← España

PS-00355-2016

1/9 Procedimiento Nº PS/00355/2016 RESOLUCIÓN: R/02188/2016 En el procedimiento sancionador PS/00355/2016, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA SAU, vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO. En fecha 09/09/2015 se recibe en esta AEPD escrito del afectado en dónde traslada los siguientes “hechos”: “Que compré un terminal y poco después me pasan por mensaje que tengo que pagar por cuatro terminales más que yo compré, cosa que no es cierta al haber usurpado a mi persona” (folio nº 1). Adjunta copia de la Denuncia formulada ante las Fuerzas y Cuerpos de Seguridad del Estado de fecha 23/07/15 en dónde alega “ser víctima de una estafa al no haber contratado las líneas (…)”. SEGUNDO. A la vista de la denuncia y de todos los documentos aportados se inician actuaciones previas de investigación.Solicitada información a VODAFONE de la documentación presentada se desprende: a. Aporta la entidad impresiones de pantalla según las cuales el denunciante es cliente de la entidad, figurando como contratante de los servicios de las líneas ***TEL.1, ***TEL.2, ***TEL.3, ***TEL.4, ***TEL.5 y ***TEL.6. b. Aporta la entidad copia del contrato suscrito a nombre del denunciante en fecha 7 de abril de 2015 por los servicios de la línea ***TEL.1. c. Aporta igualmente copia de dos contratos suscritos a nombre del denunciante en fecha 19 de junio de 2015 por los servicios de las líneas ***TEL.2 y ***TEL.3 así como de otros dos fechados fecha 20 de junio de 2015 por los servicios de las líneas ***TEL.4 y ***TEL.5. d. Aporta escrito de fecha 17 de noviembre de 2015 dirigido a la Dirección General de Consumo de la CCAA de Madrid en respuesta a una reclamación realizada por el denunciante. En la misma hace constar que, a nombre del denunciante fueron adquiridos: • El día 19 de junio de 2015 dos terminales Samsung Gallaxy S6, asociados al alta de las líneas ***TEL.3 y ***TEL.2, aceptando un compromiso en el servicio de 24 meses. • El día 20 de junio de 2015 el terminal ZTE R2 asociado al alta de la línea ***TEL.5, aceptando un compromiso en el servicio de 24 meses. • El día 20 de junio de 2015 el terminal Huawei ETS 3 asociado al alta de la línea ***TEL.7, aceptando un compromiso en el servicio de 12 meses. Por ello, informa la entidad que la deuda del denunciante ascendía, en aquel momento, a 77,30 € Idéntico escrito fue remitido por la entidad en fecha 14 de enero, informando que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 deuda ascendía a 135,94 €. e. Informa VODAFONE que, debido a que ha dejado de trabajar con ABOUT LINE SL le resulta imposible recuperar la información adicional a la contratación. TERCERO. Con fecha 29/07/2016, la Directora de la AEPD (Agencia Española de Protección de Datos) acordó iniciar procedimiento sancionador a la entidad- Vodafone España S.A.U—por la presunta infracción del artículo 6 LOPD (LO 15/1999, de 13 de diciembre), tipificada como infracción grave en el artículo 44.3

  1. b)LOPD. CUARTO. En fecha 22/08/2016 se recibe en esta Agencia escrito de alegaciones de la entidad denunciada—Vodafone España S.A.U—en relación a los hechos objeto de denuncia: “…constan varios servicios asociados al Sr. A.A.A., todos ellos contratados a través del distribuidor About Line (distribuidor con el que ya no trabaja mi representada). Que los servicios no reconocidos por parte del cliente, fueron contratados a través del mismo distribuidor del que sí reconoce su titularidad. “…Vodafone no ha podido recuperar la documentación asociada a las contrataciones, esto es, el DNI (tanto del servicio que reconoce como el que no reconoce). Por ello Vodafone habría cometido la infracción imputada por parte de la AEPD. …entiende esta parte que a la hora de fijar la sanción adecuada y proporcionada al presente caso en virtud de los hechos, resulta de aplicación lo previsto en los apartados 4º y 5º del artículo 45 de la LOPD puesto que se dan circunstancias particulares en este caso que lo permiten. Asimismo, y atendiendo al reconocimiento de la culpabilidad, se podrá proceder por parte de la AEPD a la imposición de la sanción correspondiente a las infracciones leves y resolviendo así el procedimiento, según se establece en el artículo 8.1 del RD 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora. En virtud de lo expuesto SOLICITO a la AEPD que se tenga por presentado este escrito con las manifestaciones en el contenidas, se sirva admitirlo estableciendo la sanción correspondiente y proporcional de acuerdo con lo previsto en el art. 45 apartados 4º y 5º en función de lo manifestado a este respecto (…)”. HECHOS PROBADOS PRIMERO. En fecha 09/09/2015 se recibe en esta AEPD escrito del epigrafiado por medio del cual traslada los siguientes hechos en orden a determinar su adecuación al marco normativo vigente: “Que compré un terminal y poco después me pasan por mensaje que tengo que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 pagar por cuatro terminales más que yo compré, cosa que no es cierta al haber usurpado a mi persona” (folio nº 1). Adjunta con el escrito, DENUNCIA ante las Fuerzas y Cuerpos de Seguridad del Estado (folio nº 3) en “dónde niega haber contratado las cinco líneas ***TEL.3, ***TEL.2, ***TEL.5, ***TEL.4 y ***TEL.6”. En las denuncias presentadas se plasma lo siguiente: “Que el dicente le manifiesta a la operadora que él no había contratado esas líneas por lo que ha tenido que ser víctima de una estafa y que persona/s desconocidas han usado su documentación fraudulentamente para realizar estos hechos” (folio nº 3). SEGUNDO. La entidad denunciada –Vodafone España SAU—en escrito de alegaciones de fecha 22/08/2016 manifiesta “Vodafone no ha recuperado la documentación adicional solicitada a las contrataciones por lo que en este sentido y sin perjuicio de disponer de los contratos, no ha podido acreditar el consentimiento del Sr. A.A.A. respecto de las líneas que no reconoce” (folio nº 61). Tercero. Consta en los sistemas informáticos de la entidad denunciada—Vodafone—un primer contacto del denunciante de fecha 20/08/2015 (folio nº 35). “Cliente molesto indica que tiene problemas con el pago del terminal //Indica que ya denunció el hecho//Sólo tiene un número//Los demás está en denuncia//Los demás números no reconoce alta//Indica que fraude ya tiene conocimiento//” Cuarto. Consta que el afectado presento reclamación en la Consejería de Economía y Hacienda (CCAA Madrid) en fecha 23/09/215 alegando “usurpación de identidad…por favor que me den de baja de Vodafone”. La entidad denunciada-Vodafone—aporta cartas de fecha 17/11/15 y 14/01/16 respondiendo a la Dirección General de Consumo (folios nº 47,48, 49 y 50). Quinto. Se ha procedido a la emisión de diversas facturas “tratando” los datos de carácter personal del denunciante (folio nº 34). Sexto. La entidad denunciada—Vodafone—manifiesta “resulta importante manifestar que Vodafone no trabaja con el Distribuidor About Line S.L, desde el pasado mes de agosto de 2015, justo después de haberse contratado varios servicios, por lo que resulta imposible recuperar la documentación adicional asociada a los contratos” (folio nº 25). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 II En el presente caso, se procede a examinar la denuncia con fecha de entrada en esta AEPD—09/09/2015- en dónde el epigrafiado manifiesta lo siguiente: “Que compré un terminal y poco después me pasan por mensaje que tengo que pagar por cuatro terminales más que yo compré, cosa que no es cierta al haber usurpado a mi persona” (folio nº 1). Los hechos anteriormente expuestos pueden suponer una afectación al contenido del artículo 6 LOPD (LO 15/99) al producirse un “tratamiento de los datos del afectado” sin el consentimiento expreso del mismo. La entidad denunciada—Vodafone—en escrito de alegaciones de fecha 22/08/2016 alega en relación a los hechos objeto de denuncia lo siguiente: “Que constan varios servicios asociados al Sr. A.A.A., todos ellos contratados a través del distribuidor About Line (distribuidor con el que ya no trabaja mi representada). …sin perjuicio de las dudas razonables que puede tener esta parte en cuanto a la veracidad o no de las contrataciones de cara a la Agencia, Vodafone no ha recuperado la documentación adicional asociada a las contrataciones por lo que en este sentido y sin perjuicio de disponer los contratos, no ha podido acreditar el consentimiento del Sr. A.A.A. respecto a las líneas que no reconoce” (* el subrayado pertenece a la AEPD). El artículo 44.3.
  3. b)de la LOPD establece como infracción grave "Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo". El artículo 3
  4. h)LOPD define el "consentimiento del interesado" como "Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco" a que hace referencia el artículo 6.1 LOPD recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos. Tal y como ha expresado la Audiencia Nacional reiteradamente, entre otras en sentencia de 28 febrero 2007, Rec 236/200, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. En el presente caso, la entidad denunciada-Vodafone—reconoce “no haber podido recuperar la documentación adicional asociada a las contrataciones, por lo que no puede acreditar el consentimiento del Sr. A.A.A. respecto a las líneas que no reconoce”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Todo ello conduce a considerar que la demandante es autora del tratamiento de datos de carácter personal del denunciante sin su consentimiento, con la concurrencia de culpabilidad en su conducta, lo que supone la vulneración del principio de consentimiento recogido en el artículo 6.1 LOPD, y, por ello, de la infracción antes expresada. III El artículo 44.3.
  5. b)de la LOPD tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” Vodafone trató los datos personales de la persona denunciante al proceder a dar de alta “cuatro líneas asociadas a los datos del afectado”, sin documentar ni verificar la identidad del titular de los datos personales y su voluntad de contratar. Siguió el tratamiento de los datos personales emitiendo factura (s), sin que las líneas por las que facturaba fueran de la persona imputada. En definitiva, es necesario que la persona titular de los datos permita su tratamiento de forma inequívoca y en este caso no se ha acreditado que lo hubiera hecho. La identificación del peticionario debió ser comprobada y documentada con copia de DNI. En este caso, ha incurrido en la infracción arriba descrita ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD. La imputada no ha acreditado tener el consentimiento necesario para los tratamientos efectuados. Supone una vulneración de este principio, el del consentimiento, conducta que encuentra su tipificación en este artículo 44.3.
  6. b)de la citada Ley Orgánica. IV Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD". V En el presente caso, la entidad denunciada—Vodafone—en escrito de alegaciones de fecha 22/08/2016 reconoce “Por ello Vodafone habría cometido la infracción imputada por parte de la Agencia” (folio nº 61). El artículo 8 apartado 1º del RD 1398/1993, 9 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora (vigente hasta el 2 de octubre de 2016) dispone que: “Iniciado un procedimiento sancionador, si C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”. En todo caso, recordar la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). El artículo 45 LOPD apartado 2 establece que: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. El artículo 45 apartado 4º de la LOPD (LO 15/1999) establece que: “La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. Conviene precisar que la entidad denunciada-Vodafone—no reconoció ab initio su culpabilidad, como lo acredita el hecho de “cuestionar” con dudas razonables la contratación efectuada, cuando ha quedado acreditado no disponer de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 documentación mínima requerida a tal efecto, motivo por el que se desestima su petición de aplicación del art. 45.5 LOPD. En concreto, Vodafone es una de las principales compañías del sector de las telecomunicaciones, habituada al tratamiento de los datos de carácter personal de los millares de clientes que operan con la misma (art. 45. 4
  17. c)LOPD). Según fuentes consultadas, la entidad Vodafone en el primer semestre del año 2016 ha obtenido unos servicios por ingresos de unos aproximados 1.128 millones de euros (lo que supone un 1,3% más que en el mismo periodo del año anterior)—art. 45.4
  18. d)LOPD). La parte denunciante ha tenido que interponer diversas Denuncias ante las Fuerzas y Cuerpos de Seguridad del Estado, así como solicitar el auxilio de esta Agencia por los perjuicios ocasionados—art. 45. 4
  19. h)LOPD—. El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que puestas en práctica por los empleados de todos los niveles. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. – art. 45. 4 letra
  20. f)LOPD--. La imputada ha sido objeto de muchos expedientes sancionadores por infracciones similares.—art. 45. 4
  21. g)LOPD--. Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos (art. 45.4 letra
  22. i)LOPD). Las entidades dependientes de la denunciada deben desplegar el mismo nivel de diligencia en todas las contrataciones que se efectúen (vgr. solicitud de DNI en vigor, realizando copia del mismo que deberá guardarse con el contrato a modo de ejemplo). La capacidad de respuesta ante la problemática del cliente debió haber dado lugar a una mayor diligencia de respuesta ante los hechos. Por tanto, se considera acertado, una vez constatada la existencia de infracción administrativa (6 LOPD), atendiendo a las circunstancias del caso, ordenar la imposición de una sanción económica cifrada en la cantidad de 50.000€, sanción situada en la parte inferior de las tipificadas como infracción grave (art. 45.2 LOPD): 40.001€ hasta 300.000€. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA SAU, por una infracción del artículo 6 de la LOPD, tipificada como infracción grave en el artículo 44.3
  23. b)de la LOPD, una multa 50.000€ (cincuenta mil euros), de conformidad con lo establecido en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad denunciada VODAFONE ESPAÑA SAU, y a la parte denunciante Don A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal.” Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.