← España

PS-00429-2014

1/15 Procedimiento Nº PS/00429/2014 RESOLUCIÓN: R/02895/2014 En el procedimiento sancionador PS/00429/2014, instruido por la Agencia Española de Protección de Datos a las entidades TELEFÓNICA DE ESPAÑA, SAU, y TELEFÓNICA MÓVILES ESPAÑA S.A.U., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 30/08/2013 tiene entrada en esta Agencia una denuncia de A.A.A. en la que declara: Con fecha 24/07/2013, solicitó la cancelación de sus datos en el fichero ASNEF. Con fecha 31/07/2013, recibió la contestación a su solicitud, en la que le informan de que no pueden ser cancelados porque han sido confirmados por las entidades informantes: TELEFONICA DE ESPAÑA S.A. Y TELEFONICA MOVILES S.A. La denunciante manifiesta que la deuda que da origen a las inclusiones en ASNEF no le corresponde ya que no ha realizado ninguno de los contratos con lo que se vinculan sus datos, ni el domicilio que consta asociado es el suyo, ya que desde hace 20 años reside en el domicilio que consta en su denuncia de MOSTOLES (MADRID). Aporta:

  1. a)Solicitud de cancelación remitida al responsable del fichero ASNEF de fecha 23/07/2013. Contestación a su solicitud de fecha 31 del mismo, confirmando los datos. Copia de impresión de hoja de fichero EQUIFAX en la que se aprecia a 31/07/2013 su inclusión por Telefónica Móviles por importe de 527, 37 euros desde 9/03/2009 y por TELEFONICA desde 16/06/2009 por 259, 05 euros. Con fecha 26/11/2013, a solicitud de esta Agencia, la denunciante aporta:
  2. a)Copia de la denuncia interpuesta ante la Comisaria de Móstoles (Madrid) el 15/11/2013 por los mismos hechos denunciados, indicando que conocía a los presuntos suplantadores al haberles efectuado el arrendamiento de su vivienda, y que tienen domicilio en la (C/..........1) de Móstoles
  3. b)Documento de consulta al fichero ASNEF, de fecha 16/07/2013, con el logo de CAJA LABORAL, entidad que probablemente efectuó la consulta y se la proporcionó, donde constan dos anotaciones a su nombre por importes de 527,37 (telefonía móvil) y 259,05 euros (fija), por productos de telecomunicaciones. Como domicilio figura (C/..........1), de Móstoles
  4. c)La denunciante manifiesta que no puede aportar otra documentación como facturas etc. ya que no dispone de las mismas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 A. EQUIFAX IBERICA, SL en fecha 31/01/2014, respecto del fichero ASNEF informa: No consta en esa fecha información asociada a la denunciante. 1) Respecto del fichero de NOTIFICACIONES: Constan dos notificaciones enviadas a la denunciante como consecuencia de la inclusión de sus datos personales en el fichero ASNEF por las entidades TELEFONICA MOVILES y TELEFONICA DE ESPAÑA, con fechas 14/03/2009 y 20/06/2009 respectivamente y por importes de 527,37 y 259,05 euros La primera notificación consta remitirá a un domicilio de MOSTOLES que no coincide con el de la denunciante. La segunda notificación consta devuelta con fecha 18/08/2009. El domicilio al que se notifica es de VILLAVICIOSA DE ODON (Madrid) y figura la anotación “Confirmada como dirección contractual”. 2) Respecto del fichero de BAJAS: Constan dos bajas asociadas a las inclusiones citadas en el apartado anterior, con fechas baja 10/09/2013 y 29/01/2014 respectivamente, en ambos casos consta como motivo: F.PURA. 3) Respecto al expediente asociado al denunciante: Consta un expediente: Solicitud de cancelación de los datos de la denunciante de fecha 23/07/2013 y la contestación a la misma de fecha 31/07/2013, en la que se le informa de que sus datos han sido confirmados por las entidades informantes, en la tramitación del expediente figura las siguientes anotaciones por parte de las entidades “No presenta justificante de pago ni denuncia” y “para tratarse como usurpación debe presentar denuncia”. B. Con fecha 24/01/2014, se solicita información a las entidades TELEFONICA DE ESPAÑA S.A.U y TELEFONICA MOVILES ESPAÑA S.A.U, en relación con los hechos denunciados. No se recibió contestación de ninguna de las dos entidades. TERCERO: Con fecha 24/07/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a: TELEFONICA MOVILES ESPAÑA S.A.U, por una infracción del artículo 6.1 y otra del 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
  5. b)y 44.3.
  6. c)de dicha norma. TELEFONICA DE ESPAÑA S.A.U. por una infracción del artículo 6.1 y otra del 4.3 de la LOPD, tipificadas como graves en los artículos 44.3.
  7. b)y 44.3.
  8. c)de dicha norma. CUARTO: Notificado el acuerdo de inicio, ambas entidades obtienen copia del expediente entregado el 4/08/2014. Mediante escrito de fecha 18/08/2014, TME alega: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 1) A nombre de la denunciante figura la línea ***TEL.1, dada de alta por TELEVENTA el 13/07/2008 y que causó baja el 31/12/2008. Se adjunta grabación audio en un CD alegando que se adoptaron medidas suficientes para acreditar el consentimiento, decayendo también la infracción del artículo 4.3 LOPD al actuar en la creencia de que actuaba con datos legítimos y de buena fe, no concurriendo la culpabilidad. En el CD se escucha de primeras la voz de la operadora en una conversación ya iniciada el literal “…mayor de edad con documento”, dice la operadora un DNI que coincide con el de la denunciante y responda al cliente SI, también le pregunta si es la titular de la línea ***TEL.1 y dice que SI. Se desvela que se trata de una migración de tarjeta a contrato, la operadora indica la fecha de la oferta y la fecha actual como 13/07/2008. 2) Se emitieron facturas desde 1/08/2008 a 1/11/2008, abonándose solo la primera. En la factura de 11 se incluía el compromiso de permanencia por entrega de un terminal. Los pagos estaban domiciliados en la cuenta ***CCC.1. Indican que todas las facturas contenían servicio medido facturado, habiendo estado activa hasta la suspensión por falta de pago. Aporta copia de las facturas emitidas a nombre del denunciante, dirección que coincide con la que EQUIFAX remitió las notificaciones de inclusión. 3) “En Septiembre de 2013, tras recibir una reclamación de la denunciante denunciando el presunto uso fraudulento de sus datos de una línea fija y otra móvil que no reconoce, se analiza el caso y se solicitó la exclusión de los ficheros de solvencia y manifiesta que se anularon las facturas”. Indica que hasta el momento en que se interpuso la reclamación y se aportó la denuncia de la Policía creían que el alta era consentida, sin embargo no aporta copia de dicha reclamación ni precisa el medio por el que entró en su Organismo, teniendo en cuenta que la denuncia ante la Policía es de 15/11/2013. 4) Subsidiariamente concurriría el artículo 4.4 del REPEPOS, concurso ideal. 5) Subsidiariamente solicita la aplicación del artículo 45.5 de la LOPD por ausencia de beneficios no intencionalidad, ausencia de culpabilidad y actuación diligente al excluir los datos de los ficheros. QUINTO: Con fecha 20/08/2014, TELEFONICA DE ESPAÑA alega: 1) Los datos de la denunciante figuraron en sus sistemas como titular de la línea ***TEL.2 desde 9/06/2008 hasta 12/11/2008. Se emitieron facturas desde 6/2008 hasta 1/2009. Aporta copia de las mismas en las que se aprecia que entre otros se prestaba además de la línea básica, el servicio de DUO TV, alquiler de decodificador Imagenio con TDT e instalación y configuración. No aporta impresión de sus sistemas. No indica si alguna factura fue abonada ni el medio de dicho abono. No aporta copia de contrato ni precisa la modalidad en que se produjo. 2) La denunciante no se puso en contacto con TELEFONICA, y esta ha de comprobar la realidad de las manifestaciones vertidas por sus clientes, procediendo luego al análisis de la reclamación, se anuló la deuda y se excluyeron sus datos de los ficheros. 3) No existe infracción del 6.1 pues los datos fueron obtenidos de la denunciante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 en el momento de la contratación. Actuó con apariencia de legitimidad. Ausencia de culpabilidad. 4) Concurre el artículo 4.4 del REPEPOS de concurso ideal de infracciones SEXTO: Con fecha 19/11/2014 se emitió la propuesta siguiente: “PRIMERO: Que por el Director de la Agencia Española de Protección de Datos se sancione a TELEFÓNICA MÓVILES ESPAÑA S.A.U. con multa de 40.001 €, por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  9. c)de dicha norma, de conformidad con el artículo 45.2 y 4 de la LOPD. SEGUNDO: Que por el Director de la Agencia Española de Protección de Datos se declare el ARCHIVO de la infracción imputada a TELEFÓNICA MÓVILES ESPAÑA S.A.U. por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  10. b)de dicha LOPD. TERCERO: Que por el Director de la Agencia Española de Protección de Datos se sancione a TELEFÓNICA DE ESPAÑA, SAU:
  11. a)Con multa de 40.001 €, por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  12. b)de dicha norma, de conformidad con el artículo 45.2 y 4 de la LOPD.
  13. b)Con multa de 40.001 €, por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  14. c)de dicha norma, de conformidad con el artículo 45.2 y 4 de la LOPD.” SÉPTIMO: Con fecha de entrada 5/12/2014 TME alega que la inclusión en ficheros deviene consecuencia del impago por la emisión de facturas, considerando que disponía del consentimiento que consta en el CD de audio aportado, por lo que no existe culpabilidad y actuó con la diligencia exigible. Subsidiariamente, solicita la aplicación del artículo 45.5 de la LOPD pues se dio de baja del fichero antes de formular la denuncia policial y antes de recibir la petición de información de la Agencia. Se aprecia que no acredita disponer de la denuncia policial ni en su caso de la fecha de entrada en su entidad, pese a referirse a la misma. OCTAVO: Con fecha 10/12/2014, TELEFONICA DE ESPAÑA reitera lo alegado e incide en que no tenía conocimiento del alta fraudulenta, los datos los tenía el usurpador de la identidad de la denunciante que procedían según esta, del contrato de arrendamiento, lo que elimina su culpabilidad, de modo contrario se estaría sancionando por el resultado. Solicita la aplicación subsidiaria del artículo 45.5 de la LOPD por no culpabilidad, no intencionalidad, y no obtención de beneficios. HECHOS PROBADOS 1. TME dispone de los datos de la denunciante según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 el audio del CD que aporta, referido a la contratación de una portabilidad de la línea ***TEL.1, realizada el 12/07/2008, que pasa de tarjeta a contrato. La dirección en sus sistemas es Villaviciosa de Odón, (C/..........2), si bien también aporta facturas en que figura (C/..........1), de Móstoles (116, 123). En la conversación se identifica al cliente con el número de DNI de la denunciante, asintiendo en la portabilidad. TME precisa que se emitieron 4 facturas desde 1/08/2008 a 1/11/2008 abonándose solo la primera, de 20,33 euros en cuenta bancaria acabada en 37

(115)coincidiendo las impagadas con 527,37 € y permaneciendo de alta en dicha línea de 13/07/2008 a 31/12/2008, baja por falta de pago. En la facturación se incluyó la entrega de un terminal, por lo que se contiene la penalización por cláusula de permanencia.
(116). 2. De acuerdo con EQUIFAX, los datos de la denunciante permanecieron informados en el fichero ASNEF por TME desde 9/03/2009 hasta 10/09/2013 por impago de 527,37 € (68, 58, 85). El domicilio que figura es (C/..........1), 3
(68). Manifiesta TME que la baja del fichero fue por reclamación de la denunciante, sin que la aporte
(117).
  1. TELEFONICA DE ESPAÑA dispone de los datos de la denunciante asociados a la línea ***TEL.2, en vigor desde 9/06/2008 hasta 12/11/
  2. El domicilio que figura es en Villaviciosa de Odón (C/..........2)
(129)Se emitieron facturas desde 6/2008 hasta 1/2009, sin que la denunciada indique cuales fueron o no abonadas. No aporta copia de contrato ni acreditación de la obtención del consentimiento por algún otro medio (129, 164 a 166, 169 a 171, 174 a 176, 179 a 180, 183 a 184, 187-188, 191-195). 4. De acuerdo con EQUIFAX, los datos de la denunciante permanecieron informados en el fichero ASNEF por TELEFONICA DE ESPAÑA desde 16/06/2009 hasta 29/01/2014 por importe de 259,05 € (58, 59). El domicilio que figura es (C/..........2)
(68). La Agencia solicitó información a TELEFONICA DE ESPAÑA el 24/01/2014 (39, 58, 129) que fue cuando procedió a cursar la baja los datos de la denunciante en fichero ASNEF. 5. La denunciante se entera de su inclusión en ficheros de solvencia el 16/07/2013 a través de una entidad bancaria. En tal sentido aporta impresión de la entidad en la que se visiona como dirección la de (C/..........1), impagos totales en fichero ASNEF de 786,42 € en telefonía fija y móvil, y por otro lado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 una operación 527,37 € por producto telecomunicaciones, sin verse el informante (18,19). La (C/..........1) se asocia por la denunciante a los arrendatarios de su vivienda en la denuncia policial que luego interpondrá.
(82). 6. La denunciante ejercitó ante EQUIFAX su derecho de cancelación el 24/07/2013 frente a ambas denunciadas, precisando su falta de consentimiento para dar de alta líneas o servicios de telefonía. ”En mi caso ni siquiera tengo móvil” y que no reside en (C/..........1). En su petición exponía que no había dado de alta las líneas, no tiene móvil y no vive en dicho domicilio, (C/..........1). (67 a 73, 93, 95 a 99). La denunciante recibió escritos de respuesta de EQUIFAX el 31/07/2013, confirmando sus datos (67, 93). En la no cancelación, a nivel interno del fichero ASNEF, TELEFONICA DE ESPAÑA y TME hicieron constar “No presenta justificante de denuncia o pago”, y confirmaron como correcto el dato. (73, 99). 7. La denunciante aportó en su denuncia ante la Agencia, copia de denuncia interpuesta el 15/11/2013 ante la Comisaria de Móstoles (Madrid) expresando que alquiló una vivienda y posiblemente los datos que figuraban en el contrato se usaron por los arrendatarios para suscribirle los contratos cuyos consumos resultarían impagados y sus datos inscritos en el fichero de solvencia ANEF. (16, 17). No se acredita que la denunciante remitiera a las denunciadas copia de la denuncia interpuesta ante la Comisaria. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II Se imputa a las denunciadas una vulneración del artículo 6.1 de la LOPD que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El art. 3
  2. h)de la LOPD define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28/02/2007 -recurso nº.236/2005-, “el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. “ Por otro lado, la carga de acreditar la existencia del “consentimiento inequívoco”, a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de la Audiencia Nacional de 8/11/2012 -recurso nº. 789/2010-) ligándolo con los posibles responsables de las infracciones que se determina en el artículo 43.1 de la LOPD con el literal: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” TELEFONICA DE ESPAÑA no acredita en modo alguno el consentimiento preciso para el tratamiento de los datos de la denunciante, disponiendo de los mismos, sin haber indicado el medio en que se proporcionaron. Estuvo emitiendo facturas con los datos del denunciante, conservando sus datos mientras que por otro lado también los estuvo cediendo al fichero de solvencia. En sus sistemas no solo figuraban sus datos, sino que permanecieron en tanto tenía vigentes como exigible la citada facturación como acredita su envío/confirmación/baja de datos en el fichero de solvencia. Ello supone la comisión de la infracción del artículo 6.1 de la LOPD Por otro lado, la conservación de los datos, almacenamiento en sus propios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 sistemas se revela por el hecho de que para cederlos al fichero de solvencia es necesario que permanezcan en sus sistemas, y se acredita que al menos hasta 29/01/2014 los datos estaban actualizados en el fichero de solvencia, es decir confrontados por los envíos periódicos que TELEFONICA DE ESPAÑA remite al citado fichero, que prueba así el tratamiento de datos. Esta tesis es la que se persigue en las Sentencias de la Audiencia Nacional, sala de lo contencioso en recursos 367/2013 y 142/2013, indicándose en la primera, fundamento de derecho tercero: “La infracción que nos ocupa consiste en el tratamiento por France Telecom de los datos personales de la afectada sin su consentimiento y la controversia que se suscita gira en torno a la fijación del dies a quo del plazo de prescripción. La actora fija ese término inicial en la fecha de baja de las cinco líneas controvertidas, el 26 de mayo de 2007 criterio que no se comparte por la resolución recurrida argumentando que una cosa es la cancelación de las líneas y otra distinta cesar en el tratamiento de los datos de la afectada para el que no estaba legitimada. Efectivamente, como señala la AEPD y viene reiterando la Sala en supuestos similares, el hecho de que France Telecom diera de baja las líneas en la citada fecha no significa que dejara de tratar los datos personales de la denunciante, pues siguió manteniéndoles (nombre, apellidos y DNI) en sus ficheros junto con la deuda, lo que constituye tratamiento de datos ex artículo 3.
  3. c)de la LOPD. Téngase en cuenta que con posterioridad a dicha baja, la entidad recurrente comunicó en marzo de 2009 los datos de la denunciante al fichero de solvencia patrimonial Badexcug, para lo cual es imprescindible que dichos datos figuren en los registros de la entidad informante y que estén asociados a una deuda. Es decir, los datos de la denunciante siguieron tratándose en los ficheros de la entidad durante todo ese tiempo y hasta que se produjo la cancelación en los ficheros de morosidad (6 de febrero 2011 en el fichero Badexcug), tratándose de una infracción permanente.” La denunciada no actúa con la diligencia exigible, sin que figure documento alguno, ni grabación o copia de contrato, por lo cual, se ha de concluir, que en base a los hechos y fundamentos de derecho citados cabe apreciar que la conducta de TELEFONICA DE ESPAÑA vulnera el artículo 6.1 de la LOPD. Por otro lado, TME aporta la copia de un CD audio en el que se constata que una persona en el proceso de contratación de la línea móvil da los datos de la denunciante. En el presente caso, TME-- acredita mediante medio de prueba admisible en derecho—ex art. 80 Ley 30/92, 26/11—el alta de la línea, proporcionando la identidad de la denunciante nombre y apellidos, el DNI y número de la línea. Esta circunstancia dota a dicha contratación, por parte de TME, de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad necesario para ejercer la potestad sancionadora. No cabe apreciar culpabilidad alguna en la actuación de esta Entidad, que actuó en todo momento con la creencia de que la persona con la que contrataba era quién decía ser y se identificaba como tal, contando inclusive con el DNI de la denunciante. Por tanto, se ha de archivar la infracción imputada a TME por tratamiento sin consentimiento de los datos de la denunciante. III La ausencia de consentimiento para el tratamiento de datos de TELEFONICA DE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 ESPAÑA se halla tipificada en el artículo 44.3.
  4. b)de la LOPD que precisa como tal: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IV Se imputa a ambas denunciadas la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La Directiva 95/46 CE del Parlamento Europeo y del Consejo, que traspone la LOPD, por su parte, establece en su artículo 6. I.
  5. d)que “Los Estados miembros dispondrán que los datos personales sean….
  6. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que: “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. V Consta acreditado en esta Agencia que las entidades asociadas a ficheros de morosidad como las denunciadas suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales del denunciante son datos que figuran en los propios ficheros automatizados, en este caso de las denunciadas. Adicionalmente fueron comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  7. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  8. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en que condiciones y en que momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Y ello tanto es así, puesto que TELEFONICA DE ESPAÑA trató automatizadamente en sus propios ficheros los datos relativos al denunciante y a las supuestas deudas (no veraces ni ciertas pues no existía base de consentimiento para el tratamiento de datos) ni acredita haber adoptado la diligencia necesaria para contrastar la identidad de la persona, que realizaba la contratación mediante la grabación de la conversación mantenida o de otra manera. Adicionalmente, decidó sobre la finalidad, contenido y uso del tratamiento como fue el caso con el mantenimiento de los mismos por no aportar copia de la denuncia y resolvieron autónomamente sobre su incorporación o baja a unos ficheros comunes de solvencia patrimonial y crédito. Dichas comunicaciones se realizan, a mayor abundamiento, mediante procedimientos que implican un tratamiento automatizado de datos cuyo destino era, a su vez, un tratamiento automatizado por parte de los responsables de los ficheros de solvencia, siendo dados de alta al culminar el proceso descrito. De lo expuesto se deduce que TELEFONICA DE ESPAÑA ha sido responsable del tratamiento de datos de la denunciante en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa a la denunciante no responda a los principios de calidad de datos recogidos en el artículo 4.3 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). A su vez el Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21/12, establece en su artículo 38 los requisitos para la inclusión de datos en los ficheros de carácter personal, determinantes para enjuiciar al solvencia económica del afectado, entre los que prevé los siguientes: 1.- la existencia de una deuda cierta, vencida y exigible, y 2.- requerimiento previo al pago a quien corresponda el cumplimiento de la obligación. Conforme a lo expuesto, TELEFONICA DE ESPAÑA no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 comunicado a través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). En este caso, TELEFONICA DE ESPAÑA incorporó a su sistema de información de la denunciante los datos de la denunciante como titular de la línea referida. Posteriormente, y a lo largo de todo el período, mantuvo los datos vigentes en sus sistemas como se acredita los sucesivos y periódicos informes y /o confirmaciones de la deuda al fichero de morosidad ASNEF, llegando incluso a confirmar los datos pese a que no disponía de acreditación del consentimiento ya fuera en documento o grabación audio. Se acredita así que TELEFONICA DE ESPAÑA no solo disponía de los datos de la denunciante en sus sistemas, sino que los cedió al fichero de solvencia durante un periodo, acreditándose la falta de calidad de dicha cesión, pues no se puede considerar una deuda cierta ni veraz. VI TELEFONICA DE ESPAÑA, S.A. ha incurrido en la infracción tipificada en el artículo 44.3.
  9. c)LOPD, pues llevó a cabo el tratamiento de datos de carácter personal inexactos, de forma que no correspondían con veracidad con la situación actual de la denunciante, emitiendo facturas asociadas a los datos personales del denunciante, por servicios que ésta no había contratado, supuestamente contratados por un tercero, y, ante su impago, comunicando tales datos al fichero de solvencia, quedando asociados a una deuda que no correspondía a la denunciante. VII En cuanto la responsabilidad de la infracción del artículo 4.3 de la LOPD imputada a TME se debe analizar la existencia del CD audio que supone el archivo del tratamiento sin consentimiento, con la conducta de TME de su confirmación de datos en la cancelación de datos ejercitada por la denunciante el 24/07/2013, debido a no haber aportado documento que permitiera acreditar el indicio de sus afirmaciones. A ello se ha de añadir que TME da de baja del fichero de solvencia los datos de la denunciante el 1009-13, por reclamación de denunciante, que no aporta ni acredita. La obligación del responsable de la inclusión de datos en el fichero ha de tomar una actitud proactiva y de respeto al principio de imputabilidad de la deuda a la persona concreta sobre la que se envían los datos al fichero de solvencia. Los ficheros de solvencia se caracterizan por no necesitar el consentimiento del afectado para que sus datos se remitan al mismo, y además tener unas peculiaridades propias diferentes al tratamiento de datos que obedece en si, al principio del consentimiento del afectado. Por ello se ha de ser muy cuidadoso a la hora de informar los datos a dicho tipo de ficheros. Entidades como la denunciada maneja habitualmente datos como parte de su actividad comercial, siéndole exigible una especial diligencia. Frente a ello, la denunciante contaba con un archivo sonoro que se considera una actuación que muestra diligencia en la recogida de datos. Derivado del citado consentimiento se gestiona el impago de la deuda, confiando en que uno deriva del otro. El tener la grabación implica la gestión del consumo que se deriva del servicio, pues C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 además no contaba con reclamación ante Organismo competente o ante la Policía. Si bien esta denuncia no es exigible para proceder a la baja del fichero, si sirve como complemento para proceder a su baja cautelar al menos. Al dar eficacia de exención de culpabilidad al tratamiento, esta falta de culpabilidad se aprecia que también que se comunica a la inclusión de datos en ficheros de solvencia. Procede así, el archivo de la infracción del artículo 4.3 de la LOPD imputado a TME. VIII En cuanto a la alegación de concurrencia del 4.4 del REPEPOS estimando que el tratamiento de datos ha sido necesario para que haya también habido un registro de datos inexactos, el artículo 4.4 del Real Decreto 1398/1993, de 4/08, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” En este caso, no procede la aplicación del precepto transcrito, dado que del tratamiento sin consentimiento (infracción del artículo 6.1 de la LOPD) no deriva necesariamente la vulneración del principio de calidad de los datos tratados (infracción del artículo 4.3), considerando que las denunciadas no se limitaron al tratamiento sin consentimiento de los datos de la denunciante sino que, además, comunicaron a un fichero de morosidad una información que no era cierta, sin asegurarse de la veracidad de la misma. Son, por tanto, dos infracciones totalmente diferentes e independientes, sin que la comisión de una de ellas implique necesariamente la comisión de la otra. IX El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» TELEFONICA DE ESPAÑA, solicita la aplicación del artículo 45.5 de la LOPD por no culpabilidad, no intencionalidad, y no obtención de beneficios. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos.>> TELEFONICA DE ESPAÑA es una entidad que habitualmente maneja datos. El grado de diligencia exigible por tanto a la hora de tratar datos debe ser de cuidadoso respeto y gestión de los asuntos en los que se incluye el derecho de protección de datos. El hecho de contratar la línea sin haber obtenido el consentimiento, aunque haya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 sido de una persona que tuviera todos los datos de la denunciante no supone una reducción o anulación de culpabilidad. Así queda patente entre otras en la Sentencia de la Audiencia Nacional, de 31/05/2006, recurso 539/2004, en su Fundamento de Derecho Cuarto, señala: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”, y continúa, ”Resulta, por tanto, que tal empresa demandante no sólo no ha aportado ningún elemento probatorio que acredite la celebración telefónica del contrato, sino que tampoco ha acreditado el cumplimiento de las garantías y cautelas que determinan las normas descritas”. Respecto a la apariencia de legitimidad por los datos proporcionados, coincidentes con los de la denunciante, la denunciada debe imponer los mínimos medios que tiene a su alcance para la acreditación del consentimiento, sea telefónicamente o a través de la web, circunstancia que no se ha dado en el presente supuesto. Ello es así, incluso pudiendo haber mediado la actividad suplantadora de una tercera persona que disponiendo de los datos de la denunciante por otros medios los utiliza. Tal como se contiene en la SAN recurso 45/2014 de 21/11/2014 fundamento de derecho 3 “En cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la Sentencia de 3 de octubre de 2013 -recurso nº. 54/2012 -: "Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, y a ello obedece la exigencia de documentación identificativa que la propia operadora plasma en el contrato suscrito con la distribuidora”. Sin que sea aplicable la invocada Sentencia de esta Sección de 17 de febrero de 2011. Las otras causas alegadas tampoco permiten la aplicación del artículo 45.5 de la LOPD. Para aplicar la graduación de la sanción que prevé el artículo 45.4 de la LOPD se debe apreciar como relevantes para determinar el grado de antijuridicidad y de culpabilidad que los datos de que disponía TELEFONICA DE ESPAÑA de la denunciante y supuestamente proporcionados por los arrendatarios, dieron lugar a la existencia de una contratación fraudulenta de la que habría sido víctima la entidad infractora, y de que la denunciante no había aportado a la denunciada algún documento de denuncia de las circunstancias de la suplantación, así como que dio de baja del fichero de solvencia cuando recibió información de esta Agencia, imponiéndose dos sanciones en la cuantía de 40.001 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Declarar el ARCHIVO de las infracciones de los artículos 6.1 y 4.3 de la LOPD imputadas a TELEFÓNICA MÓVILES ESPAÑA S.A.U., tipificadas como graves en los artículos 44.3.
  25. b)y 44.3.
  26. c)de la LOPD. SEGUNDO: IMPONER a la entidad TELEFÓNICA DE ESPAÑA, SAU, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  27. b)de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 dicha norma, una multa de 40.001 €, de conformidad con lo establecido en el artículo 45., 2 y 4 de la citada Ley Orgánica. TERCERO: IMPONER a la entidad TELEFÓNICA DE ESPAÑA, SAU, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  28. c)de dicha norma, una multa de 40.001 €, de conformidad con lo establecido en el artículo 45. 2 y 4 de la citada Ley Orgánica. CUARTO: NOTIFICAR la presente resolución a TELEFÓNICA DE ESPAÑA, SAU, TELEFÓNICA MÓVILES ESPAÑA S.A.U. y a A.A.A.. QUINTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-00000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.