← España

PS-00360-2017

1/16 Procedimiento Nº PS/00360/2017 RESOLUCIÓN: R/03418/2017 En el procedimiento sancionador PS/00360/2017, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA SAU, vista la denuncia presentada por Dª. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: El 16/08/2016 se presentó en esta Agencia Española de Protección de Datos escrito de Dña. A.A.A. (en lo sucesivo la denunciante), en el que denuncia a VODAFONE ESPAÑA, S.A.U. (en lo sucesivo entidad denunciada o simplemente VODAFONE), por los siguientes hechos:  Con fecha 16/8/2016 se registra de entrada escrito de denuncia en el que manifiesta: o Que es cliente de “Telefónica” para los servicios de telefonía fija y móvil. o Que “YOIGO”, “VODAFONE” y la propia “Telefónica” se han puesto en contacto con ella en relación a solicitudes de servicios de telecomunicaciones que manifiesta no haber realizado.  Con fecha 10/10/2016 se registra de entrada escrito de ampliación de la denuncia en el que manifiesta: o Adjunta documentación adicional y manifiesta que no puede aportar documentación de la reclamación interpuesta ante la entidad denunciada ya que “no se hizo por escrito”.  Con fecha 28/10/2016 se registra de entrada escrito de ampliación de la denuncia en el que manifiesta: o Adjunta documentación adicional y manifiesta que no puede aportar documentación de la reclamación interpuesta ante la entidad denunciada ya que “no se hizo por escrito”.  Con fecha 24/11/2016 se registra de entrada escrito de ampliación de la denuncia en el que manifiesta: o Adjunta documentación adicional y manifiesta que no puede aportar documentación de la reclamación interpuesta ante la entidad denunciada ya que “no se hizo por escrito”. o Se ha hecho un contrato a su nombre sin su consentimiento con la compañía YOIGO para el número ***TLF.1.  Con fecha 22/12/2016 se registra de entrada escrito de ampliación de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 denuncia en el que manifiesta: o Adjunta documentación adicional y manifiesta que no puede aportar documentación de la reclamación interpuesta ante la entidad denunciada ya que “no se hizo por escrito”.  Con fecha 27/1/2017 se registra de entrada escrito de ampliación de la denuncia en el que manifiesta: o Adjunta documentación adicional en relación a reclamaciones interpuestas ante el Ministerio de Industria frente a Vodafone y Yoigo, y manifiesta que no puede aportar documentación de la reclamación interpuesta ante la entidad denunciada ya que “no se hizo por escrito”.  Con fecha 14/2/2017 se registra de entrada escrito de ampliación de la denuncia en el que manifiesta: o Adjunta documentación adicional y manifiesta que no puede aportar documentación de la reclamación interpuesta ante la entidad denunciada ya que “no se hizo por escrito”. La denunciante aporta, entre otra, copia de la siguiente documentación:  Contrato de servicios de telecomunicaciones fijas suscrito entre la denunciante y Telefónica de España, S.A.U. en relación al número de teléfono ***TLF.2.  Contrato de servicios “Movistar Fusión” suscrito entre la denunciante y Telefónica de España, S.A.U. en relación al número de teléfono fijo ***TLF.2 y al número de teléfono móvil ***TLF.3.  Copia de conversación de “whatsapp” mantenida supuestamente a 22/6/2016 entre la denunciada y otra persona que supuestamente por error ha recibido mensajes dirigidos a la denunciante en su cuenta de correo electrónico y se los reenvía. El mensaje refiere un pedido de “YOIGO” a nombre de la denunciante relativo al envío de un pedido de número ***PEDIDO.1, de fecha de la solicitud 23/6/2016. Otros datos asociados a la denunciante en dicho mensaje: Dirección: ***DIRECCIÓN.1 Teléfono de contacto: ***TLF.3  Correo electrónico enviado a 29/6/2016 por la denunciante desde la cuenta de correo electrónico ***EMAIL.1 a ***EMAIL.2 que contiene a su vez un mensaje en nombre de “Yoigo” en el que se informa de un pedido enviado que se entregará en junio de 2016.  Correo electrónico enviado a 29/6/2016 por la denunciante desde la cuenta de correo electrónico ***EMAIL.1 a ***EMAIL.2 que contiene a su vez un mensaje en nombre de “Yoigo” en el que se informa de que próximamente se enviara más información sobre la entrega del pedido.  Correo electrónico enviado a 29/6/2016 por la denunciante desde la cuenta de correo electrónico ***EMAIL.1 a ***EMAIL.2 que contiene a su vez un mensaje en nombre de “Vodafone” en el que se informa de que su pedido ha sido entregado.  Diligencia de inicio por denuncia de infracción penal mediante comparecencia de fecha 30/6/2016 en la que la denunciante declara los hechos acaecidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16  Ampliación de fecha 15/12/2016 de la denuncia anterior en la que la denunciante expone nuevos hechos acaecidos al respecto: o Ha recibido factura de fecha 13/7/2016 de la compañía Vodafone con la que no ha suscrito ningún contrato. o Se ha realizado un cargo en su cuenta corriente con motivo de la factura anterior que ha devuelto. o Ha recibido mensajes de las compañías Yoigo y Vodafone. o Ha recibido un mensaje, de fecha 10/8/2016, procedente de Intrum Justitia en nombre de Vodafone solicitando el pago de la factura anterior. o Una tercera persona le ha remitido mensajes procedentes de Yoigo.  Factura número ***FACTURA.1 de fecha de emisión 1/7/2016 dirigida por la entidad denunciada a la denunciante por importe de 15,16 euros con referencia a la línea ***TLF.1.  Extracto bancario de fecha 13/7/2016 de cargo por adeudo bancario de la entidad denunciada a la denunciante por importe de 15,16 euros. Consta sello “ANULADO”.  Solicitud de devolución de adeudo domiciliado de fecha 14/7/2016 en relación al cargo por importe de 15,16 euros efectuado por la entidad denunciada a la denunciante.  Carta de fecha 10/8/2016 dirigida por Intrum Justitia Ibérica, S.A.U. A la denunciante en la que se reclama el pago de la deuda contraída con la entidad denunciada de importe 15,16 euros.  Reclamación presentada por la denunciante con fecha 10/10/2016 ante la Oficina de Atención al Usuario de Telecomunicaciones de la Secretaría de Estado de las Telecomunicaciones y para la Sociedad de la Información (SETSI) frente a la entidad denunciada acerca de la contratación a su nombre sin su consentimiento de la línea ***TLF.1 y los efectos derivados de la misma.  Resolución del Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información dictada a fecha 20/12/2016 en relación con la reclamación presentada por la denunciante (tramitada bajo el número de expediente ***EXP.1 y relacionada con el número ***TLF.1). Dicha resolución expone que: o “Analizada la documentación obrante en el expediente, se observa que VODAFONE MOVIL ESPANA no ha acreditado que el usuario hubiera prestado su consentimiento para el alta del servicio y teniendo en cuenta que de acuerdo con lo establecido en el artículo 7 de la Orden ITC/1030/2007. de 12 de abril, (“...A efectos probatorios de la celebración de un contrato corresponde a la operadora acreditar que la contratación de un determinado servicio se ha producido…” procede estimar la reclamación. reconociendo el derecho del interesado a obtener la baja inmediata en el servicio no solicitado. así como a no abonar las facturas que puede haber emitido el operador. debiendo este proceder a su devolución en el supuesto de que el abonado las haya pagado ya.”  Escrito dirigido por la entidad denunciada a la denunciante en relación a la resolución del número de expediente ***EXP.1 que estimaba a favor de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 denunciante su reclamación le comunican que: “dando cumplimiento a la citada resolución, se ha realizado con fecha 20 de octubre de 2016 un abono de 15,16 € (impuestos indirectos incluidos) con el que se cancela el importe que constaba como pendiente en la Cuenta Vodafone ***TLF.4. Respecto a lo anterior, queremos dejar constancia que el día 28 de junio de 2016, se ha desactivado de forma definitiva el número ***TLF.1”.  Reclamación presentada por la denunciante con fecha 24/11/2016 ante la Oficina de Atención al Usuario de Telecomunicaciones de la Secretaría de Estado de las Telecomunicaciones y para la Sociedad de la Información (SETSI) frente a “YOIGO” acerca de la contratación a su nombre sin su consentimiento de la línea ***TLF.5 y los efectos derivados de la misma.  Escrito dirigido por la Oficina de Atención al Usuario de Telecomunicaciones de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI) a la denunciante a fecha 14/12/2016 en el que le dan traslado de la respuesta recibida de “YOIGO” en relación con la reclamación presentada por la denunciante (número de expediente ***EXP.2 respecto de la línea ***TLF.5). En este escrito, fechado el 7/12/2016, Yoigo expone que: “El alta de la línea ***TLF.5 fue tramitada con fecha 22 de junio de 2016, vía telefónica, en modalidad de contrato, solo tarjeta SIM. Con fecha 23 de junio de 2016, el pedido fue cancelado a petición de la reclamante. Desde YOIGO Confirmamos que la línea ***TLF.5 no ha emitido facturas, por lo que al no generarse deuda alguna, los datos personales de la titular no han sido incluidos en los ficheros sobre solvencia y crédito a instancia de YOIGO. Si la reclamante considera que sus datos han sido usados sin su consentimiento, recomendamos que realice una denuncia donde se indique que se han usado sus datos sin su consentimiento, y que nos la envíe a ***EMAIL.3”.  Resolución (sólo la página 1 de 2) del Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información dictada a fecha 26/1/2017 en relación con la reclamación presentada por la denunciante (tramitada bajo el número de expediente ***EXP.2 respecto de la línea ***TLF.5) frente a Yoigo. Dicha resolución expone que: o “Analizada la documentación obrante en el expediente, se observa que YOIGO - XFERA MÓVILES. S.A. no ha acreditado que el usuario hubiera prestado su consentimiento para el alta del servicio y teniendo en cuenta que de acuerdo con lo establecido en el artículo 7 de la Orden ITC/103012007. de 12 de abril, ("...A efectos probatorios de la celebración de un contrato corresponde a la operadora acreditar que la contratación de un determinado servicio se ha producido…), procede estimar la reclamación, reconociendo el derecho del interesado a obtener la baja inmediata en el servicio no solicitado, así como a no abonar las facturas que pueda haber emitido el operador. debiendo este proceder a su devolución en el supuesto de que el abonado las haya pagado ya”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 VODAFONE: VODAFONE en su escrito de fecha de registro 11/01/2017 ha remitido la siguiente información pertinente a los efectos de la investigación:  Respecto a los datos personales de la denunciante que constan en los sistemas de la entidad: Constan el nombre, apellidos y NIF de la denunciante en relación con la línea ***TLF.1.  Respecto a los productos que constan a nombre de la denunciante en los sistemas de la entidad: Figuran una línea telefónica (***TLF.1) asociada a la “cuenta Vodafone” número ***CUENTA.1: o Línea ***TLF.1, cuya fecha de alta es 22/6/2016 y fecha de fin 28/6/2016. Según manifiesta la entidad la línea fue dada de alta a través del canal online de la entidad denunciada.  Respecto a la contratación de la línea ***TLF.1 aporta: o Adjunta copia de la documentación contractual que, según expone, fue enviada a la denunciante tras la contratación del servicio a través del canal online de la entidad. Contiene:  Escrito de fecha 23/06/2016 dirigido a la denunciante a la dirección ***DIRECCIÓN.2 en el que le envían copia del contrato del alta solicitada a través de la tienda online de VODAFONE.  Copia del contrato de “Servicios de Comunicaciones Móviles Postpago Particulares”, de fecha 23/06/2016 entre la denunciante y la entidad denunciada que refiere como punto de venta la tienda Online. En este documento figuran los siguientes datos personales asignados a la denunciante: nombre, apellidos, NIF, fecha de nacimiento, domicilio, teléfono de contacto, cuenta bancaria. Está firmado en el apartado correspondiente a la entidad y pero no en el del cliente.  Correo electrónico de fecha 23/06/2016 dirigido por la entidad denunciada a la denunciante a la cuenta ***EMAIL.4en el que le informan de que la línea contratada ya se encuentra activada. o Con respecto al procedimiento de contratación a través del canal online, manifiesta:  Que todos los pedidos realizados a través de este canal pasan por validaciones de fraude y scoring antes de activarse la línea y finalizar el proceso de contratación.  Que una vez superado lo anterior se envía el pedido al domicilio del cliente y en paralelo se le envía un resumen de lo contratado junto con una copia del contrato.  Que el proceso de entrega en domicilio acordado con correos se lleva a cabo por correo certificado y no se entrega en destino sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 que el cliente presente su DNI y acredite, por lo tanto, que el pedido es suyo.  Que en el caso de la denunciante, y dado que la misma había recibido el “pack de bienvenida” se prueba que los datos facilitados en la contratación eran correctos, sin perjuicio de que no se reconozca la contratación.  Respecto de las comunicaciones y contactos que han existido entre esa entidad y la denunciante manifiestan que “la primera reclamación recibida fue un escrito de la SETSI en octubre de 2016, fecha en la que se gestionó la cancelación de la deuda”. Adjunta impresión de pantalla de los sistemas de registro de los contactos e incidencias de la denunciante con la entidad denunciada. Adjunta copia del escrito de fecha 13/10/2016 a través del cual la SETSI le remite la reclamación de la denunciante (tramitada bajo el número de expediente ***EXP.1 y relacionada con el número ***TLF.1) y le solicita alegaciones a la misma.  Respecto a las facturas emitidas a nombre de la denunciante en relación con las líneas contratadas: Adjunta copia de las dos facturas emitidas a nombre de la denunciante correspondiente a los meses de julio y agosto de 2016. Adjunta copia de la factura rectificativa de octubre de 2016 que según expone cancela la cantidad pendiente de pago. TERCERO: Con fecha 18/07/17, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE ESPAÑA, S.A.U., por presunta infracción del artículo 6.1 de la LOPD; infracción tipificada como grave en el artículo 44.3.

  1. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, VODAFONE ESPAÑA, S.A.U. mediante escrito de fecha 03/08/17 formuló alegaciones, significando en síntesis que el tratamiento de datos personales de la denunciante se llevó a cabo en base a una contratación de servicios de telefonía, con apariencia de contratación correcta, y sobre la que no constaba ninguna reclamación, más cuando ésta se hizo a través del canal online que cuenta con validaciones de fraude y scoring antes de activarse; y dado que el pedido se envía la domicilio del cliente, sin que se entregue el producto sin presentar el DNI y se acredite por tanto que tal pedido es suyo. Ello ya se había indicado en la investigación previa realizada, aportando la documentación que lo acredita. Por consiguiente, se solicitaba el archivo de actuaciones y, de manera subsidiaria, la aplicación del apartado 5 del artículo 45 de la LOPD. QUINTO: Con fecha 22/08/17 se inició el período de práctica de pruebas, según lo dispuesto en el artículo 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP); acordándose practicar las siguientes pruebas: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/05089/2016. Asimismo, se daban por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento ya citadas en el punto anterior presentadas por VODAFONE ESPAÑA, S.A.U. Todo ello con su correspondiente documentación adjunta. Se informaba que el resultado de estas pruebas podría dar lugar a la realización de otras. SEXTO: En fecha 17/10/17 la Directora de la Agencia acordó el cambio de instructor del presente procedimiento sancionador. SÉPTIMO: Con fecha 19/10/2017 se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionase a VODAFONE ESPAÑA, S.A.U. con multa de 60.000 € (sesenta mil euros) por la infracción del artículo 6.1 de la LOPD; infracción tipificada como grave en el artículo 44.3.
  2. b)de dicha norma y de conformidad con lo establecido en el artículo 45 de esa misma Ley Orgánica. En su virtud se le notificó cuanto antecede, y se le puso de manifiesto el procedimiento a fin de que en el plazo de quince días hábiles pudiera alegar cuanto considerare en su defensa y presentare los documentos e informaciones que considerase pertinentes, de acuerdo con el artículo 89.2 en relación con el art. 82.2 de la LPACAP. OCTAVO: Con fecha 20/11/2017 VODAFONE ESPAÑA, S.A.U. presentó alegaciones a dicha propuesta de resolución, con reiteración de las alegaciones ya efectuadas, insistiendo en que hubo una apariencia de contratación válida, por lo que no hay intencionalidad en la conducta en cuestión y que, en su caso, de no proceder el archivo, debe considerarse las circunstancias atenuantes previstas en el artículo 45.5 de la LOPD. HECHOS PROBADOS PRIMERO: Que con fecha 16/08/2016 Dña. A.A.A., con DNI. ***DNI.1 (folio 25), manifestó a esta Agencia que VODAFONE ESPAÑA, S.A.U. se había puesto en contacto con ella en relación a solicitudes de servicios de telecomunicaciones que no había realizado, en concreto, que se había asociado un contrato a su nombre sin su consentimiento con dicha compañía (folio 1). SEGUNDO: Que VODAFONE ESPAÑA, S.A.U. emitió un recibo a nombre de la denunciante por importe de 15,16 € por concepto “***RECIBO.1”, que fue cargado en su cuenta BBVA en fecha 13/07/16 y posteriormente devuelto (folios 35 y 36). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 TERCERO: Que la denunciante recibió una carta de fecha 10/08/16 de Intrum Justitia Ibérica, S.A.U. en la que se le reclamaba el pago de 15,16 € por cuenta de VODAFONE ESPAÑA, S.A.U. (folio 32). CUARTO: Que por estos hechos la denunciante presentó denuncia en fechas 30/06/16 y 15/12/2016 ante la Guardia Civil de Tres Cantos, Madrid (folios 23, 24, 47 y 48). QUINTO: Que asimismo la denunciante por estos hechos presentó en fecha 10/10/16 reclamación ante la Oficina de Atención al Usuario de Telecomunicaciones de la Secretaría de Estado de las Telecomunicaciones y para la Sociedad de la Información (SETSI), de manera concreta, por la no contratación de la línea ***TLF.1 (folios 51, 55 y 56). SEXTO: Que por Resolución del Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información dictada en fecha 20/12/2016, en relación con el número de expediente ***EXP.1 y el número de teléfono ***TLF.1, se resolvió que: “Analizada la documentación obrante en el expediente, se observa que VODAFONE MOVIL ESPANA no ha acreditado que el usuario hubiera prestado su consentimiento para el alta del servicio y teniendo en cuenta que de acuerdo con lo establecido en el artículo 7 de la Orden ITC/1030/2007. de 12 de abril, (“...A efectos probatorios de la celebración de un contrato corresponde a la operadora acreditar que la contratación de un determinado servicio se ha producido…” procede estimar la reclamación, reconociendo el derecho del interesado a obtener la baja inmediata en el servicio no solicitado, así como a no abonar las facturas que puede haber emitido el operador, debiendo este proceder a su devolución en el supuesto de que el abonado las haya pagado ya” (folios 53 y 54). SÉPTIMO: Que por escrito de fecha 27/12/16 VODAFONE, en relación a esta resolución del expediente RC1016477/16 / PVD, comunicó a la denunciante que, “dando cumplimiento a la citada resolución, se ha realizado con fecha 20 de octubre de 2016 un abono de 15,16 € (impuestos indirectos incluidos) con el que se cancela el importe que constaba como pendiente en la Cuenta Vodafone ***TLF.4. Respecto a lo anterior, queremos dejar constancia que el día 28 de junio de 2016, se ha desactivado de forma definitiva el número ***TLF.1” (folio 57). OCTAVO: Que VODAFONE ESPAÑA, S.A.U. registró los datos personales de Dña. A.A.A. en relación con la línea ***TLF.1, constando su nombre, apellidos y NIF., asociados a la “cuenta Vodafone” número ***CUENTA.2, con fecha de alta el 22/06/2016 y baja el 28/06/2016, con emisión de dos facturas a nombre de la denunciante correspondientes a los meses de julio y agosto de 2016 (folios 68 a 92). NOVENO: Que VODADONE manifestó a esta Agencia en fase de actuaciones previas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 de investigación que dicha línea fue dada de alta a través del canal online (folio 69). DÉCIMO: Que VODAFONE ESPAÑA, S.A.U. no ha acreditado ante esta Agencia que contara con el consentimiento de Dña. A.A.A. para el tratamiento de sus datos personales, tal como se ha detallado en los puntos anteriores, en especial el 8º. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. No obstante, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Por otra parte, el artículo 6 del Reglamento general de protección de datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 94/46/CE, establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
  5. b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales” (…); norma en vigor y aplicable a partir del 25 de mayo de 2018. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En consecuencia, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. “Respecto al consentimiento – dice la sentencia de la Audiencia Nacional de 4 de marzo de 2009 - , es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. VODAFONE ESPAÑA, S.A.U. en este caso no contaba con el consentimiento inequívoco de la persona denunciante para poder llevar a cabo el tratamiento de datos personales realizado (facturando un servicio de telefonía no contratado por ella), antes bien, los documentos que obran en el procedimiento evidencian que no contaba con su consentimiento; sin que pueda considerarse de recibo la alegación de que se trata de un error puntual e involuntario de la empresa encargada de la gestión del proceso de alta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 En este sentido, con fecha 16/08/2016 Dña. A.A.A., con DNI. ***DNI.1 (folio 25), manifestó a esta Agencia que VODAFONE ESPAÑA, S.A.U. se había puesto en contacto con ella en relación a solicitudes de servicios de telecomunicaciones que no había realizado, en concreto, que se había asociado un contrato a su nombre sin su consentimiento con dicha compañía (folio 1). En efecto, y como consta acreditado en el expediente, VODAFONE ESPAÑA, S.A.U. registró los datos personales de Dña. A.A.A. en relación con la línea ***TLF.1, constando su nombre, apellidos y NIF., asociados a la “cuenta Vodafone” número ***CUENTA.2, con fecha de alta el 22/06/2016 y baja el 28/06/2016, con emisión de dos facturas a nombre de la denunciante correspondientes a los meses de julio y agosto de 2016 (folios 68 a 92); manifestando a esta Agencia en fase de actuaciones previas de investigación que dicha línea fue dada de alta a través del canal online (folio 69). Recordemos que VODAFONE ESPAÑA, S.A.U. emitió un recibo a nombre de la denunciante por importe de 15,16 € por concepto “***RECIBO.1”, que fue cargado en su cuenta BBVA en fecha 13/07/16, que fue devuelto (folios 35 y 36). Y que la denunciante recibió una carta de fecha 10/08/16 de Intrum Justitia Ibérica, S.A.U. en la que se le reclamaba el pago de 15,16 € por cuenta de VODAFONE ESPAÑA, S.A.U. (folio 32). Por estos hechos la denunciante presentó denuncia en fechas 30/06/16 y 15/12/2016 ante la Guardia Civil de Tres Cantos, Madrid (folios 23, 24, 47 y 48). De igual modo, presentó asimismo en fecha 10/10/16 la oportuna reclamación ante la SETSI por la no contratación de la línea ***TLF.1 (folios 51, 55 y 56). Lo que provocó que por Resolución de ese Órgano en fecha 20/12/2016, en relación con el número de expediente ***EXP.1 y el número ***TLF.1, se resolviera que: “Analizada la documentación obrante en el expediente, se observa que VODAFONE MOVIL ESPANA no ha acreditado que el usuario hubiera prestado su consentimiento para el alta del servicio y teniendo en cuenta que de acuerdo con lo establecido en el artículo 7 de la Orden ITC/1030/2007. de 12 de abril, (“...A efectos probatorios de la celebración de un contrato corresponde a la operadora acreditar que la contratación de un determinado servicio se ha producido…” procede estimar la reclamación, reconociendo el derecho del interesado a obtener la baja inmediata en el servicio no solicitado, así como a no abonar las facturas que puede haber emitido el operador, debiendo este proceder a su devolución en el supuesto de que el abonado las haya pagado ya” (folios 53 y 54). Por otra parte, indicar que por escrito de fecha 27/12/16 VODAFONE comunicó a la denunciante que, “dando cumplimiento a la citada resolución, se ha realizado con fecha 20 de octubre de 2016 un abono de 15,16 € (impuestos indirectos incluidos) con el que se cancela el importe que constaba como pendiente en la Cuenta Vodafone ***TLF.4. Respecto a lo anterior, queremos dejar constancia que el día 28 de junio de 2016, se ha desactivado de forma definitiva el número ***TLF.1” (folio 57). En definitiva, VODAFONE ESPAÑA, S.A.U. no ha acreditado ante esta Agencia que contara con el consentimiento inequívoco de Dña. A.A.A. para el tratamiento de sus datos personales, tal como se ha detallado más arriba, y tal como la SETSI resolvió en su día. El Grupo de Protección de Datos del Artículo 29, creado en virtud del artículo 29 de la Directiva 95/46/CE, como órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad (Comité Europeo de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 de acuerdo con el considerando 139 y el artículo 68.1 del Reglamento General de Protección de Datos de la Unión Europea), en su Dictamen 15/2011 sobre la definición del consentimiento adoptado el 13 de julio de 2011, dice en relación al asunto que estamos analizando que: “Como se describe a continuación, este requisito obliga a los responsables del tratamiento a crear procedimientos rigurosos para que las personas den su consentimiento; se trata de, o bien buscar un claro consentimiento expreso o bien basarse en determinados tipos de procedimientos para que las personas manifiesten un claro consentimiento deducible. El responsable del tratamiento debe además asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. Esto tiene especial importancia cuando el consentimiento se autoriza por teléfono o en línea. La prueba del consentimiento plantea una cuestión relacionada con lo anterior. Los responsables del tratamiento que se basen en el consentimiento pueden desear o necesitar demostrar que el consentimiento se ha obtenido, por ejemplo, en el contexto de un litigio con el interesado. Efectivamente, en algunos casos se les podrá pedir que aporten estas pruebas en el marco de medidas ejecutivas. Como consecuencia de ello y como cuestión de buena práctica los responsables del tratamiento deben crear y conservar pruebas de que el consentimiento fue efectivamente dado, lo que significa que el consentimiento debería ser demostrable”. El citado Reglamento General de Protección de Datos de la Unión Europea 2016/679 en su artículo 7.1) sintetiza, por su parte, en relación con el consentimiento del interesado que “el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. Cabe decir por tanto que, ante la falta de acreditación por parte de la entidad imputada del consentimiento inequívoco de la persona denunciante para el tratamiento de sus datos personales, y ante la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, se estima vulnerado por la entidad imputada el artículo 6.1 de la LOPD. Abundando en este sentido, procede citar la sentencia de la Audiencia Nacional de fecha 21 de diciembre de 2001 en la que se declaraba que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. (…) (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, (...) debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Y reiterar que VODAFONE ESPAÑA, S.A.U. no contaba con el consentimiento inequívoco la persona denunciante para el tratamiento de sus datos personales efectuado, asociándolos a una contratación por servicios de telefonía no realizada por ella, como resolvió en su día la SETSI, y se ha limitado a manifestar a esta Agencia que el proceso de contratación se realizó por su canal online, pero sin aportar documentación suficiente que respalde estas manifestaciones. En consecuencia, por todo lo que antecede, se considera infringido el artículo 6.1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 de la LOPD por parte de VODAFONE ESPAÑA, S.A.U. y que es responsable de dicha infracción al artículo citado. III El artículo 44.3.
  6. b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el presente caso, VODAFONE ESPAÑA, S.A.U. ha tratado los datos personales de la persona denunciante sin su consentimiento y ha conculcado el principio del consentimiento regulado en el artículo 6.1 de la LOPD que encuentra su tipificación en el artículo 44.3.
  7. b)de dicha norma. IV El artículo 45 de la LOPD, en sus aparatados 2 a 4, establece que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  8. a)El carácter continuado de la infracción.
  9. b)El volumen de los tratamientos efectuados.
  10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  11. d)El volumen de negocio o actividad del infractor.
  12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  13. f)El grado de intencionalidad.
  14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso concreto, de las evidencias obtenidas en la fase de investigaciones previas y de acuerdo con la instrucción llevada a cabo, se considera que no procede aplicar este apartado 5, al no concurrir la atenuante privilegiada prevista en el apartado
  23. b)del citado artículo, pues, en contra de lo que alega la entidad, no hubo tal regularización diligente de la incidencia, ya que consta acreditado en el expediente que VODAFONE canceló la línea en cuestión el 28/06/2016 y aun así siguió facturando y reclamando el pago de la deuda generada, pese a conocer en junio de 2016 el fraude y no desde la fecha en la que se lo comunicó la SETSI, en octubre de 2016, tal como manifiesta en esas alegaciones. En el presente caso concreto, vistas las evidencias obtenidas en la fase de investigaciones previas y de acuerdo con la instrucción llevada a cabo, procede graduar la sanción a imponer de acuerdo con las siguientes circunstancias que establece el artículo 45.4 de la LOPD y que operan aquí como agravantes: - El apartado 4.
  24. a)“El carácter continuado de la infracción” pues los datos personales de la denunciante fueron tratados con posterioridad a la cancelación de la línea el 28/06/2016 facturando y reclamando el pago. - El apartado 4.
  25. c)“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” ya que la actividad empresarial de la entidad denunciada exige un continuo tratamiento de datos de carácter personal, tanto de clientes como de terceros. - El apartado 4.
  26. d)“El volumen de negocio o actividad del infractor”, puesto que se trata de una de las mayores operadores de telefonía del país por volumen de negocio. - El apartado 4.
  27. g)“reincidencia” puesto que la entidad ya ha sido sancionada en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 otros procedimientos abiertos en la Agencia por similar infracción. Por todo ello, procede imponer a VODAFONE ESPAÑA, S.A.U. una sanción por vulneración del artículo 6.1 de la LOPD, consistente en multa por importe de 60.000 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A.U. multa de 60.000 € (sesenta mil euros) por la infracción del artículo 6.1 de la LOPD; infracción tipificada como grave en el artículo 44.3.
  28. b)de dicha norma y de conformidad con lo establecido en el artículo 45 de esa misma Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  29. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.