1/8 Procedimiento Nº PS/00423/2014 RESOLUCIÓN: R/00022/2015 En el procedimiento sancionador PS/00423/2014, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA SAU, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 29/08/2013 se recibe en esta Agencia denuncia de D. A.A.A., contra VODAFONE, ESPAÑA, S.A., por haber procedido a la inclusión de sus datos en ficheros de solvencia, con relación a una deuda que se encontraba pendiente de resolución por parte de la Secretaria de Estado de Telecomunicaciones y para la Sociedad de la información (SETSI). La reclamación se interpuso con fecha 19/02/2013 siendo estimada para el reclamante con fecha 29/05/2013. Se desprende del documento 1 (alegaciones del denunciante a las efectuadas por el operador) que en el trámite de dicho procedimiento VODAFONE efectúa alegaciones el 5/03/2013. Se aporta copia de la resolución reclamación, leyéndose procedimiento RC*******/13/TLM línea ***TEL.1. Se adjunta una notificación de EXPERIAN BUREAU DE CRÉDITO, donde la comunican la inclusión de sus datos a instancia de VODAFONE con fecha 02/06/2013, con relación a una deuda de 239,91 euros. Se adjunta notificación de ASNEF-EQUIFAX, donde le comunican la inclusión de sus datos desde 29/04/2013, a instancia de VODAFONE, con relación a una deuda de 245,17 euros Adjunta copia de requerimiento previo de pago de 30/04/2013 de 245, 17 euros, es decir con posterioridad a la inclusión en el caso del fichero ASNEF. Adjunta copia de nota de abono de la denunciada emitida el 5/06/2013 por 185, 38 euros, y de 2/07/2013 por 54, 67 euros. SEGUNDO: A la vista de los hechos denunciados, los Servicios de Inspección de esta Agencia en fase de actuaciones previas, obtienen la siguiente información: A) Con fecha 28/10/2013, se recibe en esta Agencia escrito de VODAFONE ESPAÑA, S.A.U., indicando: 1) Respecto de la deuda, 245,17 euros, procede de una factura de la línea ***TEL.1, emitida el 22/01/2013, que se redujo a 239,91 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 2) Vodafone tiene constancia con fecha 28/02/2013, de la entrada del primer escrito procedente de la SETSI donde el denunciante muestra su disconformidad, con la factura del mes de enero de 2013, que no fue abonada. Atendiendo a la existencia de la deuda y siguiendo los procesos de recuperación de las mismas, Vodafone efectúo con fecha 30/04/2013 un requerimiento de deuda. 3) Con fecha 02/05/2013, se le envía escrito comunicándole la inclusión de sus datos en el fichero ASNEF. Asimismo, con fecha 02/06/2013, sus datos son incluidos en el fichero BADEXCUG. En esa fecha, Vodafone recibe la resolución de la SETSI, donde se da la razón al denunciante. En ese momento, VODAFONE procede en consecuencia y excluye los datos del denunciante de ambos ficheros de solvencia. Declara que en el momento de la recepción del primer escrito de la SETSI, febrero 2013, el proceso no funcionó de manera correcta TERCERO Con fecha 24/07/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA SAU por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- c)de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 14/08/2014 la denunciada manifestó que fue el 2/06/2013 cuando recibió la estimación de la SETSI a favor del denunciante. Reconoce que si tuvieron constancia de la reclamación SETSI pero inició el procedimiento de recobro antes de que la SETSI resolviera, admitiendo su responsabilidad. Indica que al recibir la resolución de la SETSI reaccionó con rapidez cancelando la deuda y excluyendo de ficheros los datos, si bien no se tiene noticia fehaciente de la fecha de baja en ficheros. Solicita por ello que se aplique el 45.5.
- d)y 45.5.
- b)de la LOPD QUINTO: Con fecha 17/11/2014 se formuló propuesta de resolución, proponiendo “Que por el Director de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA SAU con multa de 20.000 € por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma, de conformidad con el artículo 45.1, 2, 4 y 5 de dicha LOPD.” SEXTO: Con fecha de entrada 10/12/2014 VODAFONE ESPAÑA SAU manifiesta su acuerdo con la propuesta. HECHOS PROBADOS 1) Los datos del denunciante figuran en los sistemas de VODAFONE por la titularidad de la línea ***TEL.1. La factura de 31/01/2013 de 245,17 € no fue abonada por el denunciante. (20, 22 a 25). 2) El denunciante había interpuesto reclamación ante la SETSI el 19/02/2013 relacionada con su línea ***TEL.1, en concreto con la facturación del recibo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 de 31/01/2013 llamadas al servicio “Llamar.es” a través del número ***TEL.2. En dicha factura consta un importe en dicho concepto de 153,21 € discutiendo el coste de las citadas llamadas. (4 a 6, 3). La SETSI dio traslado de la reclamación a VODAFONE, según reconoce esta, que manifiesta tuvo entrada el 28/02/2013 y respondió el 5/03/2013. Sobre lo alegado por VODAFONE se dio traslado al denunciante, según se acredita por su escrito de respuesta del denunciante a SETSI de 14/03/2013. (20, 35, 36, 3) 3) La SETSI dictó resolución el 29/05/2013 a favor del denunciante debiendo la denunciada “bonificar el importe de las llamadas reclamadas”. La denunciada manifiesta que la resolución de la SETSI entró en su entidad el 2/06/2013. (5, 6, 36). 4) Los datos del denunciante figuraron inscritos en el fichero BADEXCUG por impago de 239,91 euros desde 2/06/2013 a instancia de VODAFONE.
(8). Esta inclusión se produce a los pocos días de haberse resuelto la resolución de la SETSI (29/05/2013) favorable al denunciante, por lo que la cuantía por la que se incluye no es correcta. 5) Los datos del denunciante figuraron inscritos en el fichero ASNEF por impago de 245,17 euros desde 29/04/2013 a instancia de VODAFONE.
(9). Esta inclusión se produce antes de resolverse la reclamación interpuesta por el denunciante teniendo conocimiento la denunciada de su interposición. 6) Con fecha 5/06/2013 la denunciada efectuó una nota de abono al denunciante de 153,21 €
(11). 7) Se desconoce y la denunciada no acredita la fecha de baja de los datos del denunciante en los ficheros de solvencia. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La infracción imputada a VODAFONE deriva de lo previsto en el artículo 44.3.
- c)de la LOPD, que tipifica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. El artículo 4.3 señala: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.” También se ha de relacionar ese 4.3 con el artículo 29 de la LOPD que regula de forma específica la prestación de servicios de información sobre solvencia patrimonial y crédito, distingue dentro de ellos dos supuestos. Uno de los cuales es el relativo a los ficheros de solvencia patrimonial en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 acreedor o por quien actúe por su cuenta o interés, que se regulan en el apartado 2. Estos ficheros se caracterizan porque no necesitan del consentimiento del afectado para la obtención y tratamiento de sus datos, lo que supone una excepción a los principios rectores de la LOPD (entre ellos el del consentimiento del afectado en el tratamiento y cesión de sus datos de carácter personal). No obstante, frente a esta excepción, la propia norma articula una serie de contrapesos, como es su limitación a un caso concreto (cumplimiento o incumplimiento de obligaciones dinerarias) y la obligación de notificar a los afectados el hecho de que se han registrado sus datos de carácter personal. Por otra parte, el artículo 38 del RLOPD regula los "requisitos para la inclusión de los datos" en esos ficheros y ha sido impugnado en algunos de sus apartados ante el Tribunal Supremo, habiéndose dictado la STS de 15/07/010 (Rec. 23/2008), que anula entre otros preceptos, por disconformes a derecho, el último inciso del artículo 38.1.
- a)y el apartado 2 del citado artículo 38 del RDLOPD. Considera el Alto Tribunal que la parte del artículo 38.1.
- a)anulada, que es la que aquí nos interesa, no responde a la previsión legal del artículo 4.3 LOPD, en atención a la defectuosa redacción del precepto reglamentario por una inconcreción en su texto no solo de aquellos procedimientos que justifican la no inclusión en los ficheros de las deudas a que aquellos se refieren, sino también porque esa vaguedad permite considerar que incluso cuando la reclamación se formule por el acreedor exista la imposibilidad de inclusión de los datos en el fichero. La redacción del artículo 38 del RDLOPD, tras la aplicación de la citada STS es la siguiente: 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: Existencia previa de una deuda cierta, vencida, exigible que haya resultado impagada. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 3 El acreedor o quien actué por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo a que se refiere el artículo siguiente.” Es decir, para la inclusión de los datos en ficheros de información sobre solvencia patrimonial y crédito, tanto la redacción actual del precepto como la original, requiere al inicio del apartado 1.
- a)que la deuda sea cierta, exigencia que responde al principio de veracidad y exactitud de los datos recogido en el artículo 4.3 de la LOPD. Es el acreedor el responsable de que los datos cumplan los requisitos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Por ello se viene considerando, también con la redacción actual del citado artículo 38.1.a del RDLOPD tras la sentencia del Tribunal Supremo, que en supuestos como el presente en que consta una reclamación instada por el denunciante para dirimir la certeza y exactitud de la deuda ante un órgano administrativo, con competencia para declarar la existencia o no de la deuda, no concurre el requisito de deuda cierta exigido por el citado artículo 38.1.
- a)para la inclusión de los datos en los ficheros de solvencia patrimonial y crédito. La citada reclamación que se tramita conforme a la normativa incide en que mientras tanto se resuelve, no se ha de agravar la condición del reclamante, vedando que pueda hablarse de deuda cierta e impide su inclusión en los ficheros de solvencia patrimonial y crédito. Si cuando se está tramitando con conocimiento de la reclamada no se considera cierta, más lo sería cuando queda resuelta a favor del afectado, como en este caso. La inclusión mientras se tramita la reclamación, resulta con independencia del resultado que con posterioridad pudiera dictarse, pues como se ha señalado en la SAN de 30/05/2012 ( Rec. 664/2010 ) la certeza de la deuda constituye un requisito para que los datos personales puedan tener acceso a los citados ficheros ex artículo 38.1.
- a)RDLOPD, de tal forma que si se incluye una deuda que en ese momento no es cierta se infringe el principio de calidad de datos, por lo que al haberse ya perfeccionado la conducta típica resulta irrelevante a efectos de la existencia de la infracción, el posterior resultado de la reclamación o laudo arbitral, sin perjuicio de que, en su caso, lo resuelto por el laudo arbitral firme pueda ser valorado y tomado en consideración a efectos de poder apreciar una cualificada disminución de la antijuridicidad, especialmente a partir de la citada STS de 15 de julio 2010 . En el presente caso se ha comprobado que la denunciada comunicó el alta de los datos del denunciante al fichero ASNEF cuando aún no se había resuelto por el órgano administrativo competente las discrepancias sobre la facturación, y conocía aquella su interposición, por lo que debió abstenerse de esas dos inclusiones. Esta competencia le viene atribuida a la SETSI por el Real decreto 899/2009 de 22/05 por el que se aprueba la carta de derechos del usuario de los servicios de comunicaciones electrónicas. No se puede decidir unilateralmente la exigibilidad de la deuda y anotar en fichero de solvencia, cuando la denunciada conocía el hecho de que estaba pendiente de pronunciamiento del organismo competente. Esta tesis se mantiene por ejemplo en la sentencia de la Audiencia Nacional sección 1, recurso 227/2011, de 26/10/2012, fundamento de derecho IV “Por ello viene considerando la Sala, también con la redacción actual del citado artículo 38.1.a del RDLOPD tras la sentencia del Tribunal Supremo de 15 de julio 2010 , que en supuestos como el presente en que consta una reclamación instada por la afectada para dirimir la certeza de la deuda ante un órgano arbitral, con competencia para declarar la existencia o no de la deuda, no concurre el requisito de deuda cierta exigido por el citado artículo 38.1.
- a)para la inclusión de los datos en los ficheros de solvencia patrimonial y crédito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Es decir la citada reclamación veda que pueda hablarse de deuda cierta e impide su inclusión en los ficheros de solvencia patrimonial y crédito. No siendo cierta la deuda, y sabido por la denunciada antes de enviar los datos a los ficheros de solvencia, pues le constaba la motivación del denunciante plasmada en la reclamación, no pueden ingresar dichos datos en tales ficheros. En este caso, no se puede hablar de tal certeza. Es decir, mientras que un tercero legalmente establecido concrete, no es posible, por el sistema garantista que opera en este tipo de ficheros, la materialización de su inclusión, en un caso como este, en que se concretaba y razonaba fundadamente la posible falta de certeza de parte de la deuda. Así, la Sentencia de la Audiencia Nacional recurso 0000309/2011 de 16/11/2012 se pronuncia entre otras sobre este asunto indicando en el fundamento de derecho V: “La redacción actual del precepto, como la original, no impiden que sea sancionable el anotar en los ficheros de morosidad deudas que no son ciertas y que posteriormente deben ser canceladas por la empresa acreedora que procedió a dicha anotación". Aplicando la anterior doctrina al presente supuesto, ha de concluirse que Telefónica Móviles ha vulnerado el principio de calidad del dato del artículo 4.3 de la LOPD, al comunicar datos de la denunciante para su registro en los fichero “Asnef” y “Badexcug”, que no puede ser consideradas ciertos y exigibles teniendo en cuenta la reclamación administrativa presentada ante el regulador y por no haber realizado, al menos, la exclusión de los mismos de modo cautelar, una vez tuvo conocimiento de dicha reclamación ante el SETSI. Entidad de telefonía que incluso procedió a una segunda alta, tras la baja cautelar otorgada por el responsable del fichero, conducta que encuentra su tipificación, en la actualidad, en el artículo 43.3.
- c)de la citada Ley Orgánica.” Por tanto, la conclusión que se desprende es que se ha incumplido el requisito básico para la inclusión y permanencia en ficheros de solvencia, que ha sido la certeza de la deuda, al discutirse su cuantía. De lo anterior se deduce que las comunicaciones de los importes de la factura discutida, al fichero ASNEF y BADEXCUG implican que la denunciada facilitó una información que no respondía a la situación exacta, veraz y actual del denunciante. La conclusión que se desprende es que VODAFONE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD, en los términos previstos en el artículo 43 en relación con el artículo 3.
- d)y
- c)de la citada Ley Orgánica III El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La denunciada reconoce los hechos y su responsabilidad, procediendo de acuerdo a su petición a la aplicación del artículo 45.5 de la LOPD. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, en especial, que el alta se produce en dos ficheros, se impone una sanción de 20.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA SAU, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma, una multa de 20.000 €, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA SAU y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es