← España

PS-00418-2014

1/21 Procedimiento Nº PS/00418/2014 RESOLUCIÓN: R/00026/2015 En el procedimiento sancionador PS/00418/2014, instruido por la Agencia Española de Protección de Datos a la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 12/08/2013 tuvo entrada en esta Agencia una denuncia de D. A.A.A. contra CANAL PLUS (DTS DISTRIBUIDORA DE TELEVISION DIGITAL SA) que le reclama una deuda de 300 € sin haber firmado contrato con dicha entidad, además de incluirle en un fichero de morosos. El denunciante aporta copia de: - Hoja impresa a 31/07/2013 con el logo de EQUIFAX, responsable del fichero de solvencia ASNEF, figurando anotado su NIF y nombre y apellidos y dirección (C/..............1), (no coincide con la de su denuncia) informada por D.TELEVISION DIGITAL, fecha de alta 20/03/2012, e importe 300 €. - Copia de ejercicio de derecho de cancelación ante EQUIFAX de 14/10/2013 y respuesta del 22 que proceden a la baja. - Denuncia ante Comandancia de la Guardia Civil de 15/11/2013, en la que expresa que fue a pedir un crédito y le dijeron que se lo denegaban por estar en lista de morosos, que se le informó que no había devuelto un decodificador de CANAL + por valor de 300 €. Al respecto se tramitan diligencias previas en el Juzgado de Instrucción 1 de Manacor, aportando copia de “cedula de citación”, “usurpación estado civil”. - Contrato con CANAL PLUS, fechado el 30/08/2004, indicando que no coincide ni domicilio, ni firma, ni cuenta bancaria, ni tarjeta. El contrato se encuentra a su nombre, con su número de DNI y firmado. En el recuadro de Distribuidor consta SENSOR ELECTRICA SL. En el de cuenta de domiciliación del pago la CAIXA, 2100 cuenta acabada en

  1. - Correos electrónicos mantenidos con canalplus.es referidos a su reclamación, fechados el 19/08/2013 y 21/10/
  2. - Comunicado de la dirección canal plus.es a través de correo electrónico el 19/03/2014 en que indica que la deuda del denunciante se ha vendido a TTI FINANCE SARL. El afectado ha denunciado los mismos hechos en dos ocasiones ante esta Agencia, habiéndose abierto el expediente de investigación de referencia E/109/2014 con ocasión de la segunda denuncia fechada entrada el 24/10/2013(135 y ss.). Una vez detectado este hecho, dichas actuaciones han sido acumuladas a las presentes actuaciones de investigación E/6755/
  3. El denunciante indica que se ha cedido la supuesta deuda a TTI FINANCE SARL y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 aporta copia que acredita su inclusión en fichero ASNEF a fecha 11/03/2014 por 324 €, siendo el alta el 29/10/
  4. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información, teniendo conocimiento de: 1) EQUIFAX IBERICA, SL informa el 4/03/2014: - Respecto del fichero ASNEF: Consta una incidencia informada por TTI FINANCE “como cesionario de la cartera de DTS DISTRIBUIDORA DE TELEVISION DIGITAL”, con fecha de alta 29/10/2013, fecha de última actualización 27/02/2014 por un importe de 324 €, inicialmente 300 € en la fecha de alta, dirección (C/..............1). D TELEVISION DIGITAL informó los datos del denunciante de 20/03/2012 a 22/10/2013

(63)por impago de 300 €
(64), dirección (C/..............1). Consta que el denunciante ejercitó los derechos:
  1. a)Acceso 12/07/2013 (70 a 75). Coincide con la hoja impresa aportada por el denunciante en su denuncia.
  2. b)Cancelación 17/10/2013 (76-84), en la que le informan que han procedido a la baja con la entidad DTS. 2) Con fecha 20/03/2014 DISTRIBUIDORA DE TELEVISION DIGITAL SA (en adelante DTS) manifiesta:
  3. a)El 20/12/2013 DTS suscribió un contrato de compraventa y cesión de créditos con la mercantil luxemburguesa TTI FINANCE SARL, que se subroga en los créditos entre los que figura el del denunciante.
  4. b)“Respecto de los datos referidos al denunciante, consta un contrato a nombre del denunciante con fecha de alta 25/08/2004. Constan setenta y una facturas pagadas y tres impagadas, de las que aportan copia. La última por el concepto “indemnización por retención del equipo” e importe 300 €. Aportan copia de algunas facturas, en las que no figura la cuenta bancaria, son de 1/10/2010 a 1/12/2010, de 300 € “indemnización por retención de equipo”, 11,11 €, y 11,11 €.
  5. c)Aportan copia del contrato, de fecha 30/08/2004, cumplimentado a boli El domicilio que figura es (C/..............2). El NIF figura con una cifra enmendada y aparece la línea móvil de contacto acabado en 644, una cuenta bancaria en entidad ***CCC.1 y una firma en cliente disimilar a la del DNI que aporta el denunciante en su DNI en su denuncia. También aparece otra firma en el apartado de “tarjetas autorizadas” El contrato aparece suscrito por SENSOR ELECTRONICA como INSTALADOR/DISTRIBUIDOR. Se aporta copia de ANEXO a contrato que regula las condiciones del INSTALADOR. Aporta copia del DNI del denunciante en el que figura un sello 25/10/2013, Departamento de BACK OFFICE “CATSAENTRADA”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 (Además, la fecha de validez del DNI aportado es de 18/01/2023. Considerando que su plazo de validez es de diez años, según la edad del denunciante en el momento de la expedición, este DNI debe haber sido expedido en el año 2013 por lo que no pudo ser recabado en el momento de la contratación.)
  6. d)Figura la impresión en pantalla de los sistemas de DTS, la “referencia recibos de la persona”, primer recibo en una cuenta La Caixa 2100 acabada en ***2, el 1/10/2004 y otra en entidad 0182 acabada en ***8, de 1/02/2006. El 1/02/2009 aparece otra cuenta en La Caixa, 2100 acabada en ***4. Ninguna coincide con la que figuraba en el contrato manuscrito de 30/08/2004.
  7. e)Los representantes de DTS indican además que: “Se exige a los DISTRIBUIDORES E INSTALADORES oficiales: - Verificar la identidad del firmante mediante D.N.I. o documento oficial - Verificar que la persona que suscribe el contrato es MAYOR DE EDAD. - En el caso de no encontrarse presente el titular se tiene que adjuntar autorización firmada y fotocopia del DNI. - Cumplimentar correctamente todos los campos obligatorios marcados en el contrato.” Aportan copia del comunicado denominado “RECORDATORIO CUMPLIMENTACION DE CONTRATOS” indicando que ha sido realizado a la Red de Instaladores Oficiales de CANAL+ el pasado 2013.
  8. f)Contactos y Reclamaciones registradas en los sistemas de información  Consta un contacto por email de fecha 19/08/2013 en el que el denunciante manifiesta que él no ha contratado el servicio por el cual le han incluido una lista de morosos, enterándose al acudir a solicitar un préstamo a un Banco Con fecha 21/08/2013 se le indica por email que se traslada la reclamación al Departamento correspondiente. Los representantes de la entidad manifiestan al respecto de esta reclamación que “El correo electrónico entrante con el que se crea la reclamación, figura en la relación de correos aportada, con fecha 21/08/2013. Se intenta contactar con el cliente por teléfono para informar, se cierra la reclamación como ilocalizable, se deja mensaje en el contestador automático.”  Consta otro contacto por email de fecha 21/08/2013 en el que el denunciante manifiesta que no le han contestado. Tras gestiones para recabar el teléfono del denunciante, que lo facilita, se crea actividad para envío de contrato.  Consta el 24/10/2013 un contacto telefónico saliente con la siguiente anotación: “HABLO CON TITULAR CONFIRMO NO HA DADO SU CONSENTIMIENTO PARA EL ALTA DEL CONTRATO, INDICO DEBE PONER DENUNCIA POR USURPACION DE IDENTIDAD …”  17/12/2013, Consta reclamación creada por requerimiento de copia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 contrato por del Juzgado n° 1 de Manacor.: Los representantes de DTS manifiestan que “Los datos del reclamante fueron excluidos de manera cautelar del fichero Asnef con fecha 18/12/2013 como consecuencia de recibir oficio del juzgado n° 1 de Manacor y deduciendo de este modo que la denuncia por usurpación de identidad sugerida por esta entidad en conversación telefónica del 24/10/2013, había sido interpuesta por el denunciante.” Se aprecia que la citada fecha no concuerda con la certificada por EUIFAX responsable del fichero ASNEF.  Respecto a la documentación que debe recabar el DISTRIBUIDOR para acreditar la identidad del cliente antes de proceder a contratar, informa que verificar la identidad del firmante mediante DNI o documento oficial, y en caso de no encontrarse presente el titular adjuntar autorización firmada y fotocopia del DNI. En cuanto a la información y documentación acreditativa de los controles realizados sobre el DISTRIBUIDOR al objeto de verificar que cumple con las instrucciones, se indica que esto se efectúa a través de la copia del contrato que se aporta, que como se ha indicado, lleva una enmienda en el número del DNI.  Aporta copia de los correos electrónicos intercambiados con el denunciante. Desde el inicial del denunciante de 19/08/2013. TERCERO: Con fecha 23/07/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a DTS DISTRIBUIDORA DE TELEVISION DIGITAL SA por una infracción del artículo 11.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el 6.1 de la misma Ley, y otra del artículo 4.3 de la LOPD, tipificadas como graves en los artículos 44.3.
  9. k)y 44.3.
  10. c)de dicha LOPD. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 25/08/2014 la denunciada reitera lo alegado y añade: 1) La contratación a que se hace referencia y que es objeto de controversia en este procedimiento, fue realizada de forma presencial en el domicilio del cliente por el DISTRIBUIDOR/INSTALADOR “SENSOR ELECTRÓNICA” en virtud del contrato que DTS tiene suscrito con el mismo y que fue aportado. Cuando el DISTRIBUIDOR recibe una solicitud de instalación, envía a un INSTALADOR al domicilio del cliente. El INSTALADOR se encarga de que el cliente firme el contrato de DIGITAL PLUS, le instala el servicio y automáticamente envía a DIGITAL PLUS en un sobre prefranqueado una copia del contrato firmado por el cliente (la otra copia se la queda el cliente). Por lo tanto, el DISTRIBUIDOR es perfecto conocedor de la importancia y el carácter elemental que tiene, desde el punto de vista de la normativa de protección de datos, la obligación de verificar que el DNI original que le exhiba el cliente corresponde con la persona que firma el contrato y con los datos personales que se reflejan en el mismo. SENSOR ELECTRÓNICA verificó que el nombre, apellidos y número de DNI del firmante coincidían con los que figuraban en el DNI. Asimismo, se puede observar que las firmas puestas en el DNI y en el contrato, salvo una variante en la grafía del nombre, guardan importantes similitudes (folio 3, 117), C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 2) Los servicios fueron instalados y disfrutados (sino por el denunciante sí por alguna persona cercana a él) en la dirección que aparece en el contrato. En cuanto a los datos bancarios, no se verifican en el momento de la contratación sino que su corrección vendrá confirmada en el momento en que las sucesivas facturas que se giran al cobro no sean devueltas. En el caso que nos ocupa, las facturas se han estado abonando durante casi 7 años mediante cargo en las cuentas con IBAN ***CCC.1 de La Caixa y ***CCC.2 del BBVA. 3) DTS trató los datos del denunciante en la confianza legítima de que fue él quien firmó el contrato y, por lo tanto, autorizó el tratamiento de los mismos. Nada podía hacerle sospechar que el firmante del contrato y pagador de los servicios prestados no era quien decía ser. 4) Se gestionó la respuesta a la situación a partir del correo del denunciante de 19/08/2013 y se le informó el 24/10/2013 que debería interponer una denuncia por usurpación de identidad. Por consiguiente, se puede apreciar una actuación diligente de DTS que tan pronto como tuvo conocimiento de estar en presencia de una posible usurpación de identidad, procedió con carácter inmediato a subsanar la posible situación irregular. Adicionalmente, en el seno de su organización se dieron instrucciones entre los Departamentos afectados para que la citada deuda se excluyera de la cartera de créditos cuya compra se estaba negociando con TTI. Sin embargo, por razones que apuntan a un error informático, la citada deuda no fue excluida de los créditos que iban a ser objeto de cesión, de tal manera que no pudo impedirse su inclusión en el fichero excel entregado a la entidad compradora con el conjunto de créditos transmitidos, lo que determinó que finalmente los datos del denunciante fueran cedidos sin su consentimiento; circunstancia cuya concurrencia esta entidad no duda en reconocer. Añadiendo que reconoce la responsabilidad a efectos de la aplicación del 45.5.
  11. d)de la LOPD. 5) Declara que no niega haber tratado los datos del denunciante con posterioridad a haber tenido conocimiento de una supuesta suplantación de identidad, compraventa y cesión de créditos suscrito por ambas partes el 20/12/2013, es decir, formalizada poco tiempo después de que fuera advertido de una posible usurpación de identidad. Adicionalmente concurren más supuestos de los previstos en el citado apartado 5 del artículo 45 LOPD, que deberán tenerse en cuenta a efectos de determinar la mínima sanción que se pudiera llegar a imponer a DTS. Ninguna de las circunstancias concurrentes en el caso podía hacer sospechar a DTS que el titular del contrato no era quien decía ser. DTS disponía de un contrato debidamente cumplimentado y firmado, la instalación de hizo correctamente en la dirección reflejada en el mismo, que se disfrutaron los servicios televisivos en dicho domicilio y que se abonaron puntualmente las mensualidades durante casi 7 años. DTS no podía saber que el dato de morosidad por los dos recibos mensuales impagados y la retención de los equipos descodificadores que hizo constar en el fichero ASNEF no fuera cierto y exacto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 DTS excluyó los datos del denunciante del fichero de solvencia patrimonial ASNEF. La diligencia a la hora de subsanar la situación irregular creada inadvertidamente no puede ser mayor. DTS no puede proceder a la exclusión del fichero y al cese en el tratamiento de los datos con la sola manifestación telefónica del afectado de que no fue él quien contrató el servicio; en especial, cuando hay una fuerte apariencia de legitimidad. Es necesario un plus de veracidad. Por ello, sugirió al denunciante la presentación de denuncia, procediendo a la baja tan pronto tuvo conocimiento de la misma. Se advierte sin embargo, que la baja en el fichero ASNEF fue el 22/10/2013, mientras que la denuncia ante la Guardia Civil fue el 15/11/2013. 6) Subsidiariamente sería de aplicación para deducir la reducción de la culpabilidad ,por su similitud, la Sentencia de la Audiencia Nacional de 26/12/2013 (rec: 0000480/2012) referente también a DTS y en el la Audiencia archivó disponiendo: “Canal Satélite Digital obró con una diligencia normalmente exigible en una operación de prestación de servicios como los contratados. Y ello dado que se hizo uso de tal servicio de televisión en uno de los domicilios de la afectada, en el que alguien tuvo que permitir la entrada a la entidad actora para instalar el correspondiente codificador. Además, el contrato tuvo que ser firmado por alguien que, si no era tal denunciante, debió ser su ex marido, pues sí conocía su nombre y apellidos, su domicilio, su número de DNI y un número de cuenta bancaria en la que fueron puntualmente abonados, durante casi tres años, tales consumos televisivos” Si bien es cierto que junto con el contrato suscrito con el cliente se adjuntó copia de su DNI, dicho DNI no fue recabado por el Distribuidor en el momento de la contratación, como acertadamente observa el Acuerdo de inicio. En ningún momento ha pretendido esta representación introducir algún tipo de equívoco al respecto. Ya se ha reconocido por DTS que en el momento de la contratación el Distribuidor no recaba copia del DNI del titular del contrato sino que simplemente exige su exhibición y verifica la coincidencia de sus datos con los reflejados en el contrato.” Asimismo, debe ponerse de manifiesto, el carácter absolutamente puntual y excepcional de la situación objeto de enjuiciamiento, la ausencia total de beneficios obtenidos por DTS (vid, letra
  12. e)del artículo 45.4 LOPD); y (iii) la inexistencia de perjuicios causados al denunciante, dado que en cuanto se advirtió del supuesto fraude se procedió a dar de baja sus datos en ASNEF (vid, letra
  13. h)del artículo 45.4 LOPD). Propone como pruebas: 1. A efectos de los dispuesto en el artículo 137.2 de la LRJPAC y el artículo 7.3 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionador (RPEPS), que se libre oficio al Juzgado n° 1 de Manacor para que informe del estado de tramitación de las diligencia previas y remita el resultado de las pesquisas realizadas así como copia de las resoluciones judiciales que se hubieran dictado en el mismo. 2. Libre oficio a la Policía Nacional para que identifique al titular del DNI ***DNI.1 que aparece en el contrato como titular de las tarjetas autorizadas para el cargo del equipo descodificador. 3. Requiera a LA CAIXA para que indique el nombre, apellidos y DNI del titular de la cuenta bancaria con IBAN ***CCC.1 y al BBVA con respecto a la cuenta bancaria con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 IBAN ***CCC.2, en que se han cargado las 71 facturas que se han ido generando durante la relación contractual. 4. Libre requerimiento a TELEFÓNICA DE ESPAÑA, S.A.U., y a TELEFÓNICA MÓVILES ESPAÑA, S.A.U., o, en su defecto, a la correspondiente empresa de telecomunicaciones, para que, respectivamente, faciliten la titularidad de la línea de teléfono móvil ***TEL.1, que aparece en el contrato de suscripción. QUINTO: En relación con la copia del DNI aportado por la denunciada, que porta el sello de CATSA de 25/10/2013, del que se habla en el HECHO SEGUNDO 2.c, se obtiene impresión el 6/11/2014 de la web sobre una búsqueda efectuada con los términos CATSA, y como resultado en la página www.salvemos..........., que CATSA es el centro de Atención al Cliente de SOGECABLE-DTS-, en otra página web de noticias figura que PRISA deslocaliza CATSA, empresa dedicada al marketing y empresa telefónica. SEXTO: Con fecha 7/11/2014 se inicia el período de pruebas, solicitando:
  14. a)Se libra Oficio al Juzgado n° 1 de Manacor para que informe del estado de tramitación de las diligencia previas proc abreviado *****/2013, y si existe alguna persona imputada, y remita el resultado de las pesquisas realizadas así como copia de las resoluciones judiciales que se hubieran dictado en el mismo. Transcurrido el tiempo, se recibió respuesta el día 2/12/2014, por lo que la misma no pudo ser incluida en la propuesta. Se aporta copia de las resoluciones judiciales recaídas. En el mismo figura: -Diligencia de constancia de 20/11/2014 (la última existente) en las que se precisa que las diligencias se encuentran en trámite, estando imputadas B.B.B.y C.C.C.. En delito falta figura: Usurpación de estado civil. - Auto de 27/11/2013 que establece que se efectúen diligencias previas para la determinación de los hechos y procedimiento aplicable, figurando ya el nombre de las imputadas.
  15. b)A LA CAIXA para que indique el nombre, apellidos y DNI del titular de la cuenta bancaria con IBAN ***CCC.1 y al BBVA con respecto a la cuenta bancaria con IBAN ***CCC.2, preguntando si se han cargado recibos de DTS Televisión Digital por el Servicio de Canal Plus. Con fecha 21/11/2014 BBVA indica que la titular de la cuenta es B.B.B., indicando su NIE. Precisa que en dicha cuenta “se han cargado recibos de DTS”, si bien no indica ni aporta impresión de los mismos. Con fecha de entrada 1/12/2014, que no se contemplaba en la propuesta de resolución por entrega al Instructor con fecha posterior a la salida de la propuesta, LA CAIXA aporta su respuesta. Indica que el contrato fue cancelado el 27/03/2009: Causa desconocida. La titularidad es del denunciante y otro familiar. Hay recibos cargados por CANAL SATELITE desde 2/07/2005 a 3/01/2006, apareciendo importes de -58,91 y 59,92 euros. Al respecto, en la petición de información se le precisaba los recibos emitidos hasta 2012. Se debe concretar que esta cuenta es la segunda en el tiempo de la relación, pues la primera es la que figuraba en el contrato, acabada en 93, empezándose a abonar los recibos en la acabada en ***2, si bien La CAIXA no indica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 que se abonaran desde la primera factura emitida el 1/10/2004, sino que se cargan en esta desde 2/07/2005, desconociéndose el origen en cuanto al consentimiento de esta cuenta ***2, ni a que cuenta se abonaron los recibos anteriores a s/07/2005
  16. c)Requerimiento a TELEFÓNICA DE ESPAÑA, S.A.U., para que determine la titularidad de la línea que obra en el contrato; ***TEL.1. Transcurrido el tiempo, no se recibió respuesta.
  17. d)A denunciada, se solicita acreditación del abono de las facturas abonadas, y las cuentas respectivas en que se produjeron, así como fecha en que se cambia de una cuenta a otra y en función de que se produce el cambio. Con fecha 25/11/2014, DTS aporta copia de documento 1, que contiene una petición hecha el 20/11/2014 a BBVA para que certifique que DTS ha emitido tres recibos a A.A.A. emitidos el 1/11, 1/12/2008 y 1/01/2009 y que no figuran devueltos, por importe de 33,95 €. En idéntico sentido a LA CAIXA sobre recibos emitidos a A.A.A. el 1/11, 1/12/2005 y 1/1/2006 de 59,56 €, así como los de 1/08 a 1/10/2010 por importe de 12 € y no han sido devueltos. Añade que la cuenta bancaria establecida en el contrato se modificó en dos ocasiones, 10/01/2006 y 27/01/2009 a petición de su titular. Declara DTS que “El 10/01/2006 se solicita sustituir la cuenta La Caixa 2100 acabada en ***2 (en la que se produjeron algunos cargos) por la cuenta BBVA 182 acabada en ***8, y el 27/01/2009 sustituir la cuenta acabada en ***8 por la 2100 acabada en ***4.” NO aporta acreditación de solicitud de tales cambios por la parte afectada.
  18. e)No se practica la prueba de petición de la titularidad de la tarjeta con DNI distinto del denunciante pues es otra persona distinta de esta, sin que sea decisivo su conocimiento. SÉPTIMO: Con fecha 2/12/2014, se emitió propuesta del literal: “PRIMERO: Que por el Director de la Agencia Española de Protección de Datos se sancione a DTS DISTRIBUIDORA DE TELEVISION DIGITAL SA con multa de 40.001 €, por la infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
  19. k)de dicha norma, de conformidad con el artículo 45.2 y 4 de dicha LOPD. SEGUNDO: Que por el Director de la Agencia Española de Protección de Datos se sancione a DTS DISTRIBUIDORA DE TELEVISION DIGITAL SA con multa de 40.001 €, por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  20. c)de dicha norma, de conformidad con el artículo 45.2 y 4 de dicha LOPD.” OCTAVO: Con fecha de entrada 13/01/2015, la denunciada reitera lo alegado, añadiendo: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 1) Durante más de 6 años se abonó el servicio. La relación duró desde la firma del contrato hasta diciembre 2010. Se abonaron 68 facturas. 2) Las facturas se han cargado en tres cuentas a lo largo de la relación. Indica que los datos bancarios fueron cambiados el 10/01/2006 y 27/01/2009. El 10/01/2016 la de la Caixa acabada en ***2 se sustituyó por otra de BBVA. Sin embargo, no precisa que la cuenta acabada en ***2 no era la que en el contrato se consignaba,
(117)pues esta acaba en 93, y no detalla el paso de una a la otra., ni acreditan consentimiento en el cambio de cuentas. 3) Aporta hoja Excel en el que se incluyen las facturas emitidas a nombre del denunciante, de las que 68 fueron abonadas, y 3 devueltas. En el cuadro se ve que la primera, de 1/10/2004 se emitió a la cuenta de la CAIXA acabada en ***2, hasta la de enero de 2006, y ninguna se emitió en la que figuraba en el contrato, acabada en
  1. Manifiesta que “La corrección de los datos bancarios no se verifica en el momento de la contratación sino que viene confirmada cuando las sucesivas facturas se giran y no se devuelven.” 4) Aporta certificado de la CAIXA en el que indica que DTS ordenó a la Caixa la presentación de los recibos a cargo del denunciante de 2/11/2005 a 2/01/2006 a la cuenta bancaria acabada en ***
  2. 5) Aporta certificado de la BANKIA en el que indica que DTS ordenó la presentación de los recibos a cargo del denunciante de 1/08 a 1/10/2010 a la cuenta bancaria acabada en ***
  3. Sin embargo no se aprecia que la denunciada haya proporcionado alguna cuenta de la relación con el denunciante de la entidad BANKIA, figurando en sus bases que la cuenta ***4 es de la entidad 2100, que por tales dígitos sería una cuenta de LA CAIXA. Se desconoce a que obedece la citada emisión del certificado de BANKIA 6) La documentación aportada evidencia una relación contractual duradera que no hacía sospechar la posible usurpación de identidad. El primer recibo que se devolvió fue el 10/11/2010, pasados casi seis años desde la contratación. 7) Diligencia en su actuación en la regularización de la situación irregular pues tras tener conocimiento de los hechos el 19/08/2013 se intentaron poner en contacto telefónico varias veces con el denunciante no pudiendo ser localizado. Estima que también se da el 45.5.a) de la LOPD por haber actuado en la creencia legitima de que el contrato había sido suscrito legítimamente y en la confianza de la labor de los DISTRIBUIDORES, que revela ausencia de intencionalidad. También se aprecia la ausencia de beneficios, inexistencia de perjuicios dado que “en cuanto se advirtió del supuesto fraude, se procedió a dar de baja sus datos en ASNEF” y que tenía implantados procedimientos adecuados para el tratamiento de datos. A efectos del 45.4 de la LOPD considera que se deben de tener en cuenta que el contrato se encontraba debidamente cumplimentado, que la relación trascurrió con normalidad durante casi siete años, se abonaron facturas y el denunciante es titular de la cuenta en la que se aportaron algunas facturas y se sufrió la mala fé de un tercero. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21
  4. DTS DISTRIBUIDORA DE TELEVISION DIGITAL SA dispone de los datos del denunciante como cliente por la instalación de canales de televisión digital, con fecha de alta 25/08/2004 (folio 90), figurando la instalación en (C/...........3). DTS dispone de un contrato firmado el 30/08/2004 (posterior al alta) en el que figura una firma, la dirección de (C/...........3) en la localidad de San Llorenc y el sello del Distribuidor SENSOR ELECTRICA SL.
(117). El DNI que aportó la denunciada es posterior a la contratación al figurar la fecha de validez del DNI hasta 18/01/2023, es improbable que dicho DNI se recogiera con motivo del contrato de 2004, dado que al momento de la expedición este tienen una duración de 10 años para una persona nacida como el denunciante en 1964, además lleva el sello de CATSA, prestadora del servicio de marketing de la denunciada. La denunciada reconoce que no recogió dicha copia del DNI cuando se efectuó el contrato (117 a 120, 197). 2. En el contrato de 30/08/2004 figuraba una cuenta bancaria en 2100 LA CAIXA acabada en 93
(117)y en los sistemas de DTS aparece desde 1/10/2004 (primera factura emitida al cobro) otra cuenta de 2100 LA CAIXA acabada en ***2
(90)en la que se emitieron cargos desde 1/10/2010 a 1/01/2006
(311). Se desconoce cómo se cambia de la cuenta originaria del contrato acabada en 093 a la acabada en ***2, y la denunciada no acredita la obtención del consentimiento para ello. Según CAIXABANK en dicha cuenta, titularidad del denunciante acabada en ***2 se abonaron recibos desde 2/07/2005 a 3/01/2006, constando cuenta cancelada 27/03/2009, sin conocer el motivo. Añade la denunciada que se cambió la cuenta bancaria el propio cliente el 10/01/2006 por una de BBVA 0182 acabada en ***8 (235, 90), indicando esta entidad que su titularidad corresponde a B.B.B., y en ella se abonaron cargos de recibos de DTS
(223), volviendo a cambiarla el 27/01/2009 por una 2100 de LA CAIXA acabada en ***4 (235, 91). DTS emitió facturas 71 al denunciante, habiendo abonado 68, quedando sin pagar las de 1/11 y 1/12/2010 por importe de 11,11 € cada una y la de 1/10/2011 por importe de 300 € con concepto “Indemnización por retención de equipo” (91, 109 a 112, 282). B.B.B.es una de las personas imputadas por la denuncia del denunciante ante el Juzgado por presunta usurpación de identidad. 3. En el contrato de DISTRIBUIDOR-INSTALADOR suscrito entre CSD, DTS y SENSOR ELECTRICA SL se prevé que la empresa instaladora se ocupará de instalar el sistema de distribución de la señal de CSD/DTS, verificar y asegurar el mantenimiento. En la cláusula tercera se prevé que el DISTRIBUIDOR solo procederá a dar de alta las solicitudes procedentes de CSD y/o DTS, es decir aceptados y comunicados por esas entidades
(124). Nada se indica de la firma de los contratos sobre verificación de identidad (122 a 127). 4. En el sistema de contactos de la denunciada constan diversos contactos por asunto de deficiencias en el funcionamiento, perdida de tarjeta o aceptación de nuevas promociones y ofertas (92-97). En fecha 19/08/2013 en los sistemas de la denunciada figura una llamada del denunciante indicando que él no ha contratado servicio alguno, y no adeuda los 300 € por los que figura en una lista de morosos
(100)el formato de entrada coincide con el correo que el denunciante aporta en folio 33 tratándose del envío de un correo electrónico. Con fecha 21/08/2013 ante petición del denunciante se contesta que todavía no han resuelto habiéndose trasladado al Departamento correspondiente. El 24/10/2013 “Hablo con titular confirmo no ha dado su consentimiento para el alta del contrato. Indico debe poner denuncia por usurpación de identidad
(102)
(101). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 5. Los datos del denunciante aparecen inscritos en el fichero ASNEF a instancia de DTS de 20/03/2012 a 22/10/2013. A EQUIFAX, responsable del fichero ASNEF le consta el ejercicio del derecho de acceso el 18/08/2013 (70 a 76) y el de cancelación el 17/10/2013 que es contestado accediendo a la cancelación de los datos con la entidad DTS (76 a 80). En el escrito el denunciante indicaba no era cliente de la entidad. Con fecha 20/12/2013 DTS suscribió un contrato de cesión de créditos con TTI FINANCE cediendo DTS los créditos y los datos del denunciante como se acredita no solo con el reconocimiento de la denunciada, sino con la anotación del alta en fichero por TTI de alta de 29/10/2013 y que permanecía a 27/02/2014 (51, 55) según certifica EQUIFAX, a 11/03/2014 según copia de hoja EQUIFAX que aporta el denunciante (172.1). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II En primer lugar, se imputa a Vodafone la infracción del artículo 11 de la LOPD en relación con el 6.1 de dicha norma. El artículo 11.1 de la LOPD establece lo siguiente: "1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso: Cuando la cesión está autorizada en una Ley. Cuando se trate de datos recogidos de fuentes accesibles al público. Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas. Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos. Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 Así, el artículo 11.1 de la LOPD exige el consentimiento del afectado, o bien, habilitación legal (artículo 11.2.
  2. a)de la LOPD) para la cesión de datos de carácter personal. Por su parte, el artículo 6, apartados 1 y 2, de la Ley Orgánica 15/1999, relativo al “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de los mismos. De acuerdo con las disposiciones transcritas, el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del tratamiento, - entre otros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 supuestos previstos en la LOPD -, cuando el tratamiento en cuestión se refiera a un contrato suscrito entre las partes y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). El artículo 3.
  3. h)de la LOPD define el “consentimiento del interesado” como “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”, mientras que el artículo 3.
  4. i)de la LOPD define como “Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado.” El principio del consentimiento expresado requiere la necesidad del consentimiento “inequívoco” del afectado para que puedan tratarse sus datos personales, sentido que la Audiencia Nacional ha expresado en forma reiterada, entre otras en la sentencia de 4 de marzo de 2009 al señalar: “Respecto al consentimiento, es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. A su vez, el artículo 12.3 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el Reglamento para el Desarrollo de la LOPD, establece que “Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” En el asunto que nos ocupa ha quedado acreditado que DTS trató los datos personales de la denunciante vinculados a un contrato que consta en los registros de la entidad asociándolos además por impago de las cuotas e indemnización por retención de equipo al fichero de solvencia. Por otra parte, el denunciante niega haber contratado algún servicio con esa entidad y así lo puso en conocimiento de la denunciada a mediados de agosto de 2013. El contrato a nombre de la denunciante fue realizado conforme a lo dispuesto en el contrato suscrito entre DTS y el DISTRIBUIDOR-instalador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 Llegados a este punto procede analizar si DTS, en relación con el contrato supuestamente celebrado por el denunciante y del que trae causa el tratamiento-cesión y la deuda por cuyo impago se incluyeron sus datos personales en un fichero de morosidad, contaba con el consentimiento del titular de los datos personales tratados, pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento legitima el tratamiento. En primer término debemos subrayar que corresponde a la entidad denunciada la carga de probar que recabó y obtuvo el consentimiento del titular de los datos que han sido tratados en sus ficheros. Este es el criterio que de forma constante y reiterada ha mantenido la Audiencia Nacional. DTS, con el propósito de acreditar que solicitó y obtuvo de la denunciante el consentimiento para el tratamiento de sus datos personales vinculado al servicio de televisión digital prestado y que adoptó las medidas que la diligencia aconseja para asegurarse de que la persona que otorgó el consentimiento era efectivamente su titular, ha aportado un documento (contrato), supuestamente firmado por el denunciante, que en su opinión prueba que fue ésta quien contrató los servicios de DTS. Analizado el documento, denominado “Contrato de Suministro y recepción de servicios de televisión digital” deben señalarse las siguientes consideraciones: - En primer lugar destacar, por su especial relevancia, que las firmas que constan en tal documento y que se atribuyen al denunciante difieren por completo con las del literal del DNI, donde consta la firma con nombre entero, en la del contrato no, (117, 137) y también en la forma ya que a simple vista son diferentes. - En segundo lugar, en el referido documento contractual figura en el apartado “datos personales del cliente”, una dirección distinta declarando expresamente en su denuncia ante la Policía que no era la suya. - Existe una tachadura en el número del DNI que figura en el contrato que la denunciada admitió, sin contrastar con el posible DNI verdadero, al no haberlo solicitado. El tratamiento sin consentimiento ha perdurado incluso con la puesta en conocimiento de los hechos a la denunciada, a través de la disponibilidad de sus datos y su crédito vigente cuando el denunciante había puesto en conocimiento de la denunciada la cuestión. Reviste mayor amplitud si se tiene en cuenta que ni siquiera en el curso del procedimiento se ha conocido que pusiera en conocimiento de TTI la falta del consentimiento del contrato tras el que se encuentra el crédito, de modo que se desconoce si sigue figurando de alta en el fichero con TTI. Si bien la denunciada ha reconocido la responsabilidad en la errónea gestión de la cesión del crédito y datos tras conocer los hechos, queda pendiente la fase anterior en la que no consta obtención del consentimiento y ha combatido y propuesto pruebas para acreditar en su derecho de defensa el otorgamiento del consentimiento. Respecto a las medidas adoptadas a fin de asegurarse de la identidad de la persona que suscribió el contrato de televisión digital, de cuyo incumplimiento deriva la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 deuda informada al fichero de morosidad asociada a los datos personales del afectado, DTS no aportó prueba alguna en el procedimiento, limitándose a señalar que el contrato fue formalizado por el DISTRIBUIDOR. En este sentido, destacar que el contrato suscrito por DTS con este DISTRIBUIDOR estipula que es DTS el que autoriza las altas en el servicio, y el DISTRIBUIDOR procede a la instalación y a la firma del contrato con el cliente, sin que exista indicación alguna por parte de DTS en el sentido de constatar de modo fehaciente la identificación del titular del servicio instalado, con por ejemplo la copia del DNI. A la vista de las consideraciones que han quedado expuestas en los párrafos precedentes debemos concluir que DTS no ha acreditado el consentimiento inequívoco del titular de los datos tratados que exige el artículo 6.1 de la LOPD, en relación con el contrato celebrado con los datos personales del denunciante, además ha cedido los datos sin consentimiento del denunciante que engloba la cesión sin consentimiento en relación con la ausencia de la obtención del consentimiento en el origen de los mismos. Si no disponía del consentimiento para el tratamiento, tampoco puede ceder los datos pues no los ostenta legítimamente, no dándose el requisito de que el dato esté correctamente de base en sus sistemas. Hay que indicar, sin perjuicio de que esta Agencia es consciente de los fraudes realizados, la responsabilidad que se exige a la imputada no es una responsabilidad objetiva, porque, lo esencial es haber acreditado que actuó con la diligencia mínima que corresponde a quien, por razón de la actividad que desarrolla, se ve obligada a tratar continuamente datos personales. Por la misma razón, no se exige por la Agencia ninguna responsabilidad a las entidades que son –además del titular de los datos- víctimas de un fraude cuando han actuado diligentemente, con independencia de que exista finalmente una suplantación de personalidad del titular de los datos tratados, pero siempre que se acredite que la responsable del fichero adoptó las medidas encaminadas a asegurarse de que quien prestó el consentimiento era el verdadero titular de los datos que le fueron facilitados. DTS no adoptó este deber de cuidado en relación con el tratamiento de datos del denunciante asociado al alta inconsentida objeto de tanta cita, ni tampoco mostró el rigor exigible cuando, posteriormente, cedió los datos personales sin su previo consentimiento a un tercero, concretamente a TTI en el marco de la venta de un crédito impagado derivado del mismo servicio supuestamente contratado por el denunciante, siendo esta falta de diligencia lo que hace recaer sobre la denunciada la responsabilidad, a título de culpa, por los hechos enjuiciados. En estas circunstancias, en fecha 20/12/2013, DTS cedió a TTI los datos personales del denunciante en relación con una deuda de la que éste no era titular, puesto que DTS no ha podido acreditar la contratación del servicio que la generó, incurriendo la denunciada en la comisión de la infracción del artículo 11.1 de la LOPD en relación con el 6.1 de la misma norma, ya que dichas medidas responden a su obligación de adecuar su conducta y la información registrada en sus ficheros a la normativa de protección de datos. Como consecuencia del negocio jurídico de cesión de cartera de créditos celebrado entre la entidad denunciada y TTI, consta cuando menos acreditado que se comunicaron datos personales del denunciante, ligados además a la deuda, cuando en realidad no se acredita que sea dicha persona la que diera el consentimiento, y por tanto tampoco se la considera deudora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 Por ello, con arreglo a lo expuesto, la comunicación de datos personales del denunciante por DTS a TTI se produjo sin el consentimiento del afectado, quien no había contratado a DTS el servicio del que supuestamente derivaba el crédito objeto de compraventa ni consentido la cesión de sus datos personales, no resultando tampoco de aplicación, en lo que se refiere a la cesión de los datos personales de la denunciante vinculados a esta deuda, el supuesto recogido en el artículo 11.2.
  5. a)de la LOPD para la cesión de los datos de carácter personal Por ello, el tratamiento de datos llevado a cabo por DTS y sobre el que versa este expediente sancionador, no encuentra amparo en la Ley Orgánica 15/1999, por lo que se estima vulnerado por la denunciada el artículo 11.1 de la LOPD. Infracción tipificada en el artículo 44.3.
  6. k)de la citada norma que considera como tal “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave””. III Respecto al cargo de los recibos de 2/07/2005 a 3/01/2006 en la cuenta de la CAIXA acabada en ***2, se debe indicar que en ninguna de las manifestaciones o documentos que refiere el denunciante o aporta habla sobre dicha cuenta ni declara que se le hayan cargado o abonado recibos, y el certificado aportado indica que el contrato se canceló por causa desconocida y que lo que se produjeron fueron cargos, no que fueran abonadas. Pese a ello, no consta acreditación del consentimiento ni documento alguno que conduzca a acreditar que el número de cuenta la proporcionó el denunciante. Tampoco se acredita la cuenta o el modo de abono de los cargos emitidos antes del 2/07/2005, teniendo en cuenta que el contrato originario figura la cuenta acabada en 093. IV En cuanto a la segunda infracción, la del artículo 4.3 de la LOPD, que señala que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”, en relación con el 29.4 de la citada Ley Orgánica que dispone que: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos” y en relación también con el artículo 38. 1
  7. a)del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD);” Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada”. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38 del Reglamento de desarrollo de la LOPD, (RLOPD) “Requisitos para la inclusión de datos” dispone lo siguiente: 1. “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  8. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…). Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Por tanto, de acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que ésta haya sido requerida previamente de pago antes de comunicar los datos del deudor al responsable del fichero común. No siendo cierta la deuda, pues no aparece el consentimiento ligado al tratamiento de datos, no se puede hablar en este caso de tal certeza en cuanto a imputabilidad al sujeto denunciante. La conclusión que se desprende es que DTS es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD, en los términos previstos en el artículo 43 en relación con el artículo 3.
  9. d)y
  10. c)de la citada Ley Orgánica. V El artículo 44.3.
  11. c)de la LOPD tipifica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 desarrollan, salvo cuando sea constitutivo de infracción muy grave”. VI El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 €. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 €. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  12. a)El carácter continuado de la infracción.
  13. b)El volumen de los tratamientos efectuados.
  14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  15. d)El volumen de negocio o actividad del infractor.
  16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  17. f)El grado de intencionalidad.
  18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 comisión de la infracción.
  25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La denunciada solicita que se aplique el artículo 45.5 de la LOPD, pues ninguna de las circunstancias concurrentes en el caso podía hacer sospechar a DTS que el titular del contrato no era quien decía ser, diligencia a la hora de subsanar la situación irregular creada y se abonaron puntualmente las mensualidades durante casi 7 años, falta de intencionalidad, ausencia de beneficios La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En cuanto a la creencia legitima por la firma de un contrato y el cobro de facturas esta apariencia se queda en tal pues siendo la denunciada Respecto a la apariencia de legitimidad, la denunciada debe imponer los mínimos medios que tiene a su alcance para la acreditación del consentimiento, aunque se produzca la instalación en un domicilio, circunstancia que no se ha dado en el presente supuesto. Ello es así, incluso pudiendo haber mediado la actividad suplantadora de una tercera persona que disponiendo de los datos del denunciante por otros medios los utiliza. Tal como se contiene en la SAN recurso 45/2014 de 21/11/2014 fundamento de derecho 3 “En cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la Sentencia de 3 de octubre de 2013 -recurso nº. 54/2012 -: "Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, y a ello obedece la exigencia de documentación identificativa que la propia operadora plasma en el contrato suscrito con la distribuidora”. Sin que sea aplicable la invocada Sentencia de esta Sección de 17 de febrero de 2011 –Además, la denunciada es una entidad acostumbrada al manejo de datos, debe extremar la actuación relacionada en la identificación y constatación de la persona contratante. En cuanto al abono de mensualidades, no suponen acreditación del consentimiento, siendo la conducta del denunciante coherente pues formula denuncia en vía penal y ante esta Agencia, desconociéndose el iter o las vicisitudes de la apertura y cancelación de la cuenta en la que aparece el denunciante como titular, de la que no se acredita el consentimiento previo para su tratamiento. En cuanto a la subsanación de la situación, referida parece ser a la exclusión de datos del fichero, si se tiene en cuenta que no dio de baja cautelarmente los datos el 19/08/2013 que fue cuando lo puso en conocimiento el denunciante, sino cuando recibió la solicitud de cancelación obrando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 entonces, y pese a ello, cediendo los datos, se puede precisar que continuó el tratamiento de datos hasta dicha cesión, razones que no justifican la aplicación de la reducción contenida en el artículo 45.5 de la LOPD. En el presente caso, a efectos del artículo 45. 4 de la LOPD, se debe tener en cuenta que si bien no se obtuvieron beneficios, la infracción continuó más allá de la razonable diligencia que se exige a la denunciada cuando no dio de baja cautelarmente el 19/08/2013, y después de haber dado de baja, continuar tratando el dato dando lugar a la cesión, imponiéndose por cada infracción una sanción de 40.001 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  27. b)de dicha norma, una multa de 40.001 euros, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  28. c)de dicha norma, una multa de 40.001 euros, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a DTS DISTRIBUIDORA DE TELEVISION DIGITAL y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.