PS-00403-2016

(1004), ésta le informó que el DNI que figuraba en sus sistemas no se correspondía con su identidad (nombre y apellidos).  Con fecha 16/07/2015 denunció tales hechos ante la DGP-Madrid Latina-Of. Denuncias, declarando a su vez que en los días 08/09/2006 y 25/11/2008 tenía formuladas denuncias por robo, con la sustracción de su DNI entre sus efectos personales.  Asimismo presentó con fecha 21/07/2015 reclamación por escrito ante MOVISTAR, informando de la suplantación de identidad y solicitando copia de toda la documentación contractual suscrita con sus datos.  MOVISTAR envió escrito de fecha 24/09/2015 en respuesta a su reclamación, remitido a su domicilio y dirigido a la persona que presuntamente suplantó su identidad, y en el cual informaba: “han realizado las gestiones oportunas, a fin de proceder a la cancelación de la deuda existente”.  En base a los hechos descritos, formuló con fecha 09/10/2015 reclamación ante OMIC- Oficina OAC LATINA. Junto con la denuncia aporta la siguiente documentación: - Copia del requerimiento previo de pago negociado, emitido por ISGF DPTO. LEGAL con fecha 10/07/2015. - Copia de la denuncia presentada por la reclamante ante DGP-MADRID LATINAF. DENUNCIAS con fecha 16/07/2015 (atestado nº Q.Q.Q.). - Copia del escrito de reclamación de fecha 21/07/2015 presentado por la denunciante ante MOVISTAR. - Copia del escrito de respuesta a la reclamación presentada por la denunciante (nº I.I.I.) remitido por MOVISTAR al domicilio de la misma (C/ B.B.B.) y dirigido a D. F.F.F.. - Copia de la denuncia/reclamación presentada por la denunciante ante OMIC contra MOVISTAR, con motivo de la suplantación de su identidad y violación de los datos personales. ACTUACIONES REALIZADAS 1) Con fecha 17 de febrero de 2016 se solicita a TELEFÓNICA DE ESPAÑA S.A.U (en adelante TESAU) información relativa a Dña. E.E.E. con NIF P.P.P., en relación con la línea telefónica contratada supuestamente de forma fraudulenta con la numeración: A.A.A.. 2) De la respuesta recibida con fecha 25 de mayo de 2016, se desprende lo siguiente:  En los sistemas de la compañía TESAU, el NIF P.P.P. ha figurado asociado a otro cliente, titular de la línea A.A.A.. Así los siguientes datos constan asociados a dicho identificador: Titular: F.F.F.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 o Domicilio: C/ D.D.D.). o Teléfono: A.A.A.. o C/C K.K.K., C.C.C. Se adjunta impresión de pantalla del sistema.  La línea A.A.A. fue dada de alta el 13/12/2009 y causó baja por falta de pago el 22/09/2010.  TESAU informa que consultada la unidad correspondiente, no ha sido posible la localización del contrato suscrito.  Durante el período comprendido entre diciembre de 2009 y noviembre de 2010 se emitieron once facturas, de las cuales se adjunta relación sin especificar aquellas que se encuentran pendientes de pago y/o las que pudieran figurar anuladas.  La compañía manifiesta que no existe deuda asociada al NIF P.P.P.. Como acreditación, se acompaña impresión de pantalla.  En relación a las comunicaciones y contactos mantenidos con el cliente, TESAU expone que figura una consulta realizada por la denunciante con fecha 12/11/2015. La incidencia se encontraba solucionada desde septiembre de 2015, ya que como consecuencia de la reclamación formulada en esa fecha por la misma, TELEFÓNICA DE ESPAÑA desvinculó su NIF de la deuda asociada a la línea A.A.A..  En el Sistema Unificado de Reclamaciones de la compañía figura el expediente de reclamación nº J.J.J. con fecha de recepción 01/09/2015, en el cual la denunciante no reconoce el alta de la línea A.A.A. ni la deuda total generada (279,71€). En M.M.M. se aporta impresión de pantalla del sistema SUR, relativo al mencionado expediente de reclamación.  TESAU añade que posteriormente, en octubre de 2015, la denunciante formuló reclamación ante OMIC de Madrid, pese a que la deuda estaba ya anulada desde septiembre de 2015, tal y como se le informó. La compañía no adjunta documentación al respecto.  En resumen, TESAU admite el error cometido con el NIF de la denunciante y manifiesta que fue corregido en el momento en que tuvieron conocimiento del mismo.>> TERCERO: Con fecha 21/09/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TELEFÓNICA DE ESPAÑA, S.A.U., por una presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, TDE, previa petición de copia del expediente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 administrativo –que fue entregado a su representante el 27/09/2016- y previa solicitud de una ampliación del plazo inicialmente concedido para alegar, en escrito de fecha 13/10/2016 formuló alegaciones en las que solicitó el archivo del expediente. Argumenta que no concurren los presupuestos necesarios para sancionar por vulneración de la LOPD, dado que ni existe una prueba de cargo de la conducta infractora que se le atribuye ni prueba indiciaria que pueda desvirtuar la presunción de inocencia. Explica que en sus sistemas figura el NIF de la denunciante ( P.P.P.) asociado a F.F.F.a (en adelante, R.R.R. o el tercero) -con domicilio en D.D.D., Valencia, calle G.G.G.- y a la línea A.A.A.. Que el cliente abonó seis facturas de las doce que se emitieron. Y afirma que si procedió al alta de la línea precitada, asociada al NIF de la denunciante, fue debido a “un error en la transcripción del mismo” Siguiendo con su explicación de los hechos TDE afirma que no fue hasta septiembre de 2015 cuando la denunciante contactó con ella y pudo tener noticia de la de la vinculación entre su NIF y la línea de la que era titular D. R.R.R., procediendo inmediatamente a la desvinculación de ambos datos. Partiendo de esos presupuestos fácticos TDE concluye que no ha existido por su parte infracción del artículo 6.1 de la LOPD y señala que “El dato del NIF perteneciente a la [denunciante] fue obtenido por mi representada en el momento de la contratación debido a un error de transcripción, bien es cierto que no ha sido posible la localización del contrato”. A juicio de TDE “el abono de facturas y la existencia de consumo aportan las pruebas suficientes para demostrar que mi representada entendía que los datos asociados a la línea A.A.A. se habían obtenido con consentimiento” TDE hace una relación de resoluciones dictadas por la AEPD en las que se archivan la actuaciones al haber apreciado la Agencia que existía consentimiento tácito para el alta de una línea telefónica, inferido del abono de facturas y del consumo de la línea. QUINTO: Con fecha 23/01/2017, de acuerdo con lo establecido en el artículo 17.1 del R.D. 1398/1993, se acordó la apertura del periodo de prueba y la práctica de las siguientes diligencias probatorias: 1. Dar por reproducidos a efectos de prueba la denuncia interpuesta por E.E.E. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante TDE y el Informe de actuaciones previas de Inspección; documentos que integran el expediente E/00285/2016. 2. Asimismo, se dan por reproducidas a efectos de prueba las alegaciones al acuerdo de inicio PS/00403/2016 presentadas por TDE y la documentación que a ellas acompaña. 3. Se solicitó a TDE la práctica de las siguientes pruebas: -Que informe si la denunciante es o ha sido en el pasado cliente de TDE. -Que informe cuál fue el medio a través del que se contrató el servicio para la línea A.A.A. y se aporte copia del documento contractual en el que consten cuáles fueron los datos facilitados por el contratante. -Dado que se trata de una línea de teléfono fijo, indicar cuál era el domicilio en el que se encontraba instalada la citada línea y aportar copia de las órdenes de servicio para su instalación y de los documentos que con ocasión de llevar a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 cabo ese servicio tuvo que haber firmado el titular de la línea. -Especificar cuál fue el medio de pago a través del cual el titular de la línea abonó las seis primeras facturas. En caso de que se hubiera realizado por transferencia bancaria facilitar los dígitos de la cuenta de origen; si se realizó por domiciliación bancaria, los datos de la cuenta bancaria de domiciliación; si por ventanilla bancaria, el documento de la entidad financiera en el que consten todos los datos solicitados a la persona que hizo el ingreso. -Que informe si los datos personales de la denunciante fueron incluidos en algún fichero de solvencia patrimonial asociados a la deuda que le atribuyen. 4. Se solicitó a la OMIC del Ayuntamiento de Madrid la copia completa del expediente tramitado a raíz de la reclamación presentada por la denunciante el 09/10/2015. TDE evacuó el trámite de prueba en escrito de 08/02/2017. La entidad no informó, pese a habérselo solicitado, de cuál fue el medio a través del que R.R.R., supuestamente, había contratado la línea A.A.A.. Respecto a la petición de la AEPD para que aportara copia del “documento contractual en el que consten los datos personales facilitados por el contratante”, la denunciada se limitó a manifestar: “No ha sido posible la localización del contrato”. Igualmente, a la petición que se le hizo para que aportara las órdenes de servicio de instalación de la línea fija, respondió que no ha podido localizarse el Boletín de Actuación en domicilio e indicó que el domicilio de instalación es el que figura en sus ficheros como domicilio del contratante. TDE facilita información sobre el medio utilizado por quien dice era su cliente, R.R.R., para el pago de cinco facturas. Precisa que tres de las facturas (de enero, febrero y marzo de 2010) se abonaron desde una cuenta de BANCAJA en D.D.D. y facilita parte de los dígitos de identificación de la cuenta. Otras dos (de abril y mayo de 2010) se abonaron mediante pago por ventanilla. Añade que ha averiguado que el NIF de su cliente es el O.O.O. “por lo que se puede comprobar que el error en el NIF se debió a que en lugar de 3 cuatros sólo se transcribieron dos”. SEXTO: En fecha 24/02/2017 consta recibida por TDE la propuesta de resolución del PS 403/2016, formulada en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a TELEFÓNICA DE ESPAÑA, S.A.U. con multa de 12.000 euros (doce mil euros) por la infracción del artículo 4.4 de de la LOPD, tipificada como infracción grave en el artículo 44.3.c de dicha norma, de conformidad con lo establecido en el artículo 45.5.
2. d)en relación con el artículo 45.1.>> SÉPTIMO: TDE formuló alegaciones a la propuesta en fecha 13/03/2016 en las que reitera los argumentos expuestos en las alegaciones al acuerdo de inicio y solicita el archivo del presente expediente por no concurrir los requisitos necesarios para sancionar conforme al artículo 4.4 LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 - - - En relación a los hechos aporta copia de un escrito de fecha 21/07/2015 correspondiente a la reclamación número ***NÚM.1, que se dirige a nombre y al domicilio de su cliente, D. R.R.R., y cuyo texto dice: “En relación a la reclamación de facturación que nos ha presentado le comunicamos que el número asignado a la misma es el que figura en el encabezamiento de este escrito”. TDE argumenta que el A.A.A. se inició a finales de julio, fecha en la que la denunciante “se dirigió a ISGF y a mi representada”, “culminando a primeros de septiembre”. Manifiesta que “la situación se encontraba regularizada cinco meses antes de la entrada en Telefónica de España del expediente E/000285/2016 y un año antes del inicio del presente Procedimiento Sancionador”. Como fundamentos jurídicos, además de invocar de nuevo el principio de presunción de inocencia, advierte que el plazo de diez días para proceder a la rectificación de los datos es aplicable si se tratara del ejercicio de un derecho de rectificación, lo que no ocurre en el presente caso en el que el procedimiento es una reclamación dirigida por los cauces normales como es el Servicio de Atención al Cliente. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: E.E.E., con DNI P.P.P., denuncia la suplantación de personalidad de la que ha sido víctima materializada en la contratación por TDE, asociada a su DNI, de la línea de telefonía fija A.A.A. de la que deriva una deuda que la gestora de cobros ISGF le ha requerido mediante carta enviada a su domicilio (Folios 1 y 2) SEGUNDO: Obra en el expediente copia de una carta remitida a la denunciante por ISGF en la que, como encargada de tratamiento de TDE, le reclama el pago de una deuda pendiente derivada del consumo generado por la línea A.A.A.. La carta tiene fecha de 10/07/2015. (Folio 2) TERCERO: Obra en el expediente, remitida por la OMIC de Madrid, copia del informe de transmisión del fax que la denunciante envió a ISGF en fecha 16/07/2015, a las 20:54 horas. (Folio 87) En el escrito enviado por fax, la denunciante manifiesta que tras conversación telefónica mantenida el 15/07/2015 con el 1004 para consultar la deuda pendiente que le reclaman, le comunican que en la base de datos de MOVISTAR consta su DNI asociado al nombre de un caballero cuyos datos no le han facilitado. Envía también por fax a ISGF copia de la denuncia presentada en la Policía el 16/07/2015 a las 18:41 horas y dos denuncias policiales anteriores (de 08/09/2006 y 25/11/2008) por sustracción del DNI. (Folio 88) CUARTO: Obra en el expediente la carta de MOVISTAR a la denunciante, dirigida a su dirección postal pero no a su nombre, pues aparece como destinatario R.R.R., referente a la reclamación I.I.I. que lleva fecha de 24/09/2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 En la carta se indica: “Le informo que hemos realizado las gestiones oportunas, a fin de proceder a la cancelación de la deuda existente en relación a su reclamación por suplantación de identidad en la contratación de los servicios en la línea telefónica A.A.A.. Lamentamos las molestias ocasionadas” (folios 7 y 95) QUINTO: Obra en el expediente el escrito de la reclamación que la denunciante presentó contra TDE ante la OMIC, que lleva sello de presentación en la oficina de registro de Latina el 09/10/2015 a las 10:36 horas. (Folios 8 y 84) SEXTO: Obra en el expediente la carta que TDE dirigió a la OMIC, cuyo número de referencia es ***REF.1, que tiene fecha de 12/11/2015. En el escrito TDE expone que “(…) tras examinar la reclamación de Doña E.E.E. y las circunstancias relativas a la contratación y a la actividad de la línea A.A.A., hemos considerado las alegaciones expuestas en su escrito. En consecuencia, hemos cursado las instrucciones oportunas para anular la deuda a nombre de la misma, de la línea A.A.A. y desasociar el NIF P.P.P., de la citada línea”. (Folio 96) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). II Los hechos enjuiciados fueron calificados en el Acuerdo de Inicio de este expediente sancionador como constitutivos de una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
4. b)de la citada Ley Orgánica. No obstante, en esta fase del procedimiento se considera conveniente modificar la calificación jurídica efectuada e imputar a TDE una infracción del artículo 4.4 de la Ley Orgánica 15/1999, tipificada como infracción grave en su artículo 44.3. c). Respecto a si es o no procedente cambiar en fase de propuesta la calificación jurídica de los hechos objeto de la denuncia, calificación jurídica efectuada en el Acuerdo de Inicio, y a la incidencia que tal cambio puede tener en el derecho de defensa de la entidad denunciada, conviene señalar que nada impide hacer esta modificación siempre y cuando, como ahora sucede, permanezcan invariables los hechos en los que se funda la imputación formulada. El primero de los derechos que el artículo 135 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) reconoce a favor del presunto infractor es el de que le sean notificados los términos de la acusación, que comprende la información “de los hechos que se le imputen, de las infracciones que tales hechos puedan constituir y de las sanciones que, en su caso, se les pudiera imponer…”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 El Tribunal Constitucional ha venido señalando que “el contenido esencial del derecho constitucional a ser informado de la acusación se refiere a los hechos considerados punibles que se imputan al acusado” (STC 95/1995). (El subrayado es de la AEPD). Por el contrario, y a diferencia de lo que acontece con los hechos, el TC, en Sentencia 145/1993 advierte que la comunicación al presunto infractor de la calificación jurídica y de la eventual sanción a imponer no integra el contenido esencial del derecho a ser informado de la acusación. Hasta tal punto es importante la puesta en conocimiento de los hechos constitutivos de la infracción administrativa, que el T.C. ha declarado que las exigencias del artículo 24.2 de la CE se satisfacen fundamentalmente con la sola comunicación de los hechos imputados, para poder defenderse sobre los mismos (STC 2/1987 y 190/1987). En esta línea el Tribunal Supremo, Sentencia de 3 de marzo de 2004, señala que “la finalidad primordial del acuerdo de inicio es informar sobre los hechos imputados y no sobre la calificación jurídica, de lo que se encargará la propuesta de resolución”. (El subrayado es de la AEPD). III El artículo 4 de la LOPD, bajo la rúbrica “calidad de datos”, dispone en sus apartados 3 y 4: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. “4. Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. El artículo 44.3.
5. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Las infracciones graves pueden ser sancionadas con multa de 40.001 € a 300.000 €, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. IV La documentación que obra en el expediente acredita que TDE incorporó a sus ficheros y trató el DNI de la denunciante ( P.P.P.) asociado a la línea de teléfono A.A.A.. Es éste el único dato personal de la denunciante que ha sido objeto de tratamiento por la denunciada, pues en sus ficheros consta como titular del contrato D. R.R.R. y asociado a él un domicilio en D.D.D., Valencia, que no pertenece a la denunciante cuyo domicilio radica en Madrid. Hacen prueba de esos extremos, además de la información ofrecida por TDE en sus escritos, que así lo corroboran, los ejemplares de las facturas emitidas por el servicio telefónico correspondiente a la línea controvertida –en las que consta el nombre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 y domicilio del tercero y el DNI de la denunciante- o la carta que la denunciante recibió de ISGF, que tiene fecha de 10/07/2015, en la que le reclama en nombre TDE el pago de una deuda derivada del servicio de la línea A.A.A.. TDE, en sus alegaciones al acuerdo de inicio del expediente niega haber incurrido en una infracción del artículo 6.1 de la LOPD y explica: “(…) el dato del NIF perteneciente a la Sra. E.E.E. fue obtenido por mi representada en el momento de la contratación debido a un error de trascripción”, (folio 33). Más tarde, en su respuesta a las pruebas practicadas añade: “Se ha podido averiguar que el NIF del Sr. N.N.N. es O.O.O., por lo que se puede comprobar que el error en el NIF se debió a que en lugar de 3 cuatros sólo se transcribieron 2” La documentación aportada por TDE no permite conocer si la inexactitud del DNI asociado a la línea telefónica de la que deriva la deuda reclamada a la afectada por ISGF tuvo su origen en un error del titular de la línea -esto es, si fue él quien facilitó como propio el DNI de la denunciante al tiempo de contratar– o a un error de transcripción cometido por la operadora. En principio aceptar la tesis de TDE, a tenor de la cual el tratamiento del DNI de la denunciante tuvo su origen en un error cometido por la operadora al transcribir el DNI que el tercero contratante le había facilitado, exigiría, a fin de contrastar este hecho, disponer del contrato suscrito por el cliente, D. R.R.R., o de la grabación de la conversación telefónica a través de la cual habría otorgado el consentimiento a la contratación, pues sólo así podría verificarse que existió una transcripción errónea y no una contratación fraudulenta por suplantación de identidad la identidad de la denunciante. No obstante, la explicación ofrecida por TDE –el número del DNI del tercero que difiere del de la denunciante en un dígito, el 4, que se repite tres veces seguidas en el documento de la denunciante y sólo dos en el del tercero, constituye un indicio de que el tratamiento efectuado del DNI de la denunciante tuvo su origen en una errónea transcripción del que facilitó el contratante. Así las cosas, debe tomarse en consideración que TDE conoció a través de las reclamaciones que la denunciante que el DNI registrado en sus ficheros y vinculado al titular del número A.A.A. era inexacto. La denunciante declara haber presentado dos reclamaciones telefónicas ante TDE a través del 1004 en los días 15/07/2015 y 16/07/2015 (asignándole a esta última la referencia ***NÚM.2). Se añade a ello que ha quedado acreditado documentalmente que envió un fax el 16/07/2015, a las 20.54 horas, con resultado ok, al Departamento Legal de ISGF. En la carta que la denunciante remitió por fax a ISGF –que interviene en los hechos en calidad de encargada de tratamiento de TDE- se identificaba plenamente el asunto sobre el que versaba su reclamación, pues en su escrito la denunciante hizo constar tanto el número de referencia del expediente que figuraba en la carta de requerimiento de pago que recibió de ISGF, L.L.L., como el número de “teléfono de la deuda”, A.A.A.. En el escrito que la denunciante envió por fax a ISGF el 16/07/2015 explica que en la base de datos de MOVISTAR su DNI está asociado a un tercero, cuyo nombre ignora, y le remite copia de la denuncia que había presentado por estos hechos en la Comisaría de Policía el 16/07/2015 a las 18:41 horas, advirtiendo además que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 continuará ejercitando las acciones oportunas hasta aclarar lo sucedido. Pues bien, el Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) dispone en su artículo 26 que “Cuando los afectados ejercitasen sus derechos ante un encargado de tratamiento y solicitasen el ejercicio de un derecho ante el mismo, el encargado deberá dar traslado de su solicitud al responsable, a fin de que por el mismo se resuelva, a menos que en la relación existente con el responsable del tratamiento se prevea precisamente que el encargado atenderá, por cuenta del responsable, las solicitudes de ejercicio por los afectados de sus derechos de acceso, rectificación, cancelación u oposición”. Es evidente que ISGF dio traslado a TDE de la reclamación que presentó a través de fax, pues la operadora le respondió a esta reclamación en la carta de fecha 24/09/2015 que obra en el expediente. De no ser así, la reclamación a la que TDE respondió a través de esa carta era alguna de las que la denunciante formuló telefónicamente, según sus declaraciones, los días 15/07/2015 y 16/07/2015, pues no consta que se hubieran presentado ante la operadora reclamaciones adicionales en fechas posteriores. Del tenor de esa carta de TDE, que lleva fecha de 24/09/2015, se evidencia que la operadora reconoce la existencia de un error y afirma que procede a su rectificación: “a la cancelación de la deuda en relación a su reclamación por suplantación de identidad en la contratación de los servicios en la línea telefónica A.A.A.”. El artículo 8.5 del RLOPD establece que “Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento específico para ello.” Desde la fecha en la que la denunciante remite a ISGF ( el 16/07/2015) un fax con su reclamación, en el que explica la vinculación entre su DNI y la deuda de un tercero y aporta una copia de la denuncia presentada en la Comisaría de Policía, hasta la carta de respuesta de TDE, que tiene fecha de 24/09/2015, de cuyo texto se infiere que la operadora reconoce los hechos y procede a cancelar el dato inexacto, transcurrieron más de dos meses. Aunque TDE en sus alegaciones al acuerdo de inicio sostiene que “ no tuvo noticia de la vinculación entre su NIF y la línea de R.R.R. hasta septiembre de 2015”,”cuando la denunciante contacta con TDE” lo cierto es que su encargada de tratamiento recibió el fax de la denunciante el 16/07/2015 y que hay evidencias sólidas de reclamaciones telefónicas a TDE realizadas en fechas anteriores. Esta Agencia, a la luz de los hechos declarados probados, entiende que el tiempo transcurrido –superior a dos meses- hasta que TDE declara que procede a hacer efectiva la rectificación del DNI del titular de la cuenta –incluso valorada la circunstancia de que la denunciante dirigió el fax con su reclamación no a la operadora denunciada sino a su encargada de tratamiento, ISGF- supera con mucho los diez días concedidos por el artículo 8.5 del RLOPD para que la responsable del fichero proceda de oficio a rectificar los datos inexactos y es a todas luces excesivo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 Las razones expuestas conducen a estimar que, en el asunto que nos ocupa, TDE vulneró el artículo 4.4 de la LOPD pues no existió, como exige el precepto (ex artículo 8.5 RLOPD), una rectificación de oficio de los datos inexactos ni en los diez días siguientes a la petición del denunciante ni en un plazo prudencial mayor, habida cuenta de que la reclamación vía fax se dirigió a su encargada de tratamiento. Conducta que se tipifica como infracción grave en el artículo 44.3.
6. c)de la LOPD. V El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Por tanto, la acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia, como ya reconoció el Tribunal Supremo en Sentencias de 16 y 22 de abril de 1991. Es más, del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia. En ese sentido, y concretado al ámbito del procedimiento administrativo sancionador en materia de protección de datos, cabe citar la Sentencia de la Audiencia Nacional de 17/10/2007 (Rec. 63/2006), en la que el Tribunal dice que “....el ilícito administrativo previsto en el artículo 44.3.
7. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) Por su parte, el Tribunal Supremo (STS 05/07/1998 y 03/03/1999) viene entendiendo que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia a observar se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En el presente caso TDE actuó negligentemente al no efectuar la rectificación de los datos inexactos que obraban en sus ficheros en el plazo que fija la Ley. VI En las alegaciones a la propuesta de resolución TDE pretende desvirtuar algunos de los hechos en los que se funda la valoración jurídica efectuada en la propuesta de resolución y en esta resolución sancionadora. La entidad argumenta, y trata de justificar documentalmente, que respondió a la denunciante no en septiembre de 2015 (hecho que quedó acreditado en virtud de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 carta que la denunciante recibió de TDE y nos facilitó con su denuncia; de la que también aporto copia a la OMIC en el curso de la reclamación formulada en el organismo de consumo), sino en el mes de julio de 2015, esto es, nada más recibir la reclamación de la afectada. Curiosamente, el escrito que TDE aporta en este trámite y que a su juicio demuestra que en julio respondió a la solicitud de la afectada es una carta que ni va dirigida a su nombre ni a su domicilio. Se trata de una carta enviada a nombre de D. R.R.R. y a su domicilio. Además, la carta tiene como referencia el número ***NÚM.1. La referencia de esa carta de julio de 2015, que como decimos no se envió a la dirección de la denunciante ni a su nombre por lo que difícilmente puede calificarse de respuesta a la denunciante, es distinta de la que TDE asignó a carta de 24/09/2015 (que es el número I.I.I.) en la que respondió a la reclamación de la denunciante. Tampoco coincide con la referencia que el Servicio de Atención al cliente de la compañía facilitó a la denunciante cuando ésta hizo una reclamación telefónica el 16/07/2016: referencia ***NÚM.2 (folio 86). Ni coincide con la que TDE asignó a la reclamación recibida de la OMIC y que figura en la respuesta al organismo de consumo enviada el 12/11/2015, número ***REF.1 (folio 96) De la documentación que la denunciante presentó ante la OMIC se evidencia que no presentó más reclamaciones ante TDE que las telefónicas y la remitida por fax a ISGF, encargada de tratamiento de TDE, que consta recibido el 16/07/2015. A mayor abundamiento, sólo el texto de la carta que envió a la denunciante el 24/09/2015 está en consonancia con el objeto de la reclamación que ella había formulado, en la que plantea una supuesta suplantación de personalidad y adjunta copia de la denuncia policial. En definitiva, no será hasta el 24/09/2015 cuando TDE responda a la reclamación de la afectada manifestando que cancela la deuda que erróneamente se vinculaba a su DNI. Por otra parte, ha de rechazarse también el argumento de TDE según el cual el plazo de diez días para rectificar los datos inexactos no es de aplicación en un supuesto como el que nos ocupa, en el que se ha presentado una reclamación ante sus Servicio de Atención al Cliente pero no se ha ejercitado el derecho de rectificación. Sobre este particular, recordar que el artículo 8.5 del RLOPD que la Agencia invoca lleva por rúbrica “Principios relativos a la calidad de los datos” y que el deber que impone al responsable del fichero de rectificar en el plazo de diez días los datos inexactos en ningún caso se encuentra vinculado al ejercicio del derecho de rectificación, sino que es independiente de las obligaciones que derivan del ejercicio este derecho reconocido en el artículo 16 LOPD. Hasta tal punto es así, que el precepto en cuestión alude a una rectificación “de oficio”, es decir, no instada por el interesado en virtud del ejercicio personalísimo del derecho de rectificación. Resulta de la exposición precedente que los argumentos expuestos por TDE en defensa de su pretensión de archivo del expediente no pueden prosperar. VII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 El artículo 45 de la LOPD establece en sus apartados 1 a 5: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
8. a)El carácter continuado de la infracción.
9. b)El volumen de los tratamientos efectuados.
10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
11. d)El volumen de negocio o actividad del infractor.
12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
13. f)El grado de intencionalidad.
14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Un análisis detallado merece la circunstancia del artículo 45.5.d), de la LOPD (reconocimiento espontaneo de la culpabilidad). Si bien TDE incurrido en una infracción del artículo 4.4 LOPD por el excesivo tiempo transcurrido desde que conoció la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 existencia en sus ficheros de un dato inexacto que afectaba a la denunciante hasta que procedió a su rectificación, del escrito de respuesta enviado a la denunciante con fecha 24/09/2015 se infiere que reconoció haber incurrido en un error. Reconocimiento que se produjo antes de que entrara en la AEPD la denuncia de la afectada, lo que aconteció el 09/10/2015. De acuerdo con los razonamientos precedentes se aprecian motivos para la aplicación de la atenuante cualificada del artículo 45.5.
23. d)LOPD, de modo que la sanción a imponer estará comprendida en la escala que el artículo 45.1 LOPD fija para las infracciones leves. Por lo que atañe a las circunstancias modificativas de la responsabilidad contempladas en el artículo 45.4 LOPD, concurren en calidad de agravantes las siguientes: - El apartado c):La vinculación de la actividad de la infractora con el tratamiento de datos de carácter personal, pues la actividad desarrollada por TDE conlleva un continuo tratamiento de datos de carácter personal lo que exige una mayor diligencia en él y agrava la responsabilidad en la que incurre con su conducta. - El apartado d): El volumen de negocio o actividad del infractor. Es un hecho notorio que no necesita prueba que TDE es el principal operador del mercado nacional en telefonía fija por cuota de mercado. Asimismo, se aprecia que operan como atenuantes de la conducta que se somete a la valoración de esa Agencia estas circunstancias: -El grado de intencionalidad, apartado
24. f)del precepto. Esta expresión debe entenderse como sinónima de grado de culpabilidad. En el presente caso, valoradas las circunstancias existentes se estima que lo ocurrido es fruto de una falta de diligencia que no reviste especial significación en lo que a la presencia de culpa de la entidad se refiere, ya que los hechos se debieron a que ambos números del DNI - el de la denunciante y el del cliente de TDE- son casi iguales entre sí con la única diferencia de que el del cliente finaliza en tres cuatros y el de la denunciante en dos, por lo que estaríamos ante un mero error que entraña una menor culpabilidad. -El apartado
25. i)del artículo 45.4, pues TDE tiene implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. A la luz de lo expuesto, tomando en consideración el principio de proporcionalidad que ha de presidir la imposición de la sanción (ex artículo 131 de la LRJPAC); que concurre la atenuante cualificada del artículo 45.5.
26. d)LOPD, y valoradas las circunstancias del artículo 45.4 LOPD presentes, tanto adversas como favorables a la infractora, se acuerda sancionar a TDE por infracción del artículo 4.4 de la LOPD, tipificada como infracción grave en el artículo 44.3.c de la LOPD, una sanción de 12.000 euros, cuantía próxima al mínimo establecido en el artículo 45.1 LOPD para las infracciones leves. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFÓNICA DE ESPAÑA, S.A.U., por una infracción del artículo 4.4 de la LOPD, tipificada como infracción grave en el artículo 44.3.
27. c)de la LOPD, una multa 12.000 (doce mil euros) de conformidad con lo establecido en el artículo 45.1 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA DE ESPAÑA, S.A.U., y a D.ª E.E.E.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es