← España

PS-00506-2013

1/8 Procedimiento Nº PS/00506/2013 RESOLUCIÓN: R/00584/2014 En el procedimiento sancionador PS/00506/2013, instruido por la Agencia Española de Protección de Datos a la entidad TELEFONICA MOVILES ESPAÑA S.A.U., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 24/10/2012, tiene entrada en esta Agencia un escrito de A.A.A. en el que declara que recientemente ha tenido conocimiento de que una persona desconocida ha utilizado su número de DNI para contratar una línea de telefonía móvil de MOVISTAR, apercibiéndose cuando ha intentado contratar línea en MOVISTAR en un establecimiento, indicándole la entidad que su DNI figura a nombre de una tercera persona. Aporta la denunciante: 1) Impresión de pantalla de una hoja, procedente de una tienda de MOVISTAR (TME). Se ve: fecha ÚLTIMO ACCESO 23/10/2012, y muestra que, asociado al DNI de la denunciante aparece el nombre de Dª B.B.B. con una cuenta cliente y su dirección que no coincide con la que hace figurar la denunciante en la denuncia. 2) Denuncia ante la Policía de 24/10/2012. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información, con el siguiente resultado A) TELEFONICA MOVILES ESPAÑA S.A.U., con fecha de entrada 16/01/2013 indica: a. Aporta impresión de pantalla de información, obrante en sus sistemas, que aparece asociada a una tercera persona., que es la misma que la que aporta la denunciante. Indica que esa información de que disponen fue porque la citada Sra. B.B.B. adquirió el 1/09/2009 un terminal que fue pagada por la misma. Manifiesta la entidad que: <<… ha realizado las “averiguaciones””. En este sentido, el número de documento de identidad de la denunciante, A.A.A.: ***DNI.1, es igual que el de la Tarjeta de Residente: ***NÚMERO.1 de la Sra. B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 … ha realizado los trámites para cancelar el DNI de la denunciante, ...>> TERCERO: Con fecha 30/09/2013 el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a TELEFONICA MOVILES ESPAÑA S.A.U., por una infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 24/10/2013, la denunciada reitera lo alegado, añadiendo que los datos eran erróneos y lo que hizo fue inmediatamente cuando recibió la petición de información corregir el DNI, teniendo en cuenta que la denunciante no ejercitó derecho de cancelación. Ausencia de culpabilidad, lo que se produjo fue un error en el DNI, debiendo acreditarse la falta de diligencia debida. Solicita la aplicación del artículo 45.5 de la LOPD, teniendo en cuenta la proporcionalidad y circunstancias objetivas de los hechos Para acreditar que ha cancelado el DNI de la denunciante aporta impresión de sus sistemas “Criterios consulta cliente” y en tipo de documento figura ***DNI.2, sin que figuren datos de cliente, si bien el DNI de la denunciante delante del 7 lleva otra cifra que aquí no aparece. QUINTO: Con fecha 27/01/2014, se emitió propuesta de resolución con el literal: “Que por el Director de la Agencia Española de Protección de Datos se sancione a TELEFONICA MOVILES ESPAÑA S.A. con multa de 6.000 €, por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  2. c)de dicha norma, de conformidad con el artículo 45.1, 2, 4 y 5 de dicha Ley Orgánica.” SEXTO: Con fecha 14/02/2014, la denunciada reitera lo alegado e indica: 1) No se trata del uso de DNI por una no titular, sino de un error originado por la coincidencia de ambos números. El dato de la denunciante no ha sido objeto de tratamiento por parte de TME. En el caso, no se asociaba el DNI de la denunciante a esta en la base de datos, es decir, no figuraba como cliente, aunque figurase el DNI no había ningún dato más, ni se emitió factura alguna a su nombre, debería tenerse en cuenta la ausencia de culpabilidad y archivarse. 2) Aportan copia del histórico con el NIF de la denunciante fechada el 13/02/2014 sin resultado en su búsqueda, que según indica acredita que no aparece en su base de datos. 3) En el presente caso, no parece posible que TME asocie el número de DNI de la denunciante a los datos de la propia denunciante, de forma tal que permita su identificación inequívoca, sin que ello suponga efectuar esfuerzos desproporcionados. El dato del DNI en este caso es coincidente con el de la denunciante, y de forma aislada no es objeto de protección por la LOPD, por no tratarse de información concerniente a la denunciante como persona identificada o identificable para TME. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 4) Desproporción en la sanción en la propuesta, pues solo se trata del DNI, no se obtuvo beneficio alguno, no hay perjuicios y se regularizó la situación de manera diligente. HECHOS PROBADOS 1) Con fecha 23/10/2012, al ir la denunciante a efectuar una contratación a una tienda MOVISTAR, según declara, su DNI aparece en la base de datos como cliente, asociado al nombre y apellidos, y dirección de otra persona, usuaria-cliente de los servicios de MOVISTAR, según impresión de la base de datos que se le entregó por la tienda a la denunciante. Los hechos se denunciaron ante la Policía el día siguiente. La denunciante niega tener contrato de telefonía móvil con dicha entidad. (6, 7, 1). 2) Según explica TME el 16/01/2013, el DNI de la denunciante aparece en dicha base de datos porque la persona que figura, que no es la denunciante, tiene un número de tarjeta de residente igual al número del DNI de la denunciante, si bien la tarjeta porta una X al comienzo de la serie de números. Dicha persona figura, según TME en su base el 1/09/2009, al haber adquirido y abonado un terminal de conformidad con la impresión de su sistema de información en el que a 28/12/2012, figura dicho DNI de la denunciante asociado a la cliente de TME (14 a 17). 3) Según indica la denunciante en su denuncia ante la Policía el 24/10/2012, no ha recibido ninguna factura con los datos de la cliente de TME

(7). 4) TME canceló el DNI de la denunciante asociado a su cliente. 5) Según declaró TME, no le figuran reclamaciones de la denunciante por este asunto
(14)ni ejercitó el derecho de cancelación, aseverando que no consta su inclusión en fichero de solvencia. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II El artículo 4.3 de la LOPD prescribe lo siguiente: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 El “principio de calidad de datos” que se recoge en el citado artículo 4, se configura como principio básico en materia de protección de datos. La obligación establecida en el artículo 4.3 impone la necesidad de que los datos personales que se recojan en cualquier fichero de datos sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes deben cumplir esta obligación. Es, por tanto el responsable del fichero, TME que almacena y custodia la base de datos de clientes el responsable de que los datos cumplan con los requisitos que el artículo 4 de la LOPD establece, puesto que, es el que decide sobre la finalidad de dichos datos. En este caso, la falta de calidad de datos nada tiene que ver con la constancia en ficheros de solvencia de los datos de la denunciante, sino con el hecho de haber asignado a una usuaria-cliente que adquirió un terminal, un dato identificativo de DNI que no era el suyo y que al ir la denunciante a solicitar un alta de línea, se acredita que queda identificada por ser el que figura el suyo. En este caso, a través del DNI, la denunciante resultó identificada, pues figuraba como tal en la base de datos a la que las tiendas-distribuidores acceden en caso de solicitudes de alta y como primer paso efectúan una comprobación de si es o no cliente de dicha entidad, resultando la denunciante identificada como tal por su DNI. Frente a la alegación de que el DNI sin más referencia no es datos de carácter personal, se debe indicar que aquí la denunciante acude a una tienda y como protocolo de actuación se comprueba si acaso figura ya como cliente, tecleando su DNI ya apareciéndoles que con el citado DNI está en los sistemas de la denunciada a los que accede. El Distribuidor que es un encargado de tratamiento desconoce si esa persona es titular de una línea o no, pues la responsable del fichero es TME. Por tanto, en este caso resulta ineludible hablar de datos de carácter personal, al estar almacenado el DNI haciendo identificable a la denunciante. Se desprende una falta de calidad de datos de los sistemas de la denunciada, del fichero en el que figura una clienta, que tiene como asociado un DNI que es de una no clienta, la denunciante, y ahí figura, no el tratamiento, sino falta de calidad de datos. III El artículo 44.3
  2. c)de la LOPD, considera infracción grave: “
  3. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” En este caso, la denunciada ha incurrido en la infracción descrita en el artículo 4.3 de la LOPD, por falta de calidad de los datos de su fichero, al identificar a una persona con sus datos y domicilio y compra de un terminal, asociando el DNI de la denunciante. IV En lo que respecta al principio de culpabilidad, al que hace mención, entre otras, la Sentencia de la Audiencia Nacional de 28 de octubre de 2013, se señala lo siguiente: “Ya hemos apuntado que nos encontramos ante un proceso jurisdiccional en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 que se pretende una revisión de legalidad del ejercicio de la potestad sancionadora por parte de la Agencia Española de Protección de Datos, actividad punitiva que tiene por premisa indeclinable la concurrencia de la necesaria culpabilidad en el infractor, puesto que la responsabilidad objetiva se encuentra proscrita en nuestro ordenamiento jurídico. En este sentido el artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común Responsabilidad dispone que: «Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia». El alcance de la mención de la ley a la "simple inobservancia", en su relación con el principio de culpabilidad -pues pudiera pensarse que la ley pretendiese rescatar con tal referencia un sistema de responsabilidad objetiva- ha sido abordado, entre otras, por la Sentencia del Tribunal Supremo de 6 julio 2010.En ella el Alto Tribunal ha indicado: «Debe entenderse por culpabilidad el juicio personal de reprochabilidad dirigido al autor (por acción u omisión) de un hecho típico y antijurídico; ello implica y requiere que el autor sea causa de la acción u omisión que supone la conducta ilícita —a título de autor, cómplice o encubridor—; que sea imputable, sin que concurran circunstancias que alteren su capacidad de obrar, y que sea culpable ,esto es, que haya actuado con conciencia y voluntariedad, bien a titulo intencional, bien a titulo culposo. La LRJPA no contempla expresamente este requisito para la comisión de las infracciones administrativas, aunque en dos puntos concretos parece tomar en consideración los aspectos subjetivos de la conducta realizada como constitutiva de infracción. De una parte, cuando en el artículo 130.1 "in fine" se refiere a que las personas responsables de las infracciones lo han podido ser "a titulo de mera inobservancia", parece deducirse la posibilidad de la inexigencia del requisito subjetivo de la culpabilidad, o lo que es lo mismo, la posibilidad de responsabilidad sin culpa. Por otra parte, en el artículo 131.3 .a), cuando se ocupa de los criterios de graduación de las sanciones, hace referencia, como uno de ellos, a la "intencionalidad", desdeñando, quizá, a la culpabilidad como elemento determinante de la infracción. Su exigencia, sin embargo, hoy, no ofrece ninguna duda en el ámbito del Derecho Administrativo Sancionador. Se trata, pues, de un requisito esencial para la existencia de una infracción administrativa, habiéndolo reconocido así una reiterada jurisprudencia tanto del Tribunal Supremo como del Constitucional, que ha consolidado, sin discusión, su exigencia. En consecuencia, la apreciación de la culpabilidad en la conducta del sujeto infractor es una exigencia que surge directamente de los principios constitucionales de la seguridad jurídica y de legalidad en cuanto al ejercicio de potestades sancionadoras de cualquier naturaleza. El principio de culpabilidad constituye un elemento básico a la hora de calificar la conducta de una persona como sancionables, es decir, es un elemento esencial en todo ¡licito administrativo, y es un principio que opera no sólo a la hora de analizarla conducta determinante de la infracción, sino también sobre las circunstancias agravantes».” En el presente caso, la denunciada debe conocer que los datos de personas con NIE pueden causar este tipo de errores si no se identifican correctamente en sus sistemas informáticos, pues algún caso ha tenido anteriormente por el mismo hecho, pudiendo variar en las consecuencias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 TME no actuó con la diligencia debida que era exigible. V El artículo 45 de la LOPD, establece, en sus apartados 1 a 2 y 4 a 5, lo siguiente: “1 Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros.” “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  4. a)El carácter continuado de la infracción. b El volumen de los tratamientos efectuados.
  5. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  6. d)El volumen de negocio o actividad del infractor.
  7. e)Los beneficios obtenidos como consecuencia de la comisión de la
  8. f)El grado de intencionalidad.
  9. g)La reincidencia por comisión de infracciones de la misma naturaleza. infracción.
  10. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  11. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  12. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5 El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  13. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  14. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  15. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8
  16. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  17. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» TME pretende la aplicación del artículo 45.5 de la LOPD, pues corrigió el DNI, la denunciante no ejercitó derecho de cancelación, no se han dado perjuicios ni obtenido beneficios. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos.” TME es una empresa que tiene como actividad la prestación de servicios de telecomunicaciones y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes, estando, por tanto su actividad estrechamente relacionada con el tratamiento de datos personales, por tanto, existe un deber específico de vigilancia derivado de su profesionalidad, como tal. Abundante manejo de datos de carácter personal en los que ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, cuando la actividad de la denunciada es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En este sentido la STS de 5 de junio de 1998 exige a los profesionales del sector "un deber de conocer especialmente las normas aplicables", y en similares términos se pronuncian, entre otras, las SSTS de 2 de marzo de 1999 y 17 de septiembre de 1999. Se debe de poner de manifiesto la no repercusión externa de la constancia del DNI en la base de datos de la denunciada, de la que no se infieren perjuicios al no reseñar este aspecto en la denuncia, y que no responde a una contratación fraudulenta como indicaba la denunciante en su denuncia, por lo que no hay inconveniente en la aplicación del artículo 45.5 de la LOPD. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD, en concreto, que no constan perjuicios causados, ni consecuencias externas del dato que carecía de calidad, se impone una sanción de 3.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 PRIMERO: IMPONER a la entidad TELEFONICA MOVILES ESPAÑA S.A.U., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  18. c)de dicha norma, una multa de 3.000 €, de conformidad con lo establecido en el artículo 45.1,2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a TELEFONICA MOVILES ESPAÑA S.A.U. y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.