← España

PS-00372-2015

1/12 Procedimiento Nº PS/00372/2015 RESOLUCIÓN: R/02726/2015 En el procedimiento sancionador PS/00372/2015, instruido por la Agencia Española de Protección de Datos a la entidad THE PHONE HOUSE SPAIN, S.L.U., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 23/07/2014 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), el que declara lo siguiente: Que sin haber tenido relación contractual alguna con la empresa PHONE HOUSE, han cargo en su cuenta bancaria, tres recibos correspondientes a un contrato que desconoce. Tras solicitar explicaciones a PHONE HOUSE sobre dicho cargos y sobre el origen de sus datos bancarios, le indican que desconocen quien les ha proporcionado la información relativa a su cuenta bancaria. Ante su insistencia de conocer el origen de esta situación, únicamente le informaron que habría sido el titular del contrato quien proporcionó dicha información, situación que afirma no entender ya que dicha persona desconoce sus datos bancarios. Añade a pesar de que ha seguido insistiendo al objeto de obtener una respuesta convincente, no ha tenido contestación alguna. En la actualidad está recibiendo mensajes de publicidad de esa empresa y mantiene por ello una seria preocupación por el uso que PHONE HOUSE hará de sus datos bancarios sin su permiso. Junto a su denuncia aporta la siguiente documentación: • Copia de su NIF. • Copia de 3 recibos emitidos por BANKINTER en el que figuran un cargo de 25 € en concepto de seguro (póliza ***PÓLIZA.1) con fecha de valor de 18/06/2013, 20/09/2013 y 16/12/2013. Como entidad emisora figura THE PHONE HOUSE SPAIN, S.L.U. (en lo sucesivo THE PHONE), NIF B******* y como titular del recibo B.B.B. (en lo sucesivo CRP). El cargo se realiza en la cuenta ***CUENTA.1 de la que figura como titular el denunciante. • Copia de diversos correos electrónicos intercambiados entre el denunciante y THE PHONE entre el 6/2/2014 y el 24/2/2014 en los que el denunciante solicita explicaciones acerca de los cargos efectuados en su cuenta bancaria y la compañía se limita a informar que han sido debido a una incidencia informática y que le devolverán el dinero. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad MAS MOVIL TELECOM 3.0 S.A.U. y a THE PHONE, - En fecha de 03/02/2015 se solicita información a MAS MOVIL TELECOM 3.0 S.A.U. (en lo sucesivo MAS MOVIL), quien remite escrito de respuesta recibido en fecha de 11/02/2015 en el que comunican que son ajenos a los hechos comunicados ya que si C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 bien MAS MOVIL absorbió en su día a la sociedad THE PHONE HOUSE MOVIL, S.L. dicha empresa es distinta de THE PHONE entidad emisora de los recibos objeto de la denuncia. En fecha de 16/02/2015 se solicita información a THE PHONE quien remite escrito de respuesta recibido en fecha de 04/03/2015 en el que comunican que no disponen de ningún dato del denunciante ya que dicha persona no es ni ha sido cliente de la entidad. No obstante, añaden que si es cliente de una póliza de seguros CRP en la que figura como domicilio bancario de pago la cuenta de IBERCAJA ***CUENTA.2, cuenta a la que siempre han girados los recibos desconociendo los motivos por los cuales algunos de ellos se han cargado en la cuenta de BANKINTER ***CUENTA.1 de la que es titular el denunciante. Finalmente añade la entidad que, en su opinión, debe haberse dado instrucciones a IBERCAJA para el desvío de recibos desde esa entidad a BANKINTER, sugiriendo que se solicite información al respecto a las entidades financieras mencionadas. En fecha de 10/04/2015 se solicita información a BANKINTER quien remite escrito de respuesta recibido en fecha de 28/04/2015 en el que comunican que los recibos a nombre de CRP cargados en la cuenta de la entidad ***CUENTA.1 fueron presentados electrónicamente por la entidad DEUTSCHE BANK figurando en la transacción como entidad ordenante el NIF B******* que corresponde a THE PHONE. En fecha de 10/04/2015 se solicita información a CAJA DE AHORROS Y MONTE DE PIEDAD DE ZARAGOZA, ARAGON Y LA RIOJA (IBERCAJA), remitiendo escrito de respuesta la sociedad IBERCAJA BANCO. S.A.U. recibido en fecha de 12/05/2014 en el que comunican que, consultados sus ficheros, no les consta que THE PHONE haya presentado al cobro los recibos contra la cuenta ***CUENTA.2 de IBERCAJA. En fecha de 04/05/2015 se solicita información a DEUTSCHE BANK quien remite escrito de respuesta recibido en fecha de 12/06/2015 en el que comunican que únicamente les consta haber presentado al cobro dos de los tres recibos a nombre de CRP cargados en la cuenta la cuenta de BANKINTER ***CUENTA.1. Los dos recibos son aquellos en los que aparece como Entidad Presentadora el código 0019 de fechas 18/06/2013 y 20/09/2013, manifestando que el tercer recibo de fecha 16/12/2013 fue presentado por la entidad IPAYESMMXXX. Añade DEUTSCHE BANK que en los dos recibos tramitados por dicha entidad a instancia de THE PHONE la entidad receptora del recibo era BANKINTER en la cuenta ***CUENTA.1 siendo la entidad informante THE PHONE. Del análisis de la información aportada por todas las entidades consultadas se desprende que el problema reside en la entidad originaria THE PHONE ya que tres recibos pasados al cobro por dicha entidad utilizando dos entidades bancarias diferentes: DEUTSCHE BANK e IPAYESMMXXX, han resultado pasados al cobro erróneamente a la cuenta de BANKINTER ***CUENTA.1 de la que es titular el denunciante cuando deberían haber ido a la cuenta de IBERCAJA ***CUENTA.2 de la que es titular CRP, titular a su vez del servicio contratado con THE PHONE. TERCERO: Con fecha 26/06/2015 el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a THE PHONE por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40001euros a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 CUARTO: Notificado el acuerdo de inicio, THE PHONE mediante escrito de fecha 21/07/2015 formuló las siguientes alegaciones: que el denunciante ni es ni ha sido cliente de la entidad; que la póliza de seguro había sido contratada por una tercera persona; que la prima de seguro fue cargada en el número de cuenta proporcionado por la titular de la póliza y que en opinión de la representación de la entidad la tercera persona era cotitular o persona autorizada de dicha cuenta; que la entidad viendo que el denunciante era desconocedor de lo que había hecho la titular de la póliza realizó devolución bancaria de los recibos; que la entidad ha actuado siempre de conformidad con lo señalado en la LOPD. QUINTO: Con fecha 23/07/2015 se inició el período de práctica de pruebas, acordándose entre otras las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/07617/2014. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00372/2015 presentadas por THE PHONE. Solicitar a THE PHONE copia de las condiciones particulares de la póliza nº ***PÓLIZA.1. Solicitar al denunciante documentación que obre en su poder relacionada con procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, si lo estima oportuno, cualquier otra manifestación en relación con los hechos denunciados. Solicitar a BANKINER titular/es de la cuenta nº ***CUENTA.1, así como personas autorizadas. En fechas 31/07/2015 y 12/08/2015 BANKINTER y THE PHONE dieron respuesta a las pruebas practicadas cuyo contenido obra en el expediente. SEXTO: En fecha 25/09/2015 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la AEPD se sancionadora THE PHONE con 20.000 euros (veinte mil euros), por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  2. b)de la misma norma. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de THE PHONE mediante escrito de 20/10/2015 ha alegado que se reitera y se ratifica en el escrito de alegaciones al acuerdo de inicio, que su actuación fue diligente en todo momento y que no se ha producido infracción del artículo 6.1 de la LOPD. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 PRIMERO. En fecha 23/07/2014 tuvo entrada en la AEPD escrito del afectado en el que denuncia a THE PHONE manifestando que sin tener ningún tipo de relación contractual con la citada empresa le han cargado en su cuenta bancaria tres recibos correspondientes a un contrato de seguro que no le corresponde, siendo informado por ésta de que desconoce quién puede haberle proporcionado su número de cuenta (folio 1 y 2). SEGUNDO. El denunciante ha aportado copia de su DNI nº ***DNI.1, con domicilio en (C/...........1) (Cantabria), que coincide con el señalado en el escrito de denuncia (folio 4). TERCERO. El denunciante ha aportado copia de 3 recibos Adeudo por domiciliaciones, de fechas 18/06/2013, 20/09/2013 y 16/12/2013, emitidos por BANKINTER, contra la cuenta titularidad del denunciante, figurando como entidad ordenante THE PHONE, titular del recibo CRP, en concepto de Serv. Seguro adquirido en THE PHONE con efecto 27/06/2013 a 26/09/2013, 27/09/2013 a 26/12/2013 y 27/12/2013 a 16/03/2014, siendo el importe de 25,00 euros cada uno (folios 5, 6 y 7). CUARTO. Constan las copias de los correos electrónicos cruzados por el denunciante y THE PHONE, Asunto: Recibos cobrados no titular, 06/02/2014: (el denunciante) “El pasado mes de diciembre recibí un cargo de Vds., en mi cuenta bancaria, correspondiente a un titular del recibo que desconozco. En esas mismas fechas realice la devolución del mismo sin más, pero mi sorpresa es que al revisar extractos de mi cuenta bancaria durante el año 2013, me aparecen dos cargos en las fechas de Junio y Septiembre, por el mismo concepto y mismo titular. Estos cargos no he podido devolverlos al no percatarme de que eran incorrectos en su momento. Quisiera que me indicaran de donde procede el dato de mi cuenta bancaria que tienen en su poder, cuando yo no he sido cliente suyo en ningún momento, ni el titular del recibo tiene relación conmigo. (…) 11/02/2014: (THE PHONE) “Estimado cliente, En respuesta a su correo electrónico le informamos que tras consultar con el departamento de Seguros, y hacer las comprobaciones oportunas, este nos informa que por una incidencia informática se han pasado por error al cobro estos recibos por su número de cuenta, hemos solicitado el reembolso de los dos recibos cobrados (50 €) los cuales recibirá por transferencia bancaria, en este mismo número de cuenta que nos adjunta, en un plazo aproximado de 15 días” (el subrayado es de la AEPD). (…) 13/02/2014: (el denunciante) “Recibida su contestación, quedo pendiente del ingreso indicado, no obstante quiere indicarles que aunque se dirigen a mi como cliente, en ningún momento he mantenido con Vds., ninguna relación contractual, por este motivo quiere que me indiquen quien les ha proporcionado mi número de cuenta bancaria. (…) 24/02/2014: (el denunciante) “Hace unos días se pusieron en contacto telefónicamente conmigo, para indicarme cual era el motivo por que el que Vds., tienen los datos de mi cuenta bancaria. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 La explicación proporcionada, se redujo a informarme que el dato de mi cuenta bancaria había sido proporcionada por su clienta CRP. Por este motivo y no estando conforme con la explicación les indicó los siguientes puntos: 1. Los cargos recibidos corresponde a la contratación de un seguro de su cliente CRP. Les agradecería que comprueben los datos del contrato que suscribió su clienta y podrán comprobar que el dato aportado como cuenta bancaria, no corresponde a mi cuenta. En ningún momento su clienta, pudo a posteriori cambiar a mis datos bancarios, ya que desconoce por completo los mismos. 2. En estos momentos dispones Vds., en sus archivos informáticos, mis datos bancarios que yo no he proporcionado, sin saber en que momento y que tipo de uso puedan dar a esta información. (…) (folios 8 a 10). QUINTO. THE PHONE ha aportado copia de las Condiciones Particulares de la póliza nº ***PÓLIZA.2 de seguro terminal móvil LG Optimus L7 P700 Blanco Terminal Sin; de 26/03/2013, método de pago trimestral autorrenovable; como tomador figura CRP; como cuenta bancaria figura el número ***0330 (folio 31). THE PHONE en escrito de 21/07/2015 ha manifestado que “La póliza de seguro fue contratada por CRP en fecha 26 de marzo de 2013, figurando en ella la cuenta ***0330 que se corresponde con la cuenta nº ***CUENTA.2 de la entidad Ibercaja” donde fue cargada la primera prima del seguro y que la siguiente fue cargada en la cuenta del denunciante (folios 108). SEXTO. THE PHONE en escritos de 04/03/2015 y 21/07/2015 ha manifestado que “el denunciante no es ni ha sido cliente de THE PHONE” (folios 29 y 108). SEPTIMO. BANKINTER en escrito de fecha 31/7/2015 ha manifestado “Que tal y como consta en nuestra base de datos la cuenta corriente nº ***CUENTA.1 corresponde a el denunciante con Documento Nacional de Identidad Nº ***DNI.1, sin que en la mencionada cuenta tenga ninguna persona autorizada”. Aportan extracto de la cuenta en la que aparecen los intervinientes de la misma, figurando únicamente el denunciante (folios 125 y 140). OCTAVO. THE PHONE no ha acreditado el consentimiento inequívoco del denunciante para el tratamiento de sus datos, ni habilitación alguna que permita tratar los datos del mismo sin su consentimiento. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Se imputa a THE PHONE en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negociad entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. THE PHONE no ha acreditado en el procedimiento que cuente con el consentimiento inequívoco del denunciante para el tratamiento de sus datos de carácter personal, vinculando la domiciliación de tres recibos trimestrales de la póliza nº ***PÓLIZA.2 relativa a un terminal LG Optimus L7 P700 Blanco, por importes de 25,00 euros cada uno a la cuenta bancaria de su titularidad nº ***CUENTA.1 abierta en BANKINTER. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a BANKIA tratar los datos del denunciante sin su consentimiento. III La representación de THE PHONE ha alegado que en su opinión “lo que ha sucedido es que la Sra. A.A.A. era cotitular o persona autorizada de la cuenta” a la que se giraron los recibos del seguro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 Sin embargo, tal alegato no puede ser admitido a la luz de los hechos considerados probados y de las propias manifestaciones de la denunciada que en escritos en escritos de 04/03/2015 y 21/07/2015 ha manifestado que “el denunciante no es ni ha sido cliente de THE PHONE”. También, en correo electrónico remitido por THE PHONE al denunciante en fecha 11/02/2014, se señala que “…tras consultar con el departamento de Seguros, y hacer las comprobaciones oportunas, éste nos informa que por una incidencia informática se han pasado por error al cobro estos recibos por su número de cuenta,…”, lo que demuestra el nulo rigor y la contradicción de lo manifestado por THE PHONE en el primer párrafo, sin que hay presentado prueba alguna. Además, la entidad bancaria donde se encuentra abierta la cuenta titularidad del denunciante ha informado “Que tal y como consta en nuestra base de datos la cuenta corriente nº ***CUENTA.1 corresponde al denunciante…, sin que en la mencionada cuenta tenga ninguna persona autorizada”, aportando extracto de la cuenta en la que aparecen los intervinientes de la misma, figurando únicamente el denunciante. Hay que señalar que la Audiencia Nacional ha señalado con reiteración en numerosas sentencias que la negativa del denunciante, en el sentido de no haber otorgado su consentimiento inequívoco a la entidad denunciada para el tratamiento de sus datos de carácter personal, traslada a ésta última la carga de probar el citado consentimiento. En este sentido se pronuncia la Sentencia de la Audiencia Nacional, de fecha 21 de diciembre de 2001, que señala: “...de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Asimismo, la Audiencia Nacional en Sentencia de 01/02/2006, señaló, en cuanto a la prueba de la existencia de un consentimiento inequívoco, lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. Por tanto, correspondía a THE PHONE, estar en condiciones de acreditar que había obtenido el consentimiento del denunciante, pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento; en definitiva, le corresponde aportar la prueba de que dicho consentimiento ha sido prestado. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, el artículo 44.3.
  4. b)tipifica como infracción grave “
  5. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. En el presente caso, THE PHONE ha incurrido en la infracción descrita, ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6.1 de la LOPD. La entidad mencionada ha tratado los datos del denunciante sin contar con su consentimiento, materializado en utilización de una cuenta bancaria de su titularidad, domiciliando tres recibos de un seguro correspondiente a un terminal móvil que pertenecía a una tercera persona contratante de dicho seguro, lo que supone una vulneración del artículo 6.1 de la LOPD, conducta que encuentra su tipificación en este artículo 44.3.
  6. b)de la citada Ley Orgánica. V Alega la representación de THE PHONE que no concurre culpabilidad alguna en su actuación de la entidad y que ha actuado en todo momento de buena fe, debiendo ser respetado el principio de proporcionalidad en la imposición de la sanción. Hay que recordarle a la representación de la entidad denunciada que el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común dispone que “(...) sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias del 26/04/90, 19/12/91 y 04/07/99, entre otras) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (Sentencia del 23/01/98 entre otras), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22/04/91) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29/06/01, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 05/07/98 y 02/03/99) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 05/07/98 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/97, 11/03/98, 02/03/99 y 17/09/99. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos deben ser especialmente diligentes y cuidadosos a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14/02/02, 20/09/02, 13/04/05 y 18/05/05. Pues bien, en el supuesto examinado THE PHONE no actuó con la diligencia que le era exigible pues trató los datos del denunciante sin su consentimiento vinculando la cuenta bancaria de su titularidad a una póliza de seguro de terminal móvil que no le correspondía ya que había sido contratada por un tercero, domiciliando en la citada cuenta 3 recibos trimestrales de la prima por un importe total de 75 euros. Esta falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a THE PHONE, sin que sea necesario que exista dolo en su actuación. Por último, en cuanto a la buena fe, la Audiencia Nacional en su Sentencia de 24/05/02 ha señalado que “la buena fe en el actuar, para justificar la ausencia de culpa – como se hace en el presente caso-; basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea tradicional de reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición de profesional”. VI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el supuesto examinado, la representación de THE PHONE ha solicitado la declaración de no existencia de responsabilidad de su mandante y subsidiariamente la aplicación del artiguclo9 45.5 de la LOPD. Sin embargo, en relación con la primera cuestión alegada, a la luz de los hechos considerados probados a lo largo del procedimiento no puede ser admitida. Hay que señalar que el apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el caso examinado, de las actuaciones practicadas ha quedado acreditado que THE PHONE vulneró el artículo 6.1 de la LOPD, al tratar los datos del denunciante sin su consentimiento inequívoco sin que existiera relación contractual con la citada entidad, vinculando tres recibos trimestrales de la póliza nº ***PÓLIZA.2 contratada por una tercera persona relativa a un terminal LG Optimus L7 P700 Blanco por importes de 25,00 euros cada uno, a la cuenta bancaria de su titularidad nº ***CUENTA.1 abierta en BANKINTER; tratamiento para el que THE PHONE no estaba habilitada pues ni tenía el consentimiento del denunciante ni concurría ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a THE PHONE tratar los datos del denunciante sin su consentimiento, por lo que su actuación ha de ser merecedora de sanción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia del supuesto contemplado en el artículo 45.5,
  22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente, puesto que si bien el último recibo cargado fue devuelto por el afectado, los dos primeros al no poderlos devolver fueron reclamados vía e-mail siendo reembolsados por la entidad actuando con razonable diligencia y, a su vez le informaba que debido a una incidencia informática se habían pasado por error al cobro en su número de cuenta, lo que permite establecer una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Por otra parte, es necesario tener en cuenta circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el apartado “
  23. c)la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeña la entidad denunciada se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado “
  24. d)Volumen de negocio o actividad del infractor”, toda vez que se trata de una gran compañía de telefonía. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 20.000 €, por vulneración del artículo 6.1 de la LOPD, de la que THE PHONE debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad THE PHONE HOUSE SPAIN, S.L.U., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  25. b)de la LOPD, una multa de 20.000 € (veinte mil euros), de conformidad con lo establecido en el artículo 45.5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a THE PHONE HOUSE SPAIN, S.L.U., y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.