← España

PS-00367-2013

1/20 Procedimiento Nº PS/00367/2013 RESOLUCIÓN: R/02810/2013 En el procedimiento sancionador PS/00367/2013, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 12/07/2012 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), en el que declara: «Me dirijo a ustedes por si hubiere lugar de actuación contra la empresa Vodafone España, por lo expuesto a continuación. •Incumplimiento de la resolución de Laudo arbitral. Adjunto fotocopia. •Cobro indebido mensualidad posterior a la baja. Adjunto fotocopia carta enviada al respecto.» Aporta el denunciante copia de la siguiente documentación: - Copia del Laudo Arbitral dictado por el Instituto Gallego de Consumo en fecha 25/4/2012, según el cual se toma una decisión arbitral estimatoria. -Escrito de fecha 11/6/2012 por el que el denunciante para recordar a la operadora que existe el laudo arbitral citado, pese a lo cual continúan girando recibos mensualmente, reclamando el reembolso del recibo de fecha 30/3/2012. -Copia del recibo cargado por VODAFONE en la cuenta del denunciante en fecha 30/3/2012 por importe de 41,18 €. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad EQUIFAX IBERICA, S.L. (en lo sucesivo EQUIFAX), VODAFONE ESPAÑA, S.A. (en lo sucesivo VODAFONE), teniendo conocimiento de que: - Con fecha 5/6/2013 se solicita a EQUIFAX información relativa al denunciante y de la respuesta recibida se desprende lo siguiente: a. Respecto del fichero ASNEF: no consta información respecto del denunciante. b. Respecto del fichero de NOTIFICACIONES: constan dos notificaciones emitidas a nombre del denunciante, con fecha de emisión 7/7/2012 y 2/8/2012, por un producto de TELECOMUNICACIONES, por un importe de 101,69 € y siendo la entidad informante VODAFONE. c. Respecto del fichero de BAJAS: consta una baja asociada a las notificaciones citadas en el apartado anterior para operaciones con fecha de alta y baja en ASNEF de 6/7/2012 - 1/8/2012. El motivo consta como INCONGR, el importe es de 101,69 € y por vencimientos impagados primero y último de fechas 03/05/2012 - 29/06/2012. 2. De la información y documentación aportada por VODAFONE se desprende: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 a. En el sistema de gestión de contactos de la entidad figuran las siguientes entradas: -De fecha 23/2/2012 por el que se registra la entrada de la reclamación presentada por el denunciante ante la JAC de Galicia de Galicia. -De fecha 27/2/2012 por el que se registra la respuesta dada a la JAC. -De fecha 28/5/2012 por el que se registra la entrada del Laudo dictado por la JAC. -De fecha 28/5/2012 por el que se anota que se ha procedido a realizar los abonos y que se envía carta informando que el abono ha sido realizado. -De fecha 27/8/2012 por el que se registra entrada de una nueva reclamación ante la JAC, según la cual el cliente reclama que VODAFONE le está cobrando unos importes cuando está dado de baja desde el 28/11/2011 y que la entidad le reintegró todas las mensualidades cobradas indebidamente, a través de un laudó. -De fecha 27/8/2012 por parte de la entidad se verifica que consta pendiente de pago 101,69 € correspondiente a facturas emitidas desde abril hasta junio de 2012, verificándose que no presenta consumos. Según las anotaciones, se estima que se debe proceder a la anulación de las cantidades pendientes. Se realiza la anulación de la deuda y se confirma haber realizado el abono el 29/5/2012. -De fecha 14/12/2012 se registra una citación por la JAC, se comprueba todo el historial de reclamaciones del denunciante, y se verifican los abonos realizados, comprobándose que figuran como abonadas todas las facturas emitidas entre el 22/11/2011 y el 22/6/2012, a excepción de la emitida en fecha 22/4/2012. -De fecha 12/2/2013 se registra resolución de la JAC, por la que se declara que la parte reclamante no tiene deuda alguna con la operadora, y se ordena a ésta a la cancelación de los datos que haya incluido en ficheros de solvencia. Por parte de la entidad se anota "Pasamos notificación para exclusión de ficheros de solvencia". -De fecha 13/2/2013 por el que se anota "Confirmado vía mail exclusión de Badex/Asnef". b. Escrito de fecha 27/2/2012 por el que VODAFONE da respuesta a la JAC de Galicia en el que manifiesta: -Que, tras las comprobaciones oportunas, al respecto de la reclamación cursada por el denunciante, se ha procedido a realizar abono con reembolso por importe de 123.55 € impuestos indirectos incluidos, correspondiente a las facturas sin consumo de fecha 22/12/2011, 22/1/2012 y 22/2/ 2012 por el concepto de Cuotas ADSL. -En relación a la petición de abonó de las facturas desde Octubre de 2011, la entidad entiende que no procede, al detectarse consumo y haber hecho uso el cliente de los servicios. c. Escrito de fecha 18/5/2012 por el que la JAC de Galicia procede a comunicar a VODAFONE el laudo emitido, por el que se dictaminaba la baja del reclamante en los servicios de la operadora, con fecha de efectos de, 28/10/2011 y el abono de las facturas posteriores a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 dicha fecha. d. Escrito de fecha 21/12/2012 remitido por VODAFONE a la JAC de Galicia, en el que informa que: -Con fecha 28/2/2012 se efectuó un abono por importe a favor de 123,55 € en concepto a la cuota de ADSL y el cargo por devolución de recibo que se incluyen en las facturas emitidas desde 22/12/2011 hasta el 22/2/2012, el cual a fecha 29/2/2012 le fue ingresado en la cuenta bancaria del denunciante. -Con fecha 29/5/2012 se tramitó un abono por importe 41,18 €, en concepto a la cuota de ADSL que se incluye en la factura emitida el 22/11/2011, siendo ingresado en la cuenta bancaria del denunciante a fecha 30/5/2012. -El 28/8/2012 se gestionó un abono por importe de 101,70 €, en concepto de la cuota de ADSL que se incluye en las facturas emitidas el 22 de Marzo ,22 de Mayo y 22/06/2012, el cual se aplicó para anular el importe que constaba pendiente de pago en la cuenta del denunciante. -El 21/12/2012 la entidad procede a la realización en la cuenta del denunciante de un abono por importe a favor de 41,18 €, en concepto a la cuota de ADSL que se incluye en la factura emitida el 22/4/ 2012, que es la que faltaba por abonar. e. Laudo arbitral, con fecha de salida 8/2/2013 emitido por el Instituto Gallego de Consumo en el que consta la reclamación presentada por el denunciante con motivo de su inscripción en los ficheros de solvencia ASNEF y BADEXCUG por una supuesta deuda contraída con VODAFONE, de101,69€,deudaqueniega el denunciante, quien recuerda el anterior laudo, por el que se decidió la baja del denunciante en los servicios de la operadora y la anulación de las facturas posteriores a dicha baja, pese a lo cual la entidad le cargó una nueva mensualidad en el mes de marzo, cobrada indebidamente y dado de alta en los ficheros de solvencia por una de. -Por la operadora reclamada se informa haber procedido a realizar el abono de 101,69 € así como un abono de 41,18 € en concepto de la factura de 30/11/2011, factura que fue reembolsada al denunciante. f. Consta carta de fecha 14/2/2013 remitida por la operadora al denunciante en la que se le informa del cumplimiento del laudo arbitral y que no queda ningún importe pendiente, habiendo sido excluido de cualquier fichero de solvencia en el que hubiese sido incluido. TERCERO: Con fecha 20/05/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE, por presunta infracción de los artículos 4.3 y 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en los artículos 44.3.

  1. c)y 44.3.
  2. b)de dicha norma, pudiendo ser sancionadas con multas de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de VODAFONE, en fecha 16/07/2013, formuló en síntesis, las siguientes alegaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 - - En cuanto a los hechos: que el denunciante tenia asociado dos cuentas de cliente: la primera nº ***CTA.1 asociada al servicio ADSL con línea de voz y datos (líneas ***TEL.1 y ***TEL.2), y la segunda nº ***CTA.2 asociada al servicio ADSL con número fijo (línea ***TEL.3); con respecto a este último servicio el Sr. A.A.A. informó sobre la baja el 28/10/2011, sine embargo no consta la entrada de la solicitud en VODAFONE; el denunciante se dirigió a la JJAA de Galicia, que cuando dicto el laudo procedió a cumplir el mismo efectuando la baja desde octubre de 2011 y realizando un abono de 101,70 euros como correspondía; posteriormente tuvo entrada nueva citación de la JJAA ya que al denunciante se le continuaba reclamando la deuda , comprobándose que por un error humano no se tuvo en cuenta la factura de noviembre de 2011 quedando pendiente una importe pendiente que por la entidad se realizo el abono el 22/12/2012. Que no se ha infringido el artículo 6.1 de la LOPD ya que el tratamiento de los datos estaba basado en el consentimiento otorgado por el titular de los datos. Que tamp0co se ha infringido el artículo 4.3 de la LOPD, ya que la deuda facilitada al fichero era cierta derivada del impago del consumo del servicio, generado y no abonado. Que en el improbable caso de que se entienda que existe infracción a la LOPD, resultaría de aplicación el artículo 4 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora y la aplicación subsidiaria del articulo 45.4 y 5 de la LOPD. QUINTO: Con fecha 25/07/2013, se inició un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/06141/2012. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por VODAFONE. - Solicitar a VODAFONE copia de las facturas emitidas en relación con la línea de ADSL y telefonía fija suscritas con el denunciante con posterioridad al 28/10/2011. Solicitar al denunciante copia de la documentación que obrara en su poder relativa al procedimiento sancionador que por cualquier motivo no hubiera sido aportada en el momento de la denuncia. - Solicitar al Instituto Gallego de Consumo copia completa del expediente *****/***/2012 instruido como consecuencia de una reclamación del denunciante contra VODFONE. Con fechas 06/08/2013, 07/08/2013, 09/08/2013 el Instituto Gallego de Consumo, la denunciante y VODAFONE respondían a las pruebas requeridas cuyo contenido obra en el expediente. SEXTO: En fecha 31/10/2013, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a VODAFONE por infracción de los artículos 4.3 y 6.1 de la LOPD, tipificadas como grave en los artículos 44.3.
  3. c)y 44.3.
  4. b)de dicha norma, con multa de 50.000 € (cincuenta mil euros) cada una, de conformidad con lo establecido en el artículo 45.2 de la citada Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de VODAFONE presentó el 22/11/2013 escrito de alegaciones formulando, en síntesis, las ya realizadas a lo largo del procedimiento y, además, su disconformidad con lo señalado en la propuesta ya que en el presente caso no se habría infringido el artículo 6.1 de la LOPD, debido a que no tuvo constancia de la petición de baja, por lo que continuó tratando los datos y facturando por el servicio prestado, cuyo impago derivo la reclamación de la deuda y la inclusión en ficheros, quedando de manifiesto, de la misma forma, que no se ha incumplido el artículo 4.3 de la LOPD; reitera VODAFONE, la aplicación del artículo 4.4 del REPEPOS y la aplicación subsidiaria del artículo 45.4 y 5 de la LOPD. Asimismo, solicitaba copia de documentación integrante del expediente administrativo. HECHOS PROBADOS PRIMERO. En fecha 12/07/2012, tiene entrada en esta Agencia escrito del afectado en el que manifiesta que VODAFONE ha incumplido lo acordado en laudo arbitral de fecha 25/04/2012, que establecía la baja en servicios de telefonía, facturando con posterioridad al mismo e intimándole al pago por medios poco recomendables (folio 1). SEGUNDO. En los ficheros informatizados de VODAFONE constan los siguientes productos asociados al denunciante: - línea asociada al nº ***TEL.1, con fecha de alta 14/04/2010 y baja el 27/10/2011 y - línea asociada al nº ***TEL.2, con fecha de alta 16/04/2010 y baja el 15/02/2013, asociadas ambas en la cuenta cliente nº ***CTA.1. - línea asociada al nº ***TEL.3, con fecha de alta 16/11/2010 y baja el 28/05/2012, asociada a la cuenta cliente nº ***CTA.2 (folios 46 a 50). TERCERO. Consta que el denunciante solicitó el 24/10/2011 la baja del contrato de servicio banda ancha asociado el numero ***TEL.3 y llamadas fijas, que había sido suscrito el 16/11/2010 (folios 144, 170 y 171). CUARTO. Consta carta certificada enviada por el denunciante a VODAFONE, el 10/01/2012, en la que le comunica que con fecha 24/10/2011 había solicitado la baja como usuario y que habiéndose cargado en su cuenta las facturas de noviembre y diciembre solicitaba su devolución por cobro indebido y que si procediese la penalización por baja anticipada se le comunicase para abonar la cantidad correspondiente (folios 174 y 175). QUINTO. Consta que el denunciante presentó ante el Instituto Gallego de Consumo, de la Consejería de Economía e Industria de la Junta de Galicia, con fecha 23/01/2012 solicitud de arbitraje contra VODAFONE (132 y 133), que fue admitida a trámite por la JJAA de Consumo de Galicia, en el que solicita “la baja del servicio ADSL y de telefonía fija con efectos retroactivos desde el 20/10/2011, que es cuando solicito la baja, así como que la operadora reclamada proceda a anular todas las facturas posteriores a dicha fecha, y a devolver los importes cobrados por facturas emitidas con posterioridad, teniendo en cuenta que tres de las facturas ya le han sido devueltas (diciembre 2011, enero 2012 y febrero 2012)”; el 25/04/2012 se dicta Laudo arbitral, expediente *****/***/12, en el que se decide: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 “Que la operadora reclamada proceda a dar de baja al reclamante en los servicios de telefonía fija y ADSL con fecha de efectos de 28 de octubre de 2011. Que la operadora reclamada proceda a anular todas las facturas correspondientes a períodos de facturación posteriores a dicha fecha, devolviendo todas las cantidades indebidamente cobradas (concretamente deI 28 de octubre hasta el 21 de noviembre de 2011 aproximadamente), a través del ingreso en su número de cuenta, por giro postal o por cualquier otro medio que acuerden las partes. Por todo lo expuesto, se ESTIMA esta reclamación. Este laudo ha sido adoptado en EQUIDAD El plazo de cumplimiento de este laudo es de 20 días, contados a partir de la notificación de éste. Notifíquese a las partes el presente laudo, haciéndole saber que tiene carácter vinculante y ejecutivo y que es eficaz desde el día de su notificación. Contra el mismo, cabe acción de anulación ante la sala de lo Civil y de lo Penal del Tribunal Superior de Justica de Galicia en el plazo de dos meses contados a partir de su notificación, de conformidad con los artículos 40 y ss.de la Ley 60/2003, de 23 de diciembre, de Arbitraje” (el subrayado es de la AEPD). Consta que el citado laudo fue notificado a VODAFONE el 24 de mayo de 2012 (folios 127-129 y 120-121). SEXTO. Consta carta remitida por VODAFONE al denunciante de fecha 28/05/2012 en la que indica que: “Nos dirigimos a usted en cumplimiento del Laudo Arbitral estimado a su favor, con número de expediente *****/***/E2. Deseamos comunicarle que, tal y como se establece en dicho Laudo, con fecha de 28 de mayo del presente año, se ha realizado un abono, en la cuenta bancaria donde tiene domiciliados sus pagos con Vodafone por un importe de 41,18 € (impuestos indirectos incluidos), correspondiente a la factura ***FACTURA.1 de fecha de emisión 21 de noviembre de 2011, en concepto de cuotas mensuales” (folio 165). SEPTIMO. ASNEF-EQUIFAX, en escrito de fecha 06/05/2013, ha informado que en el fichero ASNEF constan una incidencia asociada al identificador ***NIF.1 correspondiente al denunciante, informada por VODAFONE, por operación telecomunicaciones, con fechas de alta y baja 06/07/2012-01/08/2012, como consecuencia de un importe impagado de 101,69 euros. La citada incidencia fue notificada, en dos ocasiones, a la dirección (C/.................1) (La Coruña) (folios 18, 19 y 24). OCTAVO. Consta que el denunciante, en fecha 24/07/2012, ejerció el derecho de cancelación ante ASNEF-EQUIFAX, quien el 01/08/2012 le contestó que tras las comprobaciones pertinentes habían procedido a la baja cautelar de los datos informados por VODAFONE y, además, le comunicaban que sus datos habían sido consultados en los últimos seis meses por Deutche Bank. Asimismo, con fecha 01/08/2012, se dirigió a VODAFONE informándole en relación con el expediente relativo al denunciante que “ante la falta de contestación de su estimada entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos procedido a la baja cautelar del dato” (folios 26, 27 y 28). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 NOVENO. Consta requerimiento de pago remitido por EXPERIAN al denunciante, el 11/07/2012, intimándole a pagar una deuda que mantiene con VODAFONE por importe de 101,69 euros (folio 197) y la notificación de 14/08/2012, enviada por EXPERIAN, responsable del fichero BADEXCUG, al denunciante, con fecha 14/08/2012, en la que le informa de la incorporación al citado fichero de sus datos de carácter personal, por operación telecomunicaciones, con fecha de alta 12/08/2012, por un saldo impagado 101,69 euros (folio 198). DECIMO. Consta que VODAFONE ha emitido las siguientes facturas con posterioridad a la solicitud de baja: - ***FACTURA.2, de fecha 15/11/2011, por un importe de 10,30 euros (correspondiente a la cuenta nº ***CTA.1) - ***FACTURA.1, de fecha 22/11/2011, por un importe de 41,18 euros. -***FACTURA.3, de fecha 22/12/2011, por un importe de 41,18 euros -***FACTURA.4, de fecha 22/01/2012, por un importe de 41,18 euros -***FACTURA.5, de fecha 22/02/2012, por un importe de 41,18 euros (todas ellas relacionadas con la cuenta nº ***CTA.2) (folios 147 a 151, 157, 161,162) - factura ***FACTURA.5, de fecha 28/02/2012, por un importe de -123,55 euros ( rectificativa de las facturas ***FACTURA.3, de fecha 22/12/2011, ***FACTURA.4, de fecha 22/01/2012 y ***FACTURA.5, de fecha 22/02/2012) (folio 146). Con posterioridad, VODAFONE también ha emitido facturas entre el 22/03/2013 al 22/06/2013 (que no han sido aportadas por VODAFONE, a pesar de haber sido requerido para ello en periodo probatorio), como se deduce del escrito de fecha 21/12/2012, en el que VODAFONE señala que “El 28 de agosto se gestionó un abono por importe de 101,70 €, impuestos incluidos en concepto a la cuota de ADSL que se incluye en las facturas emitidas el 22 de Marzo, 22 de Mayo y 22 de Junio de 2012, el cual se aplicó para anular el importe que constaba pendiente de pago en la Cuenta Cliente Vodafone por parte del Sr. A.A.A.”. También se señala que el 29/05/2012 “se tramito un importe a favor de 41,18 €, impuestos incluidos, en concepto a la cuota de ADSL que se incluye en la factura emitida el 22 de Noviembre de 2011, siendo a fecha 30 de mayo de 2012 ingresado en la cuenta bancaria donde el Sr. A.A.A. tenía domiciliados los pagos con esta entidad”. (folios 80, 81 y 190) Y factura ***FACTURA.6, de fecha 15/03/2013, por un importe de 0,00 euros (correspondiente a la cuenta nº ***CTA.1, vinculada a la línea ***TEL.2, que según los registros informáticos de VODAFONE había sido dada de baja el 15/02/2013) (folio 204). UNDECIMO. Consta que el denunciante presentó nueva solicitud de arbitraje con fecha 07/08/2012, contra VODAFONE que fue admitida a trámite por la JJAA de Consumo de Galicia, solicitando “la devolución de cobro indebido del recibo de marzo de 2012, ratificar la baja desde octubre de 2011 y retirar inmediatamente cualquier intento de incluirme en listado de morosos”. La JJAA de Consumo de Galicia dictó el 21/01/2013 Laudo arbitral, expediente ********/2744/12, en el que se decide: “Dar C/ Jorge Juan, 6 28001 – Madrid por terminadas las actuaciones arbitrales, con respecto a la www.agpd.es sedeagpd.gob.es 8/20 disconformidad de la parte reclamante con los cargos por incumplimiento de compromiso de permanencia, de acuerdo con el artículo 48.2 del Real Decreto 231/2008, de 15 de febrero, por haber llegado ambas partes a un acuerdo consistente en que la operadora reclamada proceda a realizar un abono por importe de 101,69 las facturas emitidas de fecha 30 de marzo a 29 de junio de 2012 en concepto de cuota mensual GSM de la factura emitida el 30 de noviembre de 2011. Declarar que la parte reclamante no tiene deuda alguna con la operadora reclamada. Que la operadora reclamada proceda a la cancelación de los datos del reclamante de cualquier empresa de gestión de cobros o registro de insolvencia patrimonial en el que pudieran haber sio incluidos. Por todo elllo expuesto se ESTIMA esta reclamación” (el subrayado es de la AEPD) (folios 185 a 187) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Se imputa a VODAFONE en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. VODAFONE no ha acreditado en el procedimiento que cuente con el consentimiento del denunciante para el tratamiento de sus datos con posterioridad a la solicitud de baja del contrato de la línea ADSL y llamadas vinculada al número ***TEL.3, solicitud acreditada por el denunciante (folios 170 y 171), confirmada por la entidad denunciada mediante escrito de fecha 16/07/2013, materializado tanto en la emisión de facturas (hecho probado decimo), requerimientos de pago (folio 197), en el tratamiento e información de los datos de carácter personal a ficheros de solvencia patrimonial y de crédito ASNEF y BADEXCUG (folios 24 y 198), como en la facturación posterior incluso al laudo dictado en fecha 25/04/2012 de la JJAA de Consumo de Galicia, reconocido por la entidad en escrito de fecha 21/12/2012 (folio 81) ó en factura ***FACTURA.6 (folio 204). Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a VODAFONE tratar los datos del denunciante sin su consentimiento. III En el presente caso, tanto de la documentación aportada al expediente, del relato de los hechos, como de los hechos considerados probados, se deriva una actuación negligente de la entidad denunciada. Consta acreditado que el denunciante solicitó la baja en el servicio ADSL con numero de telefonía fija asociado, con fecha 24/10/2011. Sin embargo, VODAFONE con posterioridad a la citada fecha continuó girando facturas al denunciante ( ***FACTURA.1, de fecha 22/11/2011, ***FACTURA.3, de fecha 22/12/2011, ***FACTURA.4, de fecha 22/01/2012, ***FACTURA.5, de fecha 22/02/2012), lo que motivo que el denunciante se dirigiera, en un principio, a la propia operadora poniendo en su conocimiento que, solicitada la baja como usuario, le habían facturado y cargado en cuenta los recibos de noviembre y diciembre del 2011 por lo que solicitaba su devolución por cobro indebido y, ante el silencio de VODAFONE, se dirigió a la JJAA de Consumo de Galicia el 22/01/2012 solicitando: se procediera a la baja solicitada en escrito de 24/11/2010, se anularan las facturas emitidas con posterioridad a aquella fecha y se le reintegrara cualquier cantidad que hubiera sido cobrada indebidamente. VODAFONE, en escrito de fecha 27/02/2012, informó que se efectuaba un ingreso de 117,26 euros por la deuda generada por la facturación de diciembre de 2011, enero y febrero de 2012; pero que no atendía el reintegro de las facturas de octubre y noviembre al existir consumo. Con fecha 25/04/2012, el organismo arbitral dictó Laudo, que fue notificado a VODAFONE el 24/05/2012, en el que se decidía que la operadora procediera a dar la baja al reclamante en los servicios de telefonía fija y ADSL con fecha de efectos de 28/10/2011, que procediera a anular todas las facturas relativas a periodos de facturación posteriores a dicha fecha y reintegrara todos los importes indebidamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 cobrados. En cumplimiento del laudo, VODAFONE procedió el 28/05/2012 a efectuar la baja del servicio y realizar un abono en la cuenta del denunciante por un importe de 41,18 €, correspondiente a la factura ***FACTURA.1 de 22/11/2011(folios 165). Sin embargo, no es cierto que VODAFONE procediera cuando recibió el laudo a efectuar un ingreso de 101,70 euros como manifiesta en escrito de fecha 16/07/2013 (folio 96, párrafo 4º, final), sino todo lo contrario, puesto que tal cantidad fue informada por la operadora a ASNEF-EQUIFAX, como responsable del fichero ASNEF, instando la inclusión el 06/07/2012 en el fichero de los datos personales del denunciante motivada por una deuda que ascendía a la citada cantidad, incumpliendo lo señalado en el laudo que establecía se procediera a anular todas las facturas relativas a periodos de facturación posteriores al 28/10/2011 y se reintegraran todos los importes indebidamente cobrados. A mayor abundamiento, el denunciante se dirigió el 24/07/2012, ejerciendo el derecho de cancelación de sus datos ante ASNEF-EQUIFAX, basándose en el laudo dictado, respondiéndole el responsable que tras las comprobaciones pertinentes habían procedido a la baja cautelar de los datos informados por VODAFONE, el 01/08/2012, ante la falta de contestación de la entidad. Sin embargo, la entidad denunciada instó nuevamente la inclusión de los datos del denunciante en ficheros de solvencia, si bien en este caso en el fichero BADEXCUG, con fecha de alta 12/08/2012, como lo acredita el requerimiento de pago de 11/07/2012 y la notificación de la inclusión de 14/08/2012 remitidas por el responsable del fichero, EXPERIAN, al denunciante. Ante tal cumulo de despropósitos, el denunciante se vio obligado a acudir nuevamente ante la JJAA de Consumo de Galicia, quien dió traslado a VODAFONE del escrito presentado por el denunciante, respondiendo en escrito de 27/08/2012 que habían procedido a abonar un importe de 101,69 euros, correspondiente al cobro de las facturas de marzo y junio de 2012, en concepto de cuota mensual y cargo por devolución de recibo, quedando de ese modo sin cantidades pendiente de pago (folio 186, párrafos 5º). Con fecha 21/01/2013 el órgano arbitral dicto un nuevo laudo arbitral, decidiéndose “Dar por terminadas las actuaciones arbitrales”, dos años y casi tres meses después de la solicitud de baja del servicio banda ancha asociado el numero ***TEL.3 y llamadas fijas. Todo este comportamiento, supone por parte de VODAFONE una vulneración del principio de consentimiento, recogido en el artículo 6.1 de la LOPD, del que debe responder. IV Se imputa a VODAFONE la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” El artículo 38.1 del Reglamento de desarrollo de la LOPD, aprobado por R.D. 1720/2007, de 21 de diciembre, señala que: “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan en todo momento a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Es objeto de estudio en el presente procedimiento, y por tanto cuestión a dilucidar en el mismo, si la inclusión de los datos del denunciante en los ficheros de morosidad se realizó conforme determina la normativa de protección de datos. En el presente caso, ha quedado acreditado que los datos personales del denunciante fueron informados por VODAFONE para su inclusión en el fichero ASNEF, con fechas de alta y baja 06/07/2012-01/08/2012 y, en el fichero BADEXCUG con fecha de alta 12/08/2012, como consecuencia de un importe impagado que ascendía a 101,69 euros; deuda que no era cierta, ni respondía a la situación del denunciante, puesto que no mantenía deuda alguna con la entidad en virtud del laudo dictado el 24/04/2012, que señalaba que VODAFONE debía proceder a dar la baja en los servicios de telefonía fija y ADSL con fecha de efectos 28/10/2011, anular todas las facturas con posterioridad a dicha fecha y devolver todas las cantidades indebidamente cobradas. VODAFONE como acreedor e informante de dichos datos a los ficheros de solvencia, debió extremar su diligencia y responsabilidad en el momento de facilitar una información de esa naturaleza, tal y como exige el artículo 4 de la LOPD; es decir, VODAFONE debió haberse asegurado que los datos de carácter personal eran exactos y respondían con veracidad a la situación del afectado, antes de instar la inclusión en los ficheros de obligaciones dinerarias, dada las repercusiones personales que conlleva estar incluido y permanecer en ese tipo de ficheros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 Todos estos hechos son contrarios al principio de calidad de datos y, por tanto, contravienen lo dispuesto en el artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma Ley, tipificada en el artículo 43.3.
  6. c)de la citada Ley Orgánica. V Consta acreditado en esta Agencia que las entidades asociadas a los ficheros ASNEF y BADEXCUG suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes a través de cinta magnética para que tales actualizaciones queden registradas en el mismo, siendo las entidades informantes quienes deciden sobre el alta o la cancelación de los datos de sus clientes en el fichero de morosidad. Los datos personales de los denunciantes son datos que figuran en los propios ficheros automatizados de la entidad informante, en este caso VODAFONE. Adicionalmente son comunicados al responsable del fichero de solvencia a través de cintas magnéticas que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. Es criterio reiteradamente mantenido por la Audiencia Nacional que el principio de calidad de datos, proclamado por el artículo 4.3 de la LOPD, es de exigencia a quien comunica datos de carácter personal a un fichero de esta naturaleza. La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43.1), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este último precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al que lo es del tratamiento de datos personales. Conforme a dicha definición del artículo 3.
  7. d)el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El artículo 2.
  8. d)de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, define al responsable del tratamiento como “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales” y añade que “en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario”. En cuanto al concepto de tratamiento de datos, éste se delimita en el artículo 3.
  9. c)de la LOPD, que incluye en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que, a tenor de los artículos transcritos, <<se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales, por lo que tal figura del responsable se conecta en la Ley con el poder C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 de decisión sobre la finalidad, contenido y uso del tratamiento. Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específico. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento.>> El Tribunal Supremo, en su Sentencia de 26/01/2005, confirma el criterio anteriormente expuesto al señalar que “junto al responsable del fichero –que era en la Ley 5/1992- quien estaba sujeto al régimen sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas veces- el responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
  10. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos.” En este mismo sentido se pronuncia la Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su Sentencia de 18/01/2006, al señalar que <<el tipo sancionador previsto en el artículo 44.3.
  11. d)de la Ley Orgánica 15/1999, castiga “tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidas en la presente Ley”, como el previsto en el artículo 4.3 de la citada Ley que impone la veracidad y exactitud de los datos de carácter personal. Acorde con este principio se establecen una serie de obligaciones, tendentes a alcanzar esa veracidad y exactitud de los datos de carácter personal que se encuentran en el fichero, y cuyo incumplimiento es digno de reproche y configura una infracción administrativa por la que se impone la sanción que se recurre. Dicho de otra forma, el medio de conseguir que los principios en que se inspira esta regulación sobre la protección de datos –al amparo del artículo 18.4, más allá del contenido del artículo 18.1 de la CE, como un derecho fundamental autónomo tras la STC 292/2000 –sean C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 efectivos es mediante la acción sancionadora, es decir, tipificando las conductas que impidan el cumplimiento de los expresados principios. El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a estos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
  12. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992. y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
  13. d)y g), respectivamente, de la Ley Orgánica 15/1999.>> Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por VODAFONE puede subsumirse o no en tales definiciones legales. VODAFONE incorporó a sus ficheros los datos del denunciante. En consecuencia, trató automatizadamente los datos relativos a una supuesta deuda del denunciante en sus propios ficheros, de los que es responsable conforme el artículo 3.
  14. d)citado. Adicionalmente, decidió sobre la finalidad, contenido y uso del tratamiento y resolvió su incorporación a los ficheros ASNEF y BADEXCUG. Dicha comunicación se realizó, mediante un procedimiento que implica un tratamiento automatizado de datos cuyo destino es, también, ser tratado automatizadamente por el responsable del fichero de solvencia. Conforme a lo expuesto, VODAFONE ha decidido, sobre la finalidad del tratamiento (la calificación del denunciante como deudor), el contenido de la información (los datos relativos a la deuda y al deudor asociados al denunciante), y el uso del tratamiento (la incorporación de los datos del denunciante a un fichero común de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo), por lo que es responsable de que la información suministrada no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Además, todo lo anterior lo ha realizado sin que los datos comunicado y mantenidos en el fichero fueran exactos, pues la deuda informada y asociada a la denunciante no le correspondía, pues esta no era deudora al quedar acreditado en virtud del Laudo dictado por la JJAA de Consumo de Galicia que no era deudora de la entidad. Ello supone una clara vulneración del principio de calidad de datos, de la que debe responder VODAFONE por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en los ficheros de solvencia patrimonial y crédito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que VODAFONE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD en los términos del artículo 43, en relación con la definición del articulo 3.
  15. d)y
  16. c)de la citada Ley Orgánica. VI La representación de VODAFONE ha alegado que en todo caso resulta de aplicación el artículo 4.4 del REPEPOS, considerando que las dos infracciones, artículos 6.1 y 4.3 de la LOPD, derivan de un único hecho como es la aparente inexistencia de consentimiento, debiendo dejar sin efecto esta última, principio de calidad del dato, por derivar necesariamente de la infracción del principio de consentimiento. El artículo 4.4 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, que dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” No obstante, no procede la aplicación del precepto transcrito, dado que del tratamiento de datos sin consentimiento no se deriva, necesariamente, la vulneración del principio de calidad de los datos tratados, dado que VODAFONE no se limitó al tratamiento de los datos del denunciante sino que, además, comunicó al fichero de solvencia patrimonial una información que no era cierta, sin asegurarse de la veracidad de la misma. Son, por tanto, dos infracciones totalmente diferentes e independientes, sin que la comisión de una de ellas implique, necesariamente, la comisión de la otra. VII De acuerdo con las previsiones de la LOPD, según redacción dada por la Ley 21/2011, el artículo 44.3.
  17. b)tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. A su vez, el artículo 44.3.
  18. c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. En el supuesto que nos ocupa, la conducta de VODAFONE ha vulnerado el principio del consentimiento, artículo 6.1, como del principio de calidad de los datos artículo 4.3 en relación con el 29.4, de la LOPD; infracciones que, tras la reforma introducida por la Ley 21/2011, se encuentran tipificadas, respectivamente, en los artículos 44.3.
  19. b)y 44.3.
  20. c)de la Ley Orgánica 15/1999. VODAFONE ha incurrido en las infracciones descritas ya que ha vulnerado dichos principios, consagrados en los artículos 6.1 y 4.3 de la LOPD, cuando trato los datos del denunciante sin su consentimiento e informo a los ficheros de solvencia ASNEF y BADEXCUG los datos del denunciante asociados a una deuda que no era cierta, vencida ni exigible a la luz no solo de la baja solicitada y acreditada por el denunciante, con fecha 27/10/20011, sino también del laudo dictado que ordenaba la baja en los servicios de telefonía fija y ADSL con fecha de efectos de 28/10/2011, anular todas las facturas correspondientes a períodos de facturación posteriores a dicha fecha y la devolución de todas las cantidades indebidamente cobradas, que encuentra su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 tipificación en los artículo 44.3.c y 44.3.
  21. b)de la LOPD. VIII El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  22. a)El carácter continuado de la infracción.
  23. b)El volumen de los tratamientos efectuados.
  24. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  25. d)El volumen de negocio o actividad del infractor.
  26. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  27. f)El grado de intencionalidad.
  28. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  29. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  30. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  31. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  32. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  33. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  34. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  35. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  36. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 En el supuesto examinado, VODAFONE ha solicitado la aplicación subsidiaria del artículo 45. 5 de la LOPD, teniendo en cuenta las especiales circunstancias que se han producido en el presente caso, estableciendo una cuantía de la sanción aplicando la escala relativa a las infracciones leves y se gradué en su cuantía mínima de conformidad con las circunstancias concurrentes: no intencionalidad de su conducta, la ausencia de perjuicios para la denunciante y de beneficios para la denunciada, la existencia de procedimientos tendentes a gestionar las bajas, el breve tiempo que estuvieron los datos en los ficheros, la vinculación con realización de tratamientos de datos de carácter personal y el volumen de negocio. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados b, c),
  37. d)y
  38. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Además, se aprecia una falta de diligencia de la denunciada a la hora de tratar de subsanar las irregularidades cometidas, como lo demuestra el hecho de que a pesar de que se había solicitado la baja, se había reclamado a la JJAA de Galicia y se le había notificado el laudo en el que se señalaba que VODAFONE debía proceder a dar la baja en los servicios de telefonía fija y ADSL con fecha de efectos 28/10/2011, anular todas las facturas con posterioridad a dicha fecha y devolver todas las cantidades indebidamente cobradas, continuó tratando los datos del denunciante sin su consentimiento, emitiéndole nuevas facturas e instando la inclusión de sus datos de carácter personal a ficheros de solvencia patrimonial y de crédito ASNEF y BADEXCUG, a consecuencia de un saldo impagado por importe de 101,69 euros, deuda que no era cierta, vencida ni exigible, incumpliendo lo señalado en el laudo dictado. A mayor abundamiento, el denunciante se dirigió el 24/07/2012, ejerciendo el derecho de cancelación de sus datos ante ASNEF-EQUIFAX, basándose en resolución de la JJAA, respondiéndole el responsable del fichero, que tras las comprobaciones pertinentes habían procedido a la baja cautelar de los datos informados por VODAFONE ante la falta de contestación de la entidad. Sin embargo, la operadora, con posterioridad a la baja en el fichero ASNEF, el 01/08/2012, volvió a informar los datos personales del denunciante como consecuencia del mismo saldo impagado, si bien en el fichero BADEXCUG, con fecha de alta 12/08/2012. Por tanto, no es cierto lo que manifiesta la entidad que “los datos del Sr. A.A.A. únicamente estuvieron incluidos en el fichero de solvencia patrimonial ASNEF durante un periodo muy breve de tiempo, entre el 6 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20 julio y el 1 de agosto” puesto que posteriormente volvieron a ser incluidos en BADEXCUG. Como consecuencia de todo ello, el denunciante se vio obligado a acudir nuevamente ante la JJAA de Consumo de Galicia, alegando VODAFONE en escrito de 27/08/2012 que habían procedido a abonar un importe de 101,69 euros, correspondiente al cobro de las facturas de marzo y junio de 2012, en concepto de cuota mensual y cargo por devolución de recibo, quedando de ese modo sin cantidad pendiente de pago (folio 186), dictándose el 21/01/2013 nuevo laudo arbitral, decidiéndose “Dar por terminadas las actuaciones arbitrales”, dos años y casi tres meses después de la solicitud de la baja. Por lo que atañe a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, que han sido alegados por la entidad denunciada, no pueden aceptarse. En cuanto a la circunstancia prevista en el apartado
  39. f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la citada operadora hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a titulo de simple negligencia. Por lo que se refiere a que la entidad tiene implantados procedimientos para gestionar las bajas, hay que indicar que puede que dicha implementación se hallara habilitada pero su aplicación no ha evitado, en el presente caso, que los hechos que traen causa el presente procedimiento se hayan producido. En cuanto a la circunstancia prevista en el apartado
  40. e)del artículo 45.4 basta con una remisión a la denuncia y la relación de hechos probados para verificar su existencia. Además, la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señala que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. Alega igualmente la representación de VODAFONE la circunstancia prevista en la letra g), falta de reincidencia en sanciones de la misma naturaleza; la Audiencia Nacional en numerosas sentencias, entre otras, la de fecha 10/05/2013, señala que “Así las cosas, el art. 45.4 de la LOPD contempla en la actualidad circunstancias que podríamos denominar agravantes, y no solo atenuantes de la responsabilidad,… Si ello lo relacionamos con que para aminorar la sanción, a tenor del apartado 5 del art. 45 de la LOPD deben concurrir dos o más circunstancias del apartado 4 del mismo art. 45, y además de manera "significativa", circunstancias significativas que no se dan en el presente supuesto y que además, en el mismo apartado 4, se prevé como circunstancia agravante la reincidencia, y es un hecho notorio la reiteración de conductas infractoras en materia de protección de datos por parte de la sociedad recurrente. A ello debemos de añadir, que la parte actora no actuó con la debida diligencia ya que de conformidad con la documentación que figura en el expediente, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 denunciante se puso en contacto en varias ocasiones con la parte demandante para exponer su disconformidad con las penalizaciones aplicadas…” Por otra parte, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las agravantes previstas en el artículo 45.4, apartados
  41. a)El carácter continuado de la infracción, porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a VODAFONE, tiene naturaleza de infracción continuada o permanente (STAN de 24 de junio de 2010, Rec. 539/2007),
  42. c)“la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros y el apartado
  43. d)“volumen de negocio” toda vez que se trata de una de las mayores operadoras de telefonía del país, por cuota de mercado. Además, como señala la Audiencia Nacional en sentencia de 10/05/2013, anteriormente mencionada “lo cierto es que consta en autos que si ha habido perjuicios para el denunciante, como es el hecho de tener que interponer una demanda judicial, y el elevado volumen de tratamientos efectuados por tal entidad actora opera como circunstancia agravante (y no como atenuante), dado el mayor rigor que, para dichas empresas que manejan un elevado volumen de datos, se exige por la doctrina de esta Sala”. Por tanto, en el presente caso, valorados los criterios de graduación de las sanciones, tanto agravantes como atenuantes establecidos en el artículo 45.4 de la LOPD, se propone la imposición de dos multas de 50.000 € cada una, por la infracción del artículo 4.3 y 6.1, ambos de la LOPD, de las que VODAFONE debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  44. b)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad VODAFONE ESPAÑA, S.A., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  45. c)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A. y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.