← España

PS-00482-2017

1/8 Procedimiento Nº PS/00482/2017 RESOLUCIÓN: R/00563/2018 En el procedimiento sancionador PS/00482/2017, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ONO, S.A.U., vista la denuncia presentada por D. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 27/03/2017 tiene entrada en esta Agencia (AGPD) denuncia presentada por Dña. A.A.A. (en lo sucesivo la denunciante) en la que pone de manifiesto que VODAFONE ONO, S.A.U. (en lo sucesivo VODAFONE ONO) ha dado de alta un servicio sin su consentimiento (línea B.B.B.) y le está facturando por el mismo. Adjunta copia de los siguientes documentos: - carta de fecha 03/10/2016 dirigida a su nombre y domicilio en la cual VODAFONE ONO le reclama el pago de factura de fecha 08/09/2016 (51 €). - carta de fecha 09/12/2016 dirigida a su nombre y domicilio en la cual VODAFONE ONO le reclama el pago de 103,91 € por impago de facturas. - carta de fecha 01/03/2017 dirigida a su nombre y domicilio en la cual VODAFONE ONO le reclama el pago de factura de 08/02/2017 (93,16 €). - carta de fecha 09/03/2017 dirigida a su nombre y domicilio en la cual, en respuesta a la reclamación de la denunciante de fecha 28/02/2017 disconforme con el alta a su nombre del servicio de fibra 50 mb y la línea fija B.B.B., VODAFONE ONO le informa que los servicios se activaron con fecha 04/08/2015 a su nombre, la aceptación del contrato se hizo mediante grabación de voz que no les ha sido posible localizar, y que en fecha 06/03/2017 se ha dado de baja definitiva el citado servicio. - Solicitud de arbitraje de consumo frente a VODAFONE ONO presentado en fecha 21/03/2017 en la Junta arbitral de consumo de Valencia en el que se reclama la anulación de contrato y de facturas emitidas de la línea B.B.B.. - carta de fecha 24/03/2017 dirigida a su nombre y domicilio en la cual VODAFONE ONO le reclama el pago de 109,52 € por impago de facturas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a VODAFONE ONO, teniendo conocimiento de los siguientes hechos: 1. En los sistemas de VODAFONE ONO constan el nombre y apellidos, DNI, domicilio y dirección de correo electrónico de la denunciante como titular de la línea B.B.B. (Fibra 50 MB) con fecha de alta 04/08/2015 y baja 06/03/2017. 2. La contratación se efectuó telefónicamente y VODAFONE ONO aportó grabación de voz en la cual una persona (C.C.C.) llama para dar de alta la línea y concertar la instalación. Al aportar su DNI le sale a pagar 30 € como cuota de alta por lo que el operador le insta a que si aporta el DNI de otra persona que ya sea cliente y así le saldrá gratis, de modo que éste manifiesta que facilita el DNI y nombre y apellidos de la dueña de la casa. El operador le señala que así puede tramitar el alta gratis sin problema y que luego vaya a una tienda y haga un cambio de titular. 3. VODAFONE ONO emitió a nombre de la denunciante factura de la línea B.B.B. por importe de 93,16 €. No consta en sus sistemas deuda asociada a la misma. 4. VODAFONE ONO mantuvo los siguientes contractos y comunicaciones en relación con la línea B.B.B.: - Fecha 14/12/2016: la denunciante reclama que se le reclama una deuda de una línea instalada en un piso que tenía alquilado y que se ha contratado sin su consentimiento. Se califica como posible suplantación de datos. - Fecha 13/01/2017: la denunciante reclama porque no le han dado información. - Fecha 28/02/2017: la denunciante solicita grabación de la contratación. Se le dice que saque el contrato del área de clientes. La denunciante no acepta esta opción, quiere la grabación. - Fecha 08/03/2017: No procede la reclamación de la denunciante reconoce como suyo el domicilio del servicio. - Fecha 06/03/2017: se recibe reclamación de la denunciante a través de la OCU en la que no reconoce la contratación de la línea y solicita se le anulen la deuda a su nombre y copia del contrato. - Fecha 09/03/2017: se informa que tiene que demandar a las personas que le suplantaron ya que el domicilio donde se dio de alta la línea es suyo y estaba alquilado en ese momento. Se le solicita copia de la denuncia. - Fecha 12/04/2017: se recibe reclamación de la denunciante a través de la Junta Arbitral de Consumo de Valencia en la que no reconoce la contratación de la línea, ya que no hay contrato firmado ni grabación de contratación y solicita se le anulen la deuda a su nombre. No procede el abono de facturas porque tienen consumo. - Fecha 08/06/2017: se recibe laudo de la Junta Arbitral de Consumo de Valencia que concluye que “…. se estima la pretensión de Dña. A.A.A. debiendo VODAFONE .. dejar sin efecto el supuesto contrato objeto de reclamación , así como anular las facturas emitidas hasta la fecha, debiendo igualmente reintegrara a la reclamante la cantidad de 103,91 € IVA incluidos abonados por la misma…, sin que en el fututo `puedan reclamar cantidad alguna por este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 concepto.. La cantidad de 103,91 € deberá ser reintegrada mediante giro postal… “ VODAFONE informa que las facturas cuya anulación se pide han sido pagadas por una persona distinta a la denunciante por lo que no hay que reembolsar nada. Se ponen en contacto con la denunciante y ésta aclara que efectivamente nunca llegó a pagar factura alguna, pero que ante las numerosas reclamaciones telefónicas por deuda de la línea abonó con tarjeta la cantidad de 103,91 € que es lo que reclama le devuelvan. Se le remite talón nominativo por dicha cantidad ya que no se posee su cuenta corriente. TERCERO: Con fecha 22 de diciembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE ONO, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de dicha norma, estableciéndose una sanción de 100.000 €, sin perjuicio de lo resultante de la instrucción del procedimiento. CUARTO: Notificado en fecha 27/12/2017 el acuerdo de inicio a VODAFONE ONO, no se efectuó alegaciones por lo que, de conformidad con los artículos 64.2.
  2. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), el acuerdo de inicio se considera propuesta de resolución del procedimiento. HECHOS PROBADOS UNICO: VODAFONE ONO trató sin consentimiento los datos personales de la denunciante (nombre y apellidos, DNI, domicilio y dirección de correo electrónico) que utilizó para contratar a su nombre la línea B.B.B. (Fibra 50 MB) con fecha de alta 04/08/2015 y baja 06/03/2017, habida cuenta que el consentimiento para dicha contratación no fue otorgado por ella, sino por una tercera persona (C.C.C.) que evidentemente no era el titular de los datos personales, significándose que la entidad conocía dicha irregularidad en el momento de efectuarse la contratación, pese a lo cual la dio validez y facturó por el uso de los servicios, facturación cuyo impago motivó que se le efectuaran sucesivas reclamaciones de una deuda incierta. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 inequívoco del afectado, salvo que la Ley disponga otra cosa”. No obstante, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” Por otra parte, el artículo 6 del Reglamento general de protección de datos, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 94/46/CE, establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
  5. b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales”; norma en vigor y aplicable a partir del 25 de mayo de 2018. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 por el cumplimiento de la ley”. “Respecto al consentimiento – dice la sentencia de la Audiencia Nacional de 4 de marzo de 2009 - , es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. VODAFONE ONO no ha aportado prueba documental que acredite que contara con el consentimiento inequívoco de la persona denunciante para poder llevar a cabo el tratamiento de datos personales realizado (asociando sus datos personales a servicios de telefonía no contratados por ella). Por el contrario ha quedado acreditado que la entidad llevó a cabo ese tratamiento amparándose en el existencia de un contrato que no fue realizado por la denunciante sino por una tercera persona que utilizó sus datos personales facilitándolos para dicha contratación, hecho éste del cual era plenamente consciente VODAFONE ONO por cuando tal irregularidad quedó plasmada en la grabación de la contratación efectuada telefónicamente. En consecuencia, por todo lo que antecede, se considera infringido el artículo 6.1 de la LOPD por parte de VODAFONE ONO, habida cuenta que no existe una relación contractual entre la entidad y la denunciante que le exima del requisito del consentimiento para el tratamiento de sus datos personales (art. 6.2 LOPD), y tampoco cuenta con el consentimiento de la misma para el tratamiento de sus datos personales como acredita la denuncia formulada por ésta ante estas Agencia. III El artículo 44.3.
  6. b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Ç En el presente caso, VODAFONE ONO ha tratado los datos personales de la persona denunciante sin su consentimiento y ha conculcado el principio del consentimiento regulado en el artículo 6.1 de la LOPD que encuentra su tipificación en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 el artículo 44.3.
  7. b)de dicha norma. IV El artículo 45 de la LOPD, en sus apartados 2, 4 y 5, establece que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  8. a)El carácter continuado de la infracción.
  9. b)El volumen de los tratamientos efectuados.
  10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  11. d)El volumen de negocio o actividad del infractor.
  12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  13. f)El grado de intencionalidad.
  14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD operando como circunstancias agravantes de la conducta que se enjuicia: - el apartado
  23. a)“El carácter continuado de la infracción” pues la línea permaneció de alta asociada a los datos personales de la denunciante desde el 04/08/2015 hasta el 06/03/2017 con el consiguiente tratamiento sin consentimiento de los mismos. - el apartado
  24. c)“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” ya que la actividad empresarial de la denunciada exige un continuo tratamiento de datos de carácter personal tanto de clientes como de terceros. - el apartado
  25. d)“El volumen de negocio o actividad del infractor”, toda vez que estamos ante uno de las principales empresas comercializadoras de energía del país. - el apartado
  26. f)“El grado de intencionalidad” por cuanto fue la propia operadora la que ofrece a un tercero la posibilidad de utilizar los datos personales de la denunciante para contratar la línea. Por todo ello, procede imponer una sanción por vulneración del artículo 6.1 de la LOPD, en la cuantía de 100.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ONO, S.A.U., por una infracción del artículo 6.1 de la LOPD de la LOPD, tipificada como Grave en el artículo 44.3.
  27. b)de la LOPD, una multa de 100.000 €, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ONO, S.A.U.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  28. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.