívoco del denunciante para la utilización de sus datos personales. Esta conducta, supone por parte de VODAFONE una vulneración del principio de consentimiento, recogido en el artículo 6.1 de la LOPD. IV El artículo 44.3.
  9. b)de la LOPD, según modificación introducida por la Ley 21/2011, de 4 de marzo, tipifica como infracción grave “
  10. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 44.3
  11. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 En este caso, la entidad VODAFONE ha incurrido en la infracción descrita, ya que en atención a lo expuesto en los Fundamentos de Derecho precedentes se ha acreditado que VODAFONE dio de alta la citada línea móvil de teléfono y facturó por dicho servicio al denunciante sin haber acreditado que éste llevara a cabo su contratación, por lo que ante la falta de cobertura legal necesaria que ampararía dicho tratamiento sin consentimiento a tenor del artículo 6.2 de la LOPD, se concluye que la conducta de VODAFONE anteriormente descrita vulnera el principio del consentimiento recogido en el 6.1 de la LOPD al haber tratado los datos personales del denunciante sin contar con el consentimiento previo e inequívoco del mismo, conducta que encuentra su tipificación en este artículo 44.3.
  12. b)de la citada Ley. V El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  13. a)El carácter continuado de la infracción.
  14. b)El volumen de los tratamientos efectuados.
  15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  16. d)El volumen de negocio o actividad del infractor.
  17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  18. f)El grado de intencionalidad.
  19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  23. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 varios de los criterios enunciados en el apartado 4 de este artículo.
  24. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  25. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  26. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  27. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. VODAFONE ha solicitado la aplicación del artículo 45.5 de la LOPD por entender que se ha producido una cualificada disminución de la culpabilidad producida por la actitud diligente de la compañía al regularizar la situación tan pronto como conoció la misma, puesto que reaccionó inmediatamente desactivando definitivamente el servicio y cancelando la deuda. También señala que la concurrencia de todos los supuestos previstos en el apartado 4 del artículo 45 de la LOPD justifica la minoración de la sanción en su cuantía mínima. El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate"; siendo para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Justificada la antijuridicidad del hecho y considerando que no se ha producido una cualificada disminución de la culpabilidad de la imputada no procede aplicar el supuesto contemplado en el artículo 45.5.
  28. a)de la LOPD, en tanto que VODAFONE, como entidad profesional habituada al tratamiento de datos de carácter personal por razón de la actividad desarrollada y en atención al elevado número de clientes con el que cuenta, no mostró la diligencia que le era exigible para asegurarse, con anterioridad al tratamiento, que contaba con el consentimiento del titular de los datos del servicio supuestamente contratado, ni ha acreditado tampoco el correcto funcionamiento de los mecanismos implantados en el año 2011 para verificar la contratación e identidad del contratante en lo que se refiere a este supuesto concreto. Por lo tanto, el reforzamiento de los procesos de contratación y la posibilidad de recuperar las grabaciones de los procedimientos implementados desde el año 2012 no influyen en este procedimiento, toda vez que son medidas posteriores al momento cronológico en que sucedieron los hechos objeto de imputación. No hay que olvidar que las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar, siempre, por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos, como de forma reiterada sostiene la Audiencia Nacional, entre otras, en Sentencia de 26 de noviembre de 2008. Conviene recordar, además, que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 En este mismo sentido la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalaba que: “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la citada operadora hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a titulo de simple negligencia. No apreciándose tampoco la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5 al no obrar en el expediente ningún elemento que lleve a estimar la concurrencia de los supuestos previstos en los apartados c),
  29. d)y
  30. e)del mismo artículo, no obstante, del examen de los hechos probados y de la documentación que obra en el expediente se desprende la conveniencia de apreciar, la circunstancia prevista en el apartado
  31. b)del artículo 45.5 de la LOPD en atención a que VODAFONE regularizó de forma inmediata la situación en sus ficheros después de recibir el 27/09/2011 la reclamación telefónica del denunciante, procediendo con fecha 29/09/2011 a desactivar el servicio telefónico que figuraba a nombre del denunciante y a cancelar la deuda emitiendo dos facturas rectificativas de abono de las cantidades facturadas por consumo que figuraban como pendientes de pago. Es decir, reaccionó subsanando la situación en dos días. Por lo tanto, de conformidad con lo previsto en el artículo 45.5 de la LOPD procede minorar la sanción aplicando una cuantía comprendida dentro de la escala correspondiente a las infracciones leves, establecida entre 900 € y 40.000 €. A su vez, respecto de los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD se considera que operan como agravantes de la conducta que ahora se enjuicia las circunstancias presentes en los apartados
  32. c)y
  33. d)en atención a la vinculación de la actividad con la realización de tratamientos de datos de carácter personal, pues el desarrollo de su actividad empresarial exige un constante tratamiento de datos personales tanto de clientes como de terceros, y el importante volumen de negocio de VODAFONE (apartado d, del artículo 45.4), al tratarse de uno de los operadores más potentes del país por la cuota de mercado. En cuanto a las ausencia de beneficios y la falta de daños y perjuicios al denunciante, circunstancias previstas en los apartados
  34. e)y
  35. h)del articulo 45.4 tampoco pueden aceptarse. En este mismo sentido se ha pronunciado la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señalando que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados” y en sentencia de fecha 02/12/2010, señala que “También ha considerado la Sala irrelevante a los efectos de la aplicación de la citada atenuación privilegiada la falta de beneficios para la recurrente o la ausencia de perjuicios para el denunciante”. Paralelamente, se considera que, en este supuesto, concurren como atenuantes los criterios recogidos en los apartados
  36. e)y
  37. f)del artículo 45.4 de la LOPD, consistentes en la falta de pruebas relativas a la existencia beneficios obtenidos como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 consecuencia de la comisión de la infracción y la ausencia de intencionalidad. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD anteriormente señalados procede la imposición de una sanción en la cuantía de 20.000 € por conculcación del principio del consentimiento recogido en dicha norma. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A.U., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  38. b)de dicha norma, una multa de 20.000 € (Veinte Mil euros) de conformidad con lo establecido en los apartados 2, 4 y 5 del artículo 45 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. y a Don A.A.A. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.