← España

PS-00511-2013

1/20 Procedimiento Nº PS/00511/2013 RESOLUCIÓN: R/02966/2013 En el procedimiento sancionador PS/00511/2013, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A.U., vista la denuncia presentada por Dña. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 26 de noviembre de 2012 se recibe en el registro de la Agencia Española de Protección de Datos escrito de Dña. A.A.A. (en lo sucesivo la denunciante) que con fecha 14 de febrero de 2013 fue subsanado en contestación al requerimiento efectuado por esta Agencia. En ambos escritos la denunciante pone de manifiesto que ha tenido conocimiento a través de su entidad bancaria de la inclusión de sus datos personales en el fichero de solvencia patrimonial y crédito ASNEF a instancias de VODAFONE ESPAÑA, S.A.U. (en adelante VODAFONE) asociados a una deuda de 1.272 €. Dicha compañía le ha informado que tal inclusión derivaba del impago de las facturas generadas por el servicio de las líneas de teléfono números ***TEL.1 y ***TEL.2 dadas de alta a su nombre. La denunciante niega dicha contratación y su responsabilidad en la deuda imputada, al igual que manifiesta que aunque el nombre, apellidos y DNI que VODAFONE le ha facilitado son correctos no ocurre lo mismo con el domicilio postal y la domiciliación bancaria de la facturación. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a EQUIFAX IBERICA, S.L., EXPERIAN BUREAU DE CREDITO, S.A. y VODAFONE ESPAÑA, S.A.U., teniendo conocimiento de lo siguiente: 1) En relación con la inclusión de datos en el fichero ASNEF con fecha 29 de abril de 2013 se solicita a EQUIFAX IBERICA, S.L. información relativa a la denunciante, con DNI ***DNI.1 , y de la respuesta recibida se desprende: - Respecto del fichero ASNEF Con fecha 14 de mayo de 2013, fecha en que se realiza la consulta en el fichero ASNEF, no figura ninguna incidencia asociada al identificador ***DNI.1 informada por VODAFONE. - Respecto del fichero de NOTIFICACIONES Constan nueve notificaciones de inclusión, cuya entidad informante es VODAFONE, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 remitidas a un domicilio ubicado en “(C/.....................1)Madrid”, cinco de las cuales figuran como devueltas :  Con fecha de emisión 14/01/2012 constan dos notificaciones por importes de 685,35 € y 645,30 €.  Con fecha de emisión 03/03/2012 constan dos notificaciones por importes de 685,35 € y 645,30 €.  Con fecha de emisión 24/03/2012 constan dos notificaciones por importes de 685,35 € y 645,30 €.  Con fecha de emisión 21/07/2012 consta una notificación por importe de 645,30 €.  Con fecha de emisión 16/08/2012 consta una notificación por importe de 645,30 €.  Con fecha de emisión 08/11/2012 consta una notificación por importe de 685,35 €. - Respecto del fichero de BAJAS Figuran cuatro bajas respecto de las incidencias informadas por VODAFONE.  Con fecha de alta de 12/01/2012 y con fecha de baja de 19/02/2012, por el motivo “TITULAR” y por un importe de 685,35 €.  Con fecha de alta 12/01/2012 y con fecha de baja de 19/02/2012, por el motivo “TITULAR” y por un importe de 645,30 €.  Con fecha de alta de 02/03//2012 y con fecha de baja de 04/04/2012, por el motivo “TITULAR” y por un importe de 645,30 €.  Con fecha de alta de 20/07/2012 y con fecha de baja de 20/11/2012, por el motivo “TITULAR” y por un importe de 586,71 €. - No consta que la denunciante haya ejercido sus derechos ARCO en relación con las incidencias informadas a su nombre por VODAFONE. 2) En relación con la entidad informante VODAFONE ESPAÑA, S.A.U. con fecha 10 de mayo de 2013 se solicita a dicha compañia información relativa a la denunciante, y de la respuesta recibida se desprende lo siguiente: - Respecto de la inclusión en ficheros de morosidad 1. En los Sistemas de Información de VODAFONE figuran los datos del denunciante como titular de las líneas ***TEL.2 y ***TEL.1, ambas con fecha de alta 09/07/2011 y con baja de fecha 01/03/2012. Figura como domicilio “(C/.....................1) Madrid”. Se observa que este domicilio no coincide con el aportado por la denunciante a esta Agencia ni con el domicilio que figura en el DNI de la misma. Respecto de los contratos suscritos al efecto, VODAFONE manifiesta que no ha sido posible su localización ni la de las grabaciones que acreditan la contratación, aunque estas se realizaron a través del canal de Televenta de la entidad. Asimismo, manifiesta que ambas líneas han sido catalogadas como fraudulentas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 2. En relación con las facturas emitidas para dichas líneas VODAFONE ha aportado impresión de pantalla donde constan las mismas y manifiesta que ninguna de ellas ha sido abonada. No obstante, indica que al ser catalogadas las líneas como fraude el importe no es reclamado al cliente. 3. Respecto de los contactos mantenidos con la denunciante, figura:  Con fecha 07/11/2012 una anotación relacionada con la reclamación de la cliente respecto al cobro por unas líneas de las que no es titular y solicita el envío de los contratos o las grabaciones. Asimismo consta anotación de fecha 08/11/2012 que se crea caso a Fraude.  Con fecha 09/11/2012 consta una anotación de Fraude donde indica que estudiada la reclamación se valora el caso como fraude en suscripción, por lo que se cambian los perfiles para anular la deuda y evitar que se continúe reclamando al cliente y se gestiona la exclusión de los ficheros de morosidad..  Con fecha 29/11/2012 consta una nueva reclamación de la cliente por la inclusión de una deuda de 1270,06 € en ASNEF sin haber contratado con la entidad. Al estudiar el caso se comprueba que se encuentra catalogado como fraude y solicitada la exclusión en ficheros de morosidad.  Consta una reclamación por escrito del cliente, de fecha 22 de noviembre de 2012 en relación con esos mismos hechos y solicitando la cancelación, siendo contestada por VODAFONE, con fecha 18 de diciembre de 2012, solicitando documentación para poder proceder a la misma. 4. VODAFONE manifiesta que se ha procedido a la exclusión de los datos de la denunciante en los ficheros de solvencia patrimonial al ser cancelada la deuda por parte de VODAFONE. TERCERO: Con fecha 30 de septiembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE ESPAÑA, S.A.U., por presunta infracción de los artículos 6.1 y 4.3 en relación con el 29.4 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificadas ambas como graves en los artículos 44.3.

  1. b)y c, respectivamente, de dicha norma, pudiendo ser sancionada cada una con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de VODAFONE, mediante escrito registrado con fecha 21/10/2013, solicitó el archivo de las actuaciones por ausencia de infracción alguna y, de no estimarse lo anterior, la imposición de una única sanción por la inexistencia de consentimiento para tramitar el alta que implicó la comisión de la otra. - Respecto de los hechos aduce que en sus sistemas se refleja que la denunciante contrató a través del canal de Televenta, con fecha 09/07/2011, los servicios de las líneas ***TEL.2 y ***TEL.1, los cuales fueron dados de baja definitiva por impago el 01/03/2012, llegando a acumularse por cada servicio dos deudas de 685,35 € y 645,30 €, lo que originó el inicio de los procesos de recobro de las deudas. - No ha existido infracción del artículo 6.1 por cuanto los datos de la denunciante se trataron mediando el consentimiento válidamente otorgado por la misma al facilitar sus datos personales durante la contratación a través del canal de Televenta, momento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 en el que no existían indicios de que fuera una contratación fraudulenta. Los datos facilitados eran datos reales y puestos al día pues fueron facilitados por ésta, siendo por tanto de aplicación lo previsto en el artículo 6.2 de la LOPD, que exime de la exigencia del consentimiento del afectado para el tratamiento de datos al existir una relación contractual. - No se ha incumplido lo dispuesto en el artículo 4.3 de la LOPD, en tanto que, por un lado, los datos tratados eran datos correctos y puestos al día, siendo facilitados por la denunciante a la hora de realizar la contratación de los servicios de telefonía móvil, todo ello sin que durante la gestión de la contratación ni cuando se giraron las facturas, todas ellas con consumo, se produjera ninguna circunstancia que hiciera sospechar que se trataba de datos incorrectos, máxime cuando no fue devuelta ninguna factura. Por otro lado, ante el impago del consumo generado por los servicios contratados se iniciaron las gestiones de recobro de la deuda y se incluyeron los datos de la denunciante en el fichero de solvencia patrimonial y crédito ASNEF entre enero de 2012 y noviembre de 2012 ante la existencia de una deuda cierta, líquida, vencida, y exigible, previamente requerida de pago, derivada del impago del consumo generado, no siendo hasta el mes de noviembre de 2012 que a raíz de la primera reclamación interpuesta por la denunciante ante VODAFONE se cancelaron las deudas y se excluyeron con carácter definitivo sus datos del fichero ASNEF. - Existencia de concurso de infracciones en aplicación de lo dispuesto en el artículo 4.4 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba Reglamento del Procedimiento para el ejercicio de la potestad sancionadora (en adelante REPEPOS). - Subsidiariamente, se solicita la aplicación del artículo 45.5 de la LOPD en atención a la cualificada disminución de su culpabilidad, derivada de que no tuvo conocimiento de la existencia de la controversia en cuanto a la contratación hasta noviembre de 2012, como a la rápida subsanación de la situación irregular a partir de ese momento. - Adicionalmente, solicita la aplicación del artículo 45.4 de la LOPD, por cumplirse todas las condiciones requeridas para rebajar la cuantía de la sanción 1) carácter continuado de la infracción (breve plazo de tiempo transcurrido entre la activación y la desactivación de los servicios y entre el conocimiento, por primera vez, de la existencia de una controversia con las contrataciones (noviembre 2012) y la exclusión de los datos del fichero ASNEF desde el conocimiento de los hechos (noviembre 2012) ; 2) volumen de los tratamientos efectuados (datos asociados a un único cliente con base a la contratación de un servicio y para recuperar la deuda ); 3) vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (VODAFONE es una empresa que continuamente trata los datos personales de sus clientes y vela por el cumplimiento de la legislación vigente en materia de protección de datos, contando con procedimientos para salvaguardar los datos personales de sus clientes y gestionar correctamente la inclusión y exclusión de datos de sus clientes de los ficheros de solvencia patrimonial y crédito; 4) Volumen de negocio o actividad del infractor: VODAFONE es una empresa que presta servicios de comunicaciones móviles, siendo conocidos los volúmenes de actividad e impagos de servicios correctamente prestados, lo que genera las gestiones pertinentes de recuperación de deuda; 5) ausencia de beneficios; 6) ausencia de intencionalidad, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 resultando evidente que los perjuicios y daños derivados de contratos fraudulentos (sin consentimiento) son soportados por la imputada; 7) no ha habido reincidencia en esta conducta; 8) ausencia de daños o perjuicios a la persona afectada ( la denunciante no ha abonado cantidad alguna y no se ha acreditado que haya sufrido perjuicio alguno) ; 9) VODAFONE ha actuado con diligencia, teniendo implantados procedimientos para la recogida de datos y tratamientos de los datos, requerir deudas y procesos de inclusión y exclusión en ficheros de morosidad. QUINTO: Con fecha 25 de octubre de 2013, se acordó por la Instructora del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta por la denunciante y su documentación adjunta, los documentos obtenidos y generados por los Servicios de Inspección ante VODAFONE, el Informe de actuaciones previas de Inspección que forman parte del expediente E/00509/2013, las alegaciones al acuerdo de inicio PS/00511/2013 presentadas por la entidad imputada y la documentación adjunta. Asimismo, con esa misma fecha se acordó solicitar a VODAFONE la remisión de la siguiente documentación e información: 1) Copia de la documentación relativa al Procedimiento: Conciliación 994/2012 seguido en el Juzgado de Primera Instancia nº 81 de Madrid; 2) Copia de la documentación contractual, o en su caso de la grabación, acreditativas de la contratación por parte de la denunciante de las dos líneas de telefonía móvil alegadas, junto con copia de la documentación recabada a raíz de dicha contratación para acreditar la identidad del contratante de las citadas líneas; 3) Copia de las facturas emitidas a nombre de la denunciante asociadas al servicio de telefonía móvil antes reseñado; 4) Indicación de la causa y momento exacto en que la contratación de las citadas líneas se califica como fraudulenta. Con esa misma fecha se solicitó a la denunciante remisión de copia de toda la documentación que obrase en su poder referente al Procedimiento: Conciliación 994/2012 seguido en el Juzgado de Primera Instancia nº 81 de Madrid, registrándose de entrada con fecha 8 de noviembre de 2013 escrito de contestación de la denunciante adjuntando la documentación solicitada. Con fecha 11de noviembre de 2013 se registra de entrada contestación de VODAFONE a las pruebas requeridas indicando lo siguiente: 1) que no cuenta con más información del procedimiento de conciliación 994/2012 que la ya aportada con anterioridad; 2) que no ha sido posible localizar los contratos relativos a los servicios titularidad de la denunciante; 3) se aporta copia de las facturas emitidas a nombre de la denunciante; 4) las líneas se catalogaron como fraudulentas el 9 de noviembre de 2012 al verificar que los datos aportados en la contratación de las líneas no coincidían con los datos aportados por la denunciante en su denuncia. SEXTO: Con fecha 16 de diciembre de 2013, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a VODAFONE por infracción de los artículos 6.1 y 4.3 de la LOPD, tipificadas ambas como graves en el artículo 44.3.
  2. b)y 44.3.c), respectivamente, de dicha norma, con dos multas de 40.001 € (Cuarenta mil un euros) cada una, de conformidad con lo establecido en los apartados 2 y 4 del artículo 45 de la citada Ley Orgánica. Con fecha 9 de enero de 2014 se registra en esta Agencia escrito de alegaciones de la representación de VODAFONE en el que manifiesta su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 disconformidad frente a los términos de la propuesta de resolución, causa por la que se reitera en los argumentos invocados con anterioridad para defender:
  3. a)la inexistencia de las infracciones imputadas en el procedimiento en cuestión;
  4. b)la procedencia de la aplicación del artículo 4.4 del REPEPOS con imposición una única sanción por la infracción originaria que implicó la comisión de la otra; y
  5. c)postular, de forma subsidiaria, conforme a lo previsto en los apartados 4 y 5 del artículo 45 de la LOPD el establecimiento de la cuantía de la sanción dentro de la escala relativa a las infracciones leves y, dentro de la misma, graduando la sanción en su cuantía mínima, todo ello al producirse una cualificada disminución de la culpabilidad al subsanarse la situación tan pronto como se conoció la posible existencia de una contratación fraudulenta y concurrir todos los criterios requeridas para rebajar la sanción. Otro sí, solicita copia de determinados documentos obrantes en el expediente administrativo que le fueron enviados mediante escrito de fecha 14 de enero de 2014. HECHOS PROBADOS PRIMERO: Con fecha 26/11/2012 tiene entrada en esta Agencia un escrito de la denunciante en el que declara que VODAFONE ha dado de alta dos líneas telefónicas a su nombre de forma fraudulenta y ha procedido a incluir sus datos en el fichero de solvencia patrimonial y crédito ASNEF ante el impago del servicio. En la denuncia aparece como DNI de la afectada el número ***DNI.1 y se facilita como domicilio la (C/.....................2) de Madrid. (folio 1) SEGUNDO: Con fecha 07/11/2012 la denunciante presentó denuncia en Comisaría de Policía del Distrito Madrid-Chamartin manifestando que a través de su entidad bancaria ha tenido conocimiento de su inclusión en una lista de morosos, averiguando con posterioridad que al parecer se había dado de alta de forma fraudulenta una línea telefónica a su nombre con la compañía VODAFONE que había generado una deuda impagada. (folios 2 al 4) TERCERO: En los sistemas de Información de VODAFONE la denunciante aparece como titular de las líneas de telefonía móvil números ***TEL.2 y ***TEL.1, ambas con fecha de alta 09/07/2011 y con baja de fecha 01/03/2012, figurando como domicilio del cliente “(C/.....................1) Madrid”, el cual no coincide con el que figura en las denuncias presentadas ante esta Agencia y en Comisaría de Policía. (folios 62 al 66) CUARTO: VODAFONE no ha aportado grabación o soporte documental que acredite sus manifestaciones relativas a que la contratación de dichas líneas se efectuó por el canal de “Televenta” (folios 53 y162 ) QUINTO: VODAFONE emitió a nombre de la denunciante un total de dieciocho facturas entre el 15/07/2011 y el 15/03/2012 por los servicios de las líneas ***TEL.2 y ***TEL.1, siendo de un importe de “0” € las giradas entre el 15/10/2011 y el 15/03/2012. Ninguna de las facturas fue abonada, resultando un saldo pendiente de pago de 685,35 € para el servicio de la línea ***TEL.2 y de 645,30 € para el servicio de la línea ***TEL.1 : (folios 54, 67, 163 al 211 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 SEXTO: Equifax Ibérica, S.L. ha comunicado que en el fichero ASNEF constan cuatro incidencias informadas por VODAFONE asociadas al NIF de la denunciante , por una operación telecomunicaciones, en la condición de titular, siendo las fechas de alta y baja respectivas las siguientes: (folios 43 al 50). - Incidencia con fecha de alta de 12/01/2012 y 19/02/2012, por un importe de 685,35 €. con fecha de baja de - Incidencia con fecha de alta 12/01/2012 y con fecha de baja de 19/02/2012 por un importe de 645,30 €. - Incidencia con fecha de alta de 02/03//2012 y con fecha de baja de 04/04/2012 por un importe de 645,30 €. - Incidencia con fecha de alta de 20/07/2012 y con fecha de baja de 20/11/2012 por un importe de 586,71 €. Las citadas incidencias fueron notificadas a la dirección (C/.....................1) Madrid (folios 27 al 37) que no resulta coincidente con la indicada en la denuncia. SÉPTIMO: En los sistemas de VODAFONE constan, entre otros, los siguientes contactos y comunicaciones mantenidos con la denunciante: - Anotación de fecha 07/11/2012 relacionada con la reclamación de la cliente respecto al cobro por unas líneas de las que no es titular y solicita el envío de los contratos o las grabaciones. Asimismo consta anotación de fecha 08/11/2012 que se crea caso a Fraude. (Folio 71) - Anotación de fecha 09/11/2012 de Fraude, donde se indica que estudiada la reclamación se valora el caso como fraude en suscripción, por lo que se cambian los perfiles para anular la deuda y evitar que se continúe reclamando al cliente y se gestiona la exclusión de los ficheros de morosidad. (folio 78) - Anotación de fecha 29/11/2012 relacionada con una nueva reclamación de la cliente por la inclusión de una deuda de 1270,06 € en ASNEF sin haber contratado con la entidad. Al estudiar el caso se comprueba que se encuentra catalogado como fraude y solicitada la exclusión en ficheros de morosidad. (folio 79) - Escrito de solicitud de cancelación de datos de la denunciante a VODAFONE de fecha 22 de noviembre de 2012, recibido el 26 de noviembre de 2012, en el que ésta también daba cuenta de la inclusión de sus datos en el fichero ASNEF por una supuesta deuda inexistente, ya que no había contratado ningún servicio con dicha compañía. (folios 85 y 86) OCTAVO: Según VODAFONE ambas líneas se catalogaron como fraudulentas con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 fecha 9 de noviembre de 2012. (folio 162 ) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36 de la LOPD. II En primer lugar, se imputa a VODAFONE la conculcación del principio del “consentimiento del afectado” recogido en el artículo 6 de la LOPD. Dicho precepto determina que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. De tal modo que el tratamiento de datos sin consentimiento de los afectados constituye un límite al ejercicio del mismo. El artículo 6 de la LOPD debe integrarse con la definición legal de “tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
  7. c)y 3,
  8. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento (artículo 43 LOPD), por tanto ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  9. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Esta definición ha de completarse con la contenida en el artículo 2, letra d), de la Directiva Comunitaria 95/46, de 24 de octubre de 1995, a cuyo tenor se considera como tal toda persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales. En el presente caso se ha producido un tratamiento automatizado de los datos personales de la denunciante por parte de VODAFONE con motivo de la supuesta contratación por parte de ésta del servicio de las líneas de telefonía móvil números ***TEL.2 y ***TEL.1, de tal forma que el nombre, apellidos y NIF de la denunciante registrados en sus ficheros se han utilizado tanto para la emisión de un total de dieciocho facturas a nombre de la afectada entre el 15/07/2011 y el 15/03/2012 como para gestión del cobro de la deuda que figuraba como pendiente de pago en sus sistemas, incluyendo la comunicación de estos datos al fichero de solvencia patrimonial y crédito ASNEF. Por lo tanto, dicha sociedad ostenta una posición jurídica, en tanto que responsable de los citados ficheros y del tratamiento informatizado efectuado con los datos personales registrados en los mismos, susceptible de generar responsabilidad por incumplimiento de uno de los principios rectores de la LOPD al haber decidido sobre la finalidad, contenido y uso del tratamiento objeto de imputación. El tratamiento de los datos personales de la denunciante efectuado por VODAFONE vulnera el principio de consentimiento recogido en el artículo 6 de la LOPD, por cuanto se realizó sin que VODAFONE haya acreditado contar con el consentimiento inequívoco de la denunciante exigido en el artículo 6.1 de la LOPD y sin probar la concurrencia de alguna de las circunstancias previstas en el artículo 6.2 de la LOPD que hubieran permitido a dicha compañía tratar los datos de la denunciante sin su consentimiento. III La representación de VODAFONE niega la existencia de la infracción imputada alegando que el tratamiento de datos de carácter personal se basaba en la existencia de una relación contractual entre las partes, que según el apartado 2 del artículo 6 de la LOPD exime de la exigencia del consentimiento del afectado, por lo que VODAFONE habría tratado los datos de la denunciante como consecuencia de la contratación por ésta de los citados servicios de telefonía móvil a través del canal de “Televenta“. Efectivamente, el sistema de contratación telefónica es un método válido y admitido en derecho del que se ocupa el Real Decreto 1906/1999, por el que se regula C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 la contratación telefónica o electrónica con condiciones generales, en desarrollo del artículo 5.3 de la Ley 7/1998, de 13 de abril, de condiciones generales de la contratación. El artículo 5.3 de la citada Ley 7/1998 establece que “en los casos de contratación telefónica o electrónica será necesario que conste en los términos que reglamentariamente se establezcan la aceptación de todas y cada una de las cláusulas del contrato, sin necesidad de firma convencional. En este supuesto, se enviará inmediatamente al consumidor justificación escrita de la contratación efectuada, donde constarán todos los términos de la misma”. El R.D. 1906/1999 reitera la obligación de confirmar documentalmente la contratación efectuada por vía telefónica, electrónica o telemática y dispone en su artículo 5.1 y 2 lo siguiente: “1. La carga de la prueba sobre la existencia y contenido de la información previa de las cláusulas del contrato; de la entrega de las condiciones generales; de la justificación documental de la contratación una vez efectuada; de la renuncia expresa al derecho de resolución; así como de la correspondencia entre la información, entrega y justificación documental y el momento de sus respectivos envíos, corresponde al predisponente. 2. A estos efectos, y sin perjuicio de cualquier otro medio de prueba admitido en derecho, cualquier documento que contenga la citada información aún cuando no se haya extendido en soporte papel, como las cintas de grabaciones sonoras, los disquetes y, en particular, los documentos electrónicos y telemáticos, siempre que quede garantizada su autenticidad, la identificación fiable de los manifestantes, su integridad, la no alteración del contenido de lo manifestado, así como el momento de su emisión y recepción, será aceptada en su caso, como medio de prueba en los términos resultantes de la legislación aplicable...” Asimismo, el artículo 4.1 del citado Real Decreto 1906/1999 establece: “1.Cumplidas las obligaciones a que se refieren los artículos 2 y 3, el adherente dispondrá de un plazo de siete días hábiles, según el calendario oficial de su lugar de residencia habitual, para resolver el contrato sin incurrir en penalización ni gasto alguno, incluido los correspondientes a la devolución del bien. El ejercicio del derecho a que se refiere este apartado no estará sujeto a formalidad alguna, bastando que se acredite en cualquier forma admitida en derecho.” Sin embargo, VODAFONE no ha presentado ningún medio de prueba que acredite la existencia de dicha contratación telefónica por parte de la afectada, al igual que tampoco ha justificado que en el momento del alta se siguiera el procedimiento establecido por la compañía para este tipo de contratación al que se aludía en la contestación efectuada durante las actuaciones previas de inspección (folios 53 y 91 al 96), de tal forma que tampoco ha acreditado la adopción de las medidas que la diligencia aconseja a fin de demostrar que la persona que presta el consentimiento es en realidad el titular de los datos tratados. Llegados a este punto debemos subrayar, una vez más, que es a la denunciada a quien incumbe la carga de probar que recabó y obtuvo el consentimiento del afectado para el tratamiento de sus datos. La LOPD exige que sea el titular de los datos quien preste su consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos, tal y como se desprende de la definición del consentimiento recogida en el citado artículo 3.
  10. h)de la LOPD y se plasma en el artículo 12.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 Reglamento de desarrollo de la Ley Orgánica 15/1999, (en adelante RDLOPD) respecto de la “Obtención del consentimiento del afectado” al establecer que “3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” Significativa en este sentido, al hablar de la contratación telefónica, es la Sentencia de la Audiencia Nacional, de 31/05/2006, Recurso 539/2004, en su Fundamento de Derecho Cuarto, cuando señala: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). Asimismo, la Audiencia Nacional en Sentencia de 01/02/2006, señaló, en cuanto a la prueba de la existencia de un consentimiento inequívoco, lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. Más recientemente la STAN de 27 de enero de 2011, (Rec 349/2009), ratifica el criterio precedente y en su Fundamento de Derecho Tercero expone: “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. Por tanto, correspondía a VODAFONE como responsable del tratamiento efectuado estar en condiciones de acreditar que había obtenido el consentimiento de la denunciante, pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento; en definitiva, le corresponde aportar la prueba de que dicho consentimiento ha sido prestado. No obstante lo cual, en el presente caso, VODAFONE no ha presentado ninguna prueba de la contratación telefónica que hubiera amparado el tratamiento de los datos personales de la afectada sin precisar de su consentimiento para el desarrollo y mantenimiento de la relación contractual en cuestión, contratación que finalmente ha sido calificada por la propia compañía como fraudulenta. En consecuencia, dicho tratamiento de datos personales de la denunciante vulnera el principio de consentimiento, recogido en el artículo 6 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento de la afectada, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a VODAFONE tratar los datos del denunciante sin su consentimiento. IV En segundo lugar, se imputa a VODAFONE la vulneración del principio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 “Calidad de los datos” recogido en el artículo 4.3 de la LOPD. Dicho precepto determina que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” El artículo 38.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Y el artículo 39 del Reglamento de desarrollo de la LOPD establece que: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4.3 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 mismos, toda vez que es él el que conoce si la deuda realmente existe o si ha sido saldada o no, siendo las entidades informantes las que deciden a quién dan de alta o de baja. Además, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999, implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. La exigencia de que la deuda sea “cierta”, (artículo 38.1.
  11. a)del R.D. 1720/2007) responde al principio de calidad de los datos plasmado en el artículo 4.3 de la LOPD. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar a ficheros comunes datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias, siempre que la información registrada en los ficheros de esta naturaleza respete el principio de veracidad y exactitud. Es objeto de estudio en el presente procedimiento, y por tanto cuestión a dilucidar en el mismo, si la inclusión de los datos de la denunciante en el fichero ASNEF se realizó conforme determina la normativa de protección de datos. En el presente caso, ha quedado probado que los datos personales de la denunciante fueron incluidos, a instancias de VODAFONE, en el citado fichero de solvencia patrimonial y crédito en cuatro ocasiones en el período comprendido entre el 12/01/2012 y el 20/11/2012 por una operación de telecomunicaciones, sin que las deudas informadas fueran ciertas, veraces ni exigibles a la denunciante por no ser la titular del servicio contratado. En relación con esta cuestión se pronuncia la Audiencia Nacional en su Sentencia de 18/01/2006, Recurso 0236/2004, “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Téngase en cuenta, además, que VODAFONE no ha acreditado la contratación por parte de la afectada de los servicios de telefonía móvil cuyo impago originó la inclusión de sus datos personales en el mencionado fichero, al igual que no ha probado la existencia de consentimiento inequívoco de la afectada para tratar sus datos asociados a los mencionados servicios de telefonía, conforme prueba que la contratación registrada en los ficheros de la compañía a nombre de la denunciante se catalogase como fraudulenta a raíz de las reclamaciones efectuadas por la denunciante ante VODAFONE. Los hechos anteriormente relatados son contrarios al principio de calidad de datos consagrado en el artículo 4.3, y en relación con el 29.4 de la LOPD. V Consta acreditado en esta Agencia que las entidades asociadas al fichero ASNEF suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. En este supuesto, los datos personales de la denunciante figuraban en los ficheros informáticos de VODAFONE, entidad que instó en cuatro ocasiones la incorporación al fichero ASNEF de tales datos con motivo de unas deudas que no respondían con veracidad a la situación real de la afectada. Dichas comunicaciones y anotaciones se realizaron mediante un procedimiento que implica un tratamiento automatizado de los datos personales de los afectados tanto por parte de la entidad informante como por parte del responsable del fichero de solvencia patrimonial y crédito. Teniendo en cuenta que la vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros, incluyendo tanto al que lo es del fichero como al del tratamiento de datos personales, resulta preciso, por tanto, determinar si, en el presente caso, VODAFONE puede ser considerada responsable del tratamiento efectuado con los datos personales de la afectada, y, más particularmente, en relación con la adecuación de su conducta a lo previsto en el principio de calidad de datos. Esta entidad trató los datos titularidad de la denunciante asociados a un importe deudor en sus propios ficheros, de los que es responsable conforme el artículo 3.
  12. d)de la LOPD y decidió su comunicación en distintas fechas a un fichero de morosidad, habiendo decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudora), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a dos ficheros comunes de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). Habida cuenta que ha quedado probado que la denunciante no era cliente de VODAFONE ni debía cantidad alguna a dicha compañía, dicha entidad resulta responsable del tratamiento inexacto de datos de la denunciante en sus propios ficheros y de su comunicación indebida a través de tratamientos automatizados a un fichero común al tratarse de una información errónea. Todo ello sin que los datos tratados e informados fueran exactos, pues las deudas asociadas a cada uno de los servicios no eran ciertas ni exigibles a la denunciante. Todo ello supone una clara vulneración del principio de calidad de datos, de la que debe responder VODAFONE por ser responsable de la veracidad y exactitud de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en los ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias, información respecto de la cual debe verificar previamente a su comunicación a tales ficheros el cumplimiento del requisito de certeza conforme a lo establecido en la normativa de protección de datos. La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que VODAFONE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4, ambos de la LOPD, y en los términos del artículo 43 en relación con las definiciones del articulo 3.
  13. d)y
  14. c)de la citada Ley Orgánica. VI El artículo 44.3.b), según modificación introducida por la Ley 21/2011, de 4 de marzo, tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Por su parte, el artículo 44.3.c), según modificación introducida por la Ley 21/2011, de 4 de marzo, tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 44.3
  15. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. VODAFONE ha incurrido en las infracciones descritas ya que ha vulnerado el principio del consentimiento consagrado en el artículos 6.1 cuando trató, sin su consentimiento previo e inequívoco, los datos personales de la afectada en sus propios ficheros asociándolos a una contratación de dos servicios que no ha quedado acreditada y a una facturación impagada no imputable a la misma. Igualmente, dicha compañía ha conculcado el principio de calidad de datos consagrado en el artículo 4.3 de la LOPD al haber tratado en sus ficheros y comunicar datos inexactos de la denunciante al fichero de solvencia patrimonial y crédito ASNEF asociados a una deuda que no era una deuda cierta, vencida ni exigible a la denunciante, quien no era cliente de dicha entidad ni responsable, por lo tanto, del impago de la facturación generada por unos servicios que no había dado de alta, conducta que encuentra su tipificación en los artículos 44.3.
  16. b)y 44.3.
  17. c)de la citada Ley Orgánica. VII Alega la representación VODAFONE la existencia de un concurso ideal entre las infracciones que se imputan, artículos 6.1 y 4.3 de la LOPD, no siendo posible sancionar conjuntamente ambas, debiendo dejar sin efecto esta última, principio de calidad del dato, por derivar necesariamente de la infracción del principio de consentimiento. El artículo 4.4 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, que dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” En un caso similar en el que el demandante también alegó concurso ideal de infracciones, la Audiencia Nacional dictó Sentencia con fecha 25 de octubre de 2013, en el Recurso 357/2012 lo siguiente: “ La STS de 8 de febrero de 1999 (Rec. 9/1996) interpreta dicho precepto en el sentido que “exige para la aplicación del concurso medial, una necesaria derivación de unas infracciones respecto de las demás y viceversa, por lo que es indispensable que las unas no puedan cometerse sin ejecutar las otras”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 Sin embargo, en el caso de autos de acuerdo con el criterio reiterado de la Sala en supuestos similares, no cabe apreciar el citado precepto al no concurrir los presupuestos establecidos para ello, por cuanto el tratamiento de los datos del denunciante sin su consentimiento pudo llevarse a cabo sin necesidad de comunicar sus datos al fichero Asnef , o lo que es igual, del tratamiento de los datos del denunciante sin su consentimiento no se deriva necesariamente la vulneración del principio de calidad de datos en relación con el artículo 29.4 de la LOPD, dado que XXXX no se limitó al tratamiento de los datos del afectado sin su consentimiento, sino que además los comunicó a los ficheros de solvencia patrimonial y crédito, pudiendo haber decidido no haberlos incluido en los citados ficheros , tratándose en definitiva de dos infracciones distintas e independientes que presentan sustantividad propia, no siendo una medio para la comisión de la otra.” En consecuencia, no procede la aplicación del precepto transcrito, al tratarse de dos infracciones totalmente diferentes e independientes, sin que la comisión de una de ellas implique, necesariamente, la comisión de la otra y viceversa. VIII El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 supuestos:
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el supuesto examinado, VODAFONE ha solicitado la aplicación subsidiaria del artículo 45.5 de la LOPD, por entender que existe una apreciada disminución de la culpabilidad en atención a la actuación diligente de la entidad, ya que en cuanto la denunciante presentó en noviembre de 2012 reclamación telefónica por el cobro de unos servicios de telefonía cuya titularidad no reconocía VODAFONE regularizó de forma inmediata la situación al valorar que se trataba de un caso de fraude de suscripción, lo que permitiría reducir la cuantía de la sanción aplicando la escala relativa a la clase de infracciones leves y, adicionalmente, la aplicación del apartado 4 del citado artículo, al concurrir todos los supuestos contemplados en el mismo lo que permitirá graduar la sanción en grado mínimo. En el presente caso, ha quedado acreditado que VODAFONE vulneró los artículos 6.1 y 4.3 de la LOPD, al tratar, por un lado, los datos de la denunciante en sus ficheros sin su consentimiento para dar de alta a su nombre dos líneas de telefonía móvil por cuyos servicios emitió facturas desde el 15/07/2011 hasta el 15/03/2012 e incluir, por otro lado, sus datos personales en el fichero de solvencia patrimonial y de crédito ASNEF en cuatro ocasiones por una deuda que no era cierta, vencida ni exigible al no mantener relación contractual con la entidad, por lo que su actuación ha de ser objeto de sanción. Las circunstancias invocadas no permiten apreciar la existencia de una cualificada disminución de responsabilidad en relación con las infracciones descritas contemplada en el artículo 45.5.
  33. a)de la LOPD. En cuanto a la infracción del principio del consentimiento VODAFONE no ha acreditado mediante ningún medio de prueba haber adoptado las medidas de seguridad exigibles para asegurarse de la identidad del contratante, ya que no ha aportado documentación escrita o sonora relativa a la contratación por parte de la denunciante de los servicios de telefonía facturados a su nombre, debiendo añadirse que la desactivación temporal de las citadas líneas en el mes de septiembre de 2011 y su baja definitiva en marzo de 2012 no constituyo una medida tendente a adecuar el tratamiento de los datos personales de la afectada a la LOPD sino que respondió, conforme consta en sus escritos de alegaciones, al impago continuado de la facturación asociada a las mismas. Respecto de la infracción del principio de calidad de datos, se considera que la anulación de la deuda en sus sistemas y la gestión de la baja del saldo deudor en el fichero ASNEF responden a la obligación de la entidad informante de adecuar los datos de la denunciante al requisito de exactitud y certeza para que respondieran a su situación real de ausencia de deuda. Sobre este particular no hay que olvidar la especial diligencia y conocimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20 la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Sin embargo, se considera que teniendo en cuenta las especificas circunstancias que concurren en el presente caso procede apreciar la existencia de motivos para la aplicación de la circunstancia contemplada en el aparto
  34. b)del artículo 45.5 de la LOPD, puesto que la operadora tan pronto como conoció con fecha 07/11/2012 los hechos objeto de controversia procedió, tal y como consta recogido en los registros telefónicos de su sistema de contactos, a regularizar rápidamente la situación. Así, con fecha 09/11/2012 VODAFONE catalogó la contratación como fraudulenta y gestionó la exclusión definitiva de los datos de la afectada del fichero de solvencia patrimonial y crédito ASNEF, lo que permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". Por otra parte, en aras a graduar la sanción que corresponda imponer por aplicación del artículo 45.5.
  35. b)de la LOPD dentro de la escala de las infracciones leves, se advierten las siguientes circunstancias recogidas en el artículo 45.4 de la LOPD que operan como agravantes en la conducta analizada. Respecto del alegato de ausencia de intencionalidad, circunstancia prevista en el apartado
  36. f)del artículo 45.4, relativa al “grado de intencionalidad”, la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), ha señalado “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la citada operadora hubiera actuado intencionadamente o con dolo, hay que señalar que los tipos apreciados no requieren dolo para su perfección, pudiendo ser cometidos a titulo de simple negligencia. Sobre la falta de perjuicios causados al afectado (apartado
  37. h)del artículo 45.4) basta con una remisión al relato de los hechos y a la denuncia para verificar su existencia, ya que la denunciante tuvo conocimiento de los hechos a través de su entidad bancaria que le informó que sus datos aparecían en el fichero ASNEF como deudora, lo que dio lugar a la interposición de una denuncia en Comisaría de Policía. En este mismo sentido se ha pronunciado la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señalando que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. En cuanto a la reincidencia (apartado
  38. g)del artículo 45.4) de la LOPD se trata de una circunstancia que por su propia naturaleza no puede operar como atenuante por derivar del incumplimiento de la norma, máxime si se considera la imposición de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 reiteradas sanciones firmes impuestas a VODAFONE por esta Agencia por vulneración de los mismos preceptos de la LOPD objeto de imputación en este expediente. Igualmente, operan como agravantes: el importante volumen de negocio (apartado
  39. d)del artículo 45.4), toda vez que se trata de una gran entidad financiera por volumen de negocio y la vinculación de su actividad con la realización de tratamientos de datos de carácter personal (apartado
  40. c)del artículo 45.4) de la LOPD, pues es evidente que en el desarrollo de la actividad que desempeña la entidad se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros. Por tanto, en el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, procede la imposición de dos multas de 20.000 € cada una de ellas por la infracción de los artículos 6.1 y 4.3 en relación con el 29.4, ambos de la LOPD, de las que VODAFONE debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  41. b)de dicha norma, una multa de 20.000 € (Veinte mil euros), de conformidad con lo establecido en los apartados 2, 4 y 5 del artículo 45 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad VODAFONE ESPAÑA, S.A., por una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, tipificada como grave en el artículo 44.3.
  42. c)de dicha norma, una multa de 20.000 € (Veinte mil euros), de conformidad con lo establecido en los apartados 2, 4 y 5 del artículo 45 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. y a Dña. A.A.A. . CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.