← España

PS-00518-2015

1/25 Procedimiento Nº PS/00518/2015 RESOLUCIÓN: R/03379/2015 En el procedimiento sancionador PS/00518/2015, instruido por la Agencia Española de Protección de Datos a las entidades PAINT TECHNOLOGY PROJECT, S.L. y VODAFONE ESPAÑA, S.A.U., vista la denuncia presentada por D A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fechas 06/10/2014 y 30/03/2015, tuvieron entrada en la Agencia Española de Protección de Datos sendos escritos de D. A.A.A. (en lo sucesivo el denunciante), en los que manifiesta que desde junio de 2014 recibe en su teléfono móvil ***TEL.1 mensajes SMS ofreciéndole servicios financieros que no ha solicitado y que en ningún momento se ha suscrito a página web o llamado a ningún teléfono sobre servicios de morosidad o de crédito. Añade que los servicios de la línea citada los tiene contratados con la compañía Orange España, S.A.U. y aporta facturas de julio y agosto de 2014. La denuncia contiene el detalle de 37 mensajes SMS´s, recibidos entre el 11 de agosto de 2014 y el 7 de enero de 2015, que consta reproducido en el Hecho Probado Segundo. En estos mensajes se indica al destinatario que contacte con el nº de línea 807*****1 en 1 caso, con el nº de línea 807*****3 en 33 ocasiones y con el nº de línea 807*****2 en 3 ocasiones. Los remitentes de los mensajes son números aleatorios de líneas móviles. Añade el denunciante que el día 29 de agosto de 2014, a las 12:20 horas, envió un mensaje de texto al ***TEL.10, en el que manifestaba lo siguiente: “Les requiero para que cancelen mis datos. Si no lo hacen les denunciare a la agencia de protección de datos”. No tuvo respuesta, y le siguieron enviando mensajes. SEGUNDO: A la vista de la denuncia reseñada y de las actuaciones desarrolladas en fase previa de investigación, los Servicios de Inspección de esta Agencia informaron lo siguiente: 1. De las actuaciones realizadas por la Inspección de Datos, los días 4 y 25 de marzo de 2015, en las instalaciones de la compañía Cordinadora Financiera e Hipotecaria, S.L. (INFOMOROSOS) y en la compañía NOBTEL, S.L. se desprende lo siguiente  NOBTEL ofrece sus servicios a través de la página web <www.ficheroasnef.com>, debiendo los clientes registrarse a través del formulario dispuesto en dicha página de internet. Los servicios que prestan son básicamente de asesoramiento y tramitación de solicitudes de los clientes ante las empresas que gestionan los ficheros de información sobre solvencia patrimonial y crédito a nivel nacional.  Los servicios que NOBTEL presta se cobran a través de las líneas de tarificación especial que utiliza para la comunicación con los clientes (líneas 807), que tiene contratadas con el operador World Premium Rates, S.A., hasta enero de 2015, fecha a partir de la cual las facturas son emitidas por la compañía Quality Telecom, S.L.  Una vez que el cliente se registra en la página web se le envía un correo electrónico a la dirección facilitada y se le invita a que llame al servicio de Atención al Ciudadano, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/25     mediante un número de teléfono de tarificación especial, que a partir de febrero de 2014 eran, entre otros, los números 807*****4, 807*****5 (baja 25 de febrero), 807*****6 y 807*****7 (baja finales marzo). La compañía INFOMOROSOS presta servicios como encargado de tratamiento, en el ámbito del artículo 12 de la LOPD, a NOBTEL, responsable del fichero, en relación a la gestión de sus clientes, es decir la tramitación de los ejercicios de los derechos solicitados por los clientes. Los servicios que prestan a sus clientes ambas compañías son idénticos (se adjunta contrato suscrito entre ambas). En el Sistema de Información de CLIENTES de NOBTEL y de INFOMOROSOS no constan datos asociados al DNI del denunciante pero en el Sistema de Información de la operadora World Premium Rates, S.A., cuenta de NOBTEL, S.L., consta registrada una llamada realizada el día 9 de enero de 2014, a las 14:18horas, desde el número ***TEL.1, con una duración de 168 segundos, al número de Atención al Ciudadano de NOBTEL 807*****6, por lo que no hubo comunicación entre NOBTEL y el denunciante, ya que no disponen de información asociada a dicha persona (la llamada pudo estar en espera). Las compañías NOBTEL e INFOMOROSOS no son ni han sido titulares de las líneas 807*****1 y 807*****3 (pudiera ser el operador la sociedad Aplicacions de Servei Monsan, S.L.). Tampoco de las líneas de los teléfonos emisores de los mensajes SMS´s recibidos por el denunciante. Todos los mensajes SMS´s enviados por NOBTEL e INFOMOROSOS como remitente siempre figura el número de tarificación adicional (+34807xxxxxx), con objeto de que el receptor pueda devolver la llamada de forma rápida y sencilla. De acuerdo con lo expuesto, los Servicios de Inspección, en su informe de actuaciones previas, concluyen que los mensajes SMS´s recibidos por el denunciante no han sido remitidos por INFOMOROSOS ni por NOBTEL, S.L. y que ninguna de las dos entidades tiene información relativa al mismo. Si bien el denunciante se puso en contacto con el teléfono de NOBTEL, la llamada no llegó a ser atendida, pero consta en el operador World Premium Rates, S.A. la traza de la llamada. 2. La compañía INFOMOROSOS, en agosto de 2014, detectó que el número de llamadas entrantes de sus clientes se había reducido considerablemente, por lo que realizaron una investigación interna y llegaron a la conclusión de que ha podido haber una tratamiento irregular de los números de teléfonos de las personas que se han puesto en contacto con INFOMOROSOS, a través del teléfono de Atención al Ciudadano, por parte de las compañías intermediarias de los servicios de telecomunicaciones. En el informe realizado por INFOMOROSOS se concluye lo siguiente: Se han detectado accesos no autorizados, al menos hasta el 11 de septiembre de 2014, a los datos de los números que llaman a INFOMOROSOS, desde la mercantil Word Premium Rates, S.A., y están utilizando esos datos para enviar SMS´s ofreciendo servicios similares a los que ofrece INFOMOROSOS. Es decir, los número de móvil que han recibido mensajes SMS´s son los números que constan en el operador Word Premium Rates, S.A., por haber contactado con INFOMOROSOS, no el número de móvil que consta en el formulario facilitado a INFOMOROSOS a través de la página web. La facturación de INFOMOROSOS se ha visto afectada alrededor de un 20-25% en pérdidas. Se desconoce cómo ha llegado a producirse tal fuga de datos desde Word Premium Rates, S.A., si bien tienen constancia de intentos de acceso no autorizados el día 11 y el 12 de septiembre de 2014, después del cambio de contraseña para el acceso a los datos que figuran en dicho operador de los clientes de INFOMOROSOS. Según datos facilitados por el propio operador y cuya acreditación consta en el informe. Todos los mensajes SMS´s irregulares son emitidos por móviles diferentes y solicitan llamar a teléfonos de tarificación adicional: 807*****8, 807*****9, 807*****10, 807*****11, 807*****1 y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 807*****3, ofreciendo servicios de créditos, consultas de ASNEF y tarot. Con fecha de 5 de marzo de 2015, INFOMOROSOS presentó denuncia ante el Juzgado de Instrucción nº 4 de Bilbao y se tramitan Diligencias Previas ****/2015 en el Juzgado de Instrucción nº 8 de Bilbao. 3. Con respecto a la compañía World Premium Rates, S.A., se han realizado las siguientes actuaciones:  La sociedad World Premium Rates ha inscrito en el Registro Mercantil lo siguiente:  Con fecha de 5 de diciembre de 2014, Declaración de unipersonalidad. Socio único: Quality Telecom, S.L.  Con fecha de 15 de diciembre de 2014 Cambio de denominación social: Pangea Content Interactive Services, S.L.  Con fecha 2 de marzo de 2015 Disolución. Fusión. Extinción. Pangea Content Interactive Services, S.L. La sociedad Servicios Telefónicos de Audiotex, S.L. inscribe en el Registro Mercantil, con fecha 2 de marzo de 2015: fusión por unión: sociedades que se fusionan: Pangea Content Interactive Services, S.L. 4. Con respecto a los números de línea 807*****3 y 807*****1 que consta en 34 mensajes SMS´s, recibidos por el denunciante, entre el día 11 de agosto y el día 27 de noviembre de 2014, la compañía Aplicacions de Servei Monsan, S.L. ha informado a la Inspección de Datos lo siguiente:  El prestador de servicio de la línea 807*****3, desde el día 12 de agosto de 2014, fue la sociedad Paint Technology Projects, S.L., con domicilio social en Paseo de la Castellana 153 bajos de Madrid, siendo su representante D. B.B.B.. La línea 807*****3 fue desactivada y desasignada al prestador de servicio Paint Technology Projects, S.L. el día 28 de enero de 2015, desde dicha fecha no recibe llamadas.  El prestador del servicio de la línea 807*****1, durante el periodo comprendido entre el 7 de agosto de 2014 y el 30 de septiembre de 2015, fue la compañía Paint Technology Projects, S.L. En los periodos en los que los números fueron explotados por Paint Technology Projects, S.L. recibieron reclamaciones por parte de diferentes asociaciones de consumidores y solicitudes de información por parte de la CNMC. 5. Con respecto al número de línea 807*****2 que consta en 3 mensajes SMS´s, recibidos por el denunciante, los días 9 y 16 de diciembre de 2014 y el 7 de enero de 2015, la compañía Aplicacions de Servei Monsan, S.L. ha informado a la Inspección de Datos lo siguiente: El prestador de servicio de la línea 807*****2, desde el día 12 de agosto de 2014, fue la sociedad Paint Technology Projects, S.L. Dicha línea fue desactivada y desasignada al prestador de servicio Paint Technology Projects, S.L. el día 28 de enero de 2015. Desde dicha fecha no recibe llamadas. Aplicacions de Servei Monsan, S.L. ha recibido una solicitud de suspensión del servicio de la línea 807*****2 por parte de la CNMC. 6. La Inspección de Datos se personó, el día 11 de marzo de 2015, en la sede social de la compañía Paint Technology Projects, S.L., que consta en el Registro Mercanti, en el contrato y facturas de las líneas 807*****3 y 807*****1, que corresponde con un Centro de Negocios, no estando presente ningún responsable ni trabajador de la compañía. Los inspectores solicitaron a los empleados del Centro de Negocios que informasen a los responsables de la compañía para que contacten con la AEPD, no habiéndose obtenido respuesta hasta la fecha. Por otra parte, la compañía Paint Technology Projects, S.L. no ha dado respuesta a los requerimientos de la AEPD, de fecha 30 de junio y 28 de julio de 2015, en los que se le solicitaba C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 información en relación con los mensajes recibidos por el denunciante. El primer escrito fue entregado en destino el día 7 de julio de 2015 y el segundo fue devuelto a su origen el por “desconocido”. 7. Con respecto a las líneas emisoras de los 37 mensajes SMS´s recibidos por el denunciante, se ha verificado por la Inspección de Datos, a través de la web de la Comisión del Mercado de las Telecomunicaciones (CMT) <www.cmt.es>, que el operador propietario, de una muestra “6”, es la compañía VODAFONE ESPAÑA, S.A.U. (en lo sucesivo VODAFONE). 8. La compañía VODAFONE, en respuesta al requerimiento de información que le fue efectuado por los Servicios de Inspección de la AEPD, ha confirmado el envío de 32 mensajes al número del denunciante desde 32 líneas diferentes con servicio bajo la modalidad de prepago. En relación con estas líneas emisoras de los mensajes, VODAFONE advirtió que todas ellas están dadas de baja, por lo que resulta imposible efectuar una acción de cualificación de los datos que se encuentran incompletos. La información facilitada por la citada operadora sobre la titularidad de las líneas y su activación es la siguiente:  ***TEL.2: Servicio activado el 24 de junio de 2014, habiéndose portado al operador Amena el 15 de febrero de 2015, su titular C.C.C., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista Telenet Central Logística, y fue vendido al comprador en el punto de venta minorista D.D.D..  ***TEL.3: Servicio activado el 10 de junio de 2014, habiéndose dado de baja por expiración el 4 de abril de 2015, su titular E.E.E., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista CSQ y fue vendido al comprador en el punto de venta minorista Umar Pasowal, S.L.  ***TEL.4: Servicio activado el 24 de junio de 2014, habiéndose dado de baja por expiración el 9 de mayo de 2015, su titular F.F.F., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista CSQ, y fue vendido al comprador en el punto de venta minorista Umar Pasowal, S.L.  ***TEL.5: Servicio activado el 17 de junio de 2014, habiéndose dado de baja por expiración el 26 de abril de 2015, su titular G.G.G., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista Telenet y fue vendido al comprador en el punto de venta minorista Compañía Europea de Distribución de Teléfonos y sus Accesorios, S.L. (Cedtysa).  ***TEL.6: Servicio activado el 24 de junio de 2014, habiéndose dado de baja por expiración el 3 de mayo de 2015, su titular H.H.H., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista Sercom, y fue vendido al comprador en el punto de venta minorista Amin Telecomunicación, S.L.  ***TEL.7: Servicio activado el 24 de junio de 2014, habiéndose dado de baja por expiración el 9 de mayo de 2015, no constan datos del comprador. Este servicio fue adquirido por el mayorista CSQ, y fue vendido al comprador en el punto de venta minorista Umar Pasowal, S.L.  ***TEL.8: Servicio activado el 24 de junio de 2014, habiéndose dado de baja por expiración el 9 de mayo de 2015, su titular I.I.I., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista CSQ, y fue vendido al comprador en el punto de venta minorista J.J.J..  ***TEL.9: Servicio activado el 9 de junio de 2014, habiéndose dado de baja por expiración el 4 de abril de 2015, su titular K.K.K., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista Panini, y fue vendido al comprador en el punto de venta minorista L.L.L.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25  ***TEL.10: Servicio activado bajo la modalidad de prepago el 24 de junio de 2014, habiéndose dado de baja por expiración el 6 de junio de 2015, su titular M.M.M., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista Sercom, y fue vendido al comprador en el punto de venta minorista N.N.N..  ***TEL.11: Servicio activado el 26 de junio de 2014, habiéndose dado de baja por expiración el 28 de enero de 2015, su titular O.O.O., con nacionalidad XXXX.1. Este servicio fue adquirido por el mayorista Panini y fue vendido al comprador en el punto de venta minorista P.P.P..  ***TEL.12: Servicio activado el 24 de junio de 2014, habiéndose dado de baja por expiración el 26 de mayo de 2015, no constan datos del comprador. Este servicio fue adquirido por el mayorista Sercom, y fue vendido al comprador en el punto de venta minorista N.N.N. (ALISON).  ***TEL.13: Servicio activado el 24 de junio de 2014, habiéndose dado de baja por expiración el 3 de mayo de 2015, su titular Q.Q.Q., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista CSQ, y fue vendido al comprador en el punto de venta minorista J.J.J..  ***TEL.14: Servicio activado el 24 de junio de 2014, habiéndose dado de baja por expiración el 19 de abril de 2015, no constan datos del comprador. Este servicio fue adquirido por el mayorista Telenet, y fue vendido al comprador en el punto de venta minorista Cedtysa, S.L.  ***TEL.15: Servicio activado el 3 de septiembre de 2014, habiéndose dado de baja por expiración el 30 de junio de 2015, titular la empresa Sodimper Málaga, S.L. Este servicio fue adquirido por el mayorista CSQ, y fue vendido al comprador en el punto de venta minorista GRAN VIA 282, S.L.  ***TEL.16: Servicio activado el 2 de septiembre de 2014, habiéndose dado de baja por expiración el 12 de febrero de 2015, su titular la empresa Sodimper Málaga, S.L. Este servicio fue adquirido por el mayorista CSQ, y fue vendido al comprador en el punto de venta minorista GRAN VIA 282, S.L.  ***TEL.17: Servicio activado el 11 de septiembre de 2014, habiéndose dado de baja por expiración el 17 de abril de 2015, su titular la empresa Último Avances, S.L. Este servicio fue adquirido por el mayorista Panini, y fue vendido al comprador en el punto de venta minorista Sodimper Málaga, S.L.  ***TEL.18: Servicio activado el 20 de junio de 2014, habiéndose dado de baja por expiración el 13 de junio de 2015, su titular R.R.R., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista CSQ, y fue vendido al comprador en el punto de venta minorista Raj Wali, S.L.  ***TEL.19: Servicio activado el 29 de mayo de 2014, habiéndose dado de baja por expiración el 4 de mayo de 2015, su titular S.S.S., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista Telenet y fue vendido al comprador en el punto de venta minorista Telecomunicaciones Llamaya.  ***TEL.20: Servicio activado el 9 de septiembre de 2014, habiéndose dado de baja por expiración el 30 de junio de 2015, su titular la empresa Telkia, S.L. Este servicio fue adquirido por el mayorista CSQ, y fue vendido al comprador en el punto de venta minorista Watanya, S.L.  ***TEL.21: Servicio activado el 24 de junio de 2014, habiéndose dado de baja por expiración el 5 de marzo de 2015, su titular T.T.T., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista Telenet y fue vendido al comprador en el punto de venta minorista Tecnogazul, S.L.  ***TEL.22: Servicio activado el 10 de junio de 2014, habiéndose dado de baja por expiración el 2 de mayo de 2015, su titular U.U.U., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista CSQ, y fue vendido al comprador en el punto de venta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 minorista Watanya, S.L.  ***TEL.23: Servicio activado el 2 de junio de 2014, habiéndose dado de baja por expiración el 26 de febrero de 2015, su titular V.V.V., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista Telenet y fue vendido al comprador en el punto de venta minorista Telecomunicaciones Animada.  ***TEL.24: Servicio activado el 9 de septiembre de 2014, habiéndose dado de baja por expiración el 30 de junio de 2015, su titular la empresa Telkia, S.L. Este servicio fue adquirido por el mayorista CSQ, y fue vendido al comprador en el punto de venta minorista X.X.X.  ***TEL.25:- Servicio activado el 4 de junio de 2014, habiéndose dado de baja por expiración el 26 de mayo de 2015, no constan datos del comprador. Este servicio fue adquirido por el mayorista Telenet y fue vendido al comprador en el punto de venta minorista Electrodomésticos Montsia, S.L.  ***TEL.26: Servicio activado el 24 de junio de 2014, habiéndose dado de baja por expiración el 17 de junio de 2015, su titular Y.Y.Y., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista Sercom, y fue vendido al comprador en el punto de venta minorista Z.Z.Z..  ***TEL.27: Servicio activado el 1 de julio de 2014, habiéndose dado de baja por expiración el 30 de junio de 2015, su titular A.A.1., con pasaporte ***PASAPORTE.1 y con nacionalidad XXXX.  ***TEL.28: Este servicio es un servicio activado bajo la modalidad de prepago el 3 de septiembre de 2014, habiéndose dado de baja por expiración el 13 de junio de 2015, su titular la empresa Sodimper Málaga, S.L. Este servicio fue adquirido por el mayorista CSQ, y fue vendido al comprador en el punto de venta minorista X.X.X..  ***TEL.29: Servicio activado el 3 de septiembre de 2014, habiéndose dado de baja por expiración el 13 de junio de 2015, su titular la empresa Sodimper Málaga, S.L. Este servicio fue adquirido por el mayorista CSQ, y fue vendido al comprador en el punto de venta minorista Chema Pak Food, S.L.  ***TEL.30: Servicio activado el 30 de junio de 2014, habiéndose dado de baja por expiración el 12 de mayo de 2015, su titular A.A.2., con nacionalidad XXXX. Este servicio fue adquirido por el mayorista Telenet, y fue vendido al comprador en el punto de venta minorista A.A.3.  ***TEL.31: Servicio activado el 3 de septiembre de 2014, habiéndose dado de baja por expiración el 13 de junio de 2015, su titular Sodimper Málaga, S.L. Este servicio fue adquirido por el Mayorista CSQ, y fue vendido al comprador en el punto de venta minorista Chema Pak Food, S.L.  ***TEL.32: Servicio activado el 15 de septiembre de 2014, habiéndose dado de baja por expiración e 13 de junio de 2015, no constan datos del comprador. Este servicio fue adquirido por el mayorista Panini, y fue vendido al comprador en el punto de venta minorista Servicam Broker, S.L.  ***TEL.33: Servicio activado el 5 de diciembre de 2014, habiéndose dado de baja por expiración el 11 de julio de 2015, su titular la empresa Cedtysa. Este servicio fue adquirido por el mayorista Panini y fue vendido al comprador en el punto de venta minorista Servicam Broker, S.L. 9. En relación con el número de línea ***TEL.1, contratada por el denunciante con la compañía Orange Espagne, S.A.U. en el periodo que se recibieron los mensajes, la Inspección de Datos ha remitido sendos requerimientos a dicha operadora con objeto de que confirmara la recepción de los mensajes en el nº de línea del denunciante no habiéndose obtenido respuesta hasta la fecha. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25 Considerando las actuaciones realizadas, en el Informe elaborado por los Servicios de Inspección de la AEPD se reseñaron las conclusiones siguientes: El denunciante ha recibido en el nº de línea ***TEL.1, al menos, 32 mensajes SMS´s, entre el día 11 de agosto de 2014 y el día 7 de enero de 2015, remitidos desde distintos nº de líneas prepago de la operadora VODAFONE, habiendo sido confirmados por la misma. En el texto de los mensajes se indica al destinatario que llamen a los nº de líneas: 807*****1, 807*****3 y 807*****2, todos ellos titularidad de la compañía Paint Technology Projects, S.L. El denunciante realizó una llamada al nº de línea 807*****6, titularidad de NOBTEL, S.L., si bien al ser de una duración muy baja, 168 segundos, solo quedó constancia de la misma en el operador del servicio de red de tarificación adicional World Premium Rates, habiéndose detectado accesos no autorizados a los datos de los clientes de NOBTEL a través de los registros de la operadora Word Premium Rates (actualmente Servicios Telefónicos de Audiotex, S.L.). La incidencia relacionada con los accesos por terceros a los registros de la entidad Servicios Telefónicos de Audiotex, S.L. fue objeto del procedimiento señalado con el número PS/00175/2015. TERCERO: Con fecha 01/10/2015, el Director de la Agencia Española de Protección de Datos acordó: 1. Iniciar procedimiento sancionador a la entidad VODAFONE, por la presunta infracción del artículo 4.3, en relación con el artículo 4.4, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de la misma norma, pudiendo ser sancionadas con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. 2. Iniciar procedimiento sancionador a la entidad PAINT TECHNOLOGY PROJECT, por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como grave en el artículo 38.3.
  2. c)de la citada Ley, pudiendo ser sancionada con multa de 30.001 hasta 150.000 euros, de acuerdo con el artículo 39.1.
  3. b)de la misma norma. CUARTO: Notificado el acuerdo de inicio reseñado en el Antecedente Tercero, la entidad VODAFONE presentó escrito de alegaciones, en el que solicita la aplicación de lo establecido en el artículo 45.5 de la LOPD, imponiendo una sanción por el importe mínimo previsto, conforme a las consideraciones siguientes: . En lo que respecta a la infracción del art. 4.3, en relación con el 4.4, ambos de la LOPD, por la existencia de una serie de datos de compradores de servicios prepago con datos incompletos por faltarles el número de DNI asociado, cabe indicar que tras la revisión de los mismos; y dejando a un lado aquellos números desde los que no constaban mensajes enviados, los erróneos y que de los servicios ***TEL.15, ***TEL.16, ***TEL.17 ***TEL.20, ***TEL.24, ***TEL.28, ***TEL.29, ***TEL.31, ***TEL.33, si se dispone de todos los datos; del resto de servicios, en unos casos sólo se dispone del nombre y apellidos y la nacionalidad, o en otros, los menos, no se dispone de datos, por lo que esta parte no puede sino reconocer la infracción imputada. . Resulta de aplicación lo previsto en los apartados 4 y 5 del artículo 45 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 Así, en primer lugar y en cuanto al apartado b), en relación con los servicios prepago, dispone de procesos destinados a auditar los sistemas donde están los datos de los clientes prepago, de manera rutinaria, precisamente para localizar y tratar de corregir estos casos. Sin embargo, como se desprende de todos los casos afectados, su periodo de vida antes de la expiración es muy corto, la media está entre 7 y 9 meses por lo que teniendo en cuenta que los procesos de auditoria son superiores al año de media, cuando se lleva a cabo la revisión son servicios desactivados con los que no se puede contactar para corregirlos, como es el caso donde a día de hoy son servicios expirados desde hace varios meses y que no pueden seguir efectuando esas prácticas. Además, en todos los casos, las tarjetas han sido adquiridas primero por mayoristas y, posteriormente vendidas, según los contratos formalizados, en los que se les traslada la obligación de recabar los datos de manera correcta y ajustada a la normativa; y
  4. d)Vodafone ha reconocido la culpabilidad en este caso. En cuanto al apartado 45.5
  5. a)de la LOPD en relación con el 45.4 de la LOPD, considera esta parte que concurren varias de las circunstancias previstas en el mismo, en tanto que,
  6. a)no existe carácter continuado en el presente caso, puesto que los mensajes se pueden mandar bajo dos premisas, que el servicio tenga saldo, y la expiración del mismo, además se trata de servicios desde los que se ha mandado un mensaje al destinatario,
  7. b)teniendo en cuenta el volumen de clientes prepago de la compañía, no estamos hablando de un volumen elevado de escenarios en los que se repita este caso,
  8. d)y
  9. e)el volumen de negocio, tal y como la Agencia conoce, no está incrementando año a año, sino todo lo contrario, y en este caso lo que ha sufrido son perjuicios derivados de una contratación que finalmente no es cierta,
  10. f)no resulta intencionado disponer de datos que no sean inciertos cuando tiene procedimientos destinados a mayoristas y minoristas tendentes a cumplir con las obligaciones pertinentes de identificación de servicios prepago, como ha quedado acreditado,
  11. g)no se trata de una tipología de casos que pueda considerarse que vienen reiterándose en VODAFONE, siendo este caso el segundo o tercero relacionado con hechos de este tipo, e
  12. i)VODAFONE tiene acordados procedimientos tanto para que todas las partes cumplan con las obligaciones y al mismo tiempo corregir posibles incongruencias con los datos recogidos. QUINTO: Notificado el acuerdo de inicio reseñado en el Antecedente Tercero, el plazo concedido a la entidad PAINT TECHNOLOGY PROJECT para formular alegaciones finalizó sin que en esta Agencia se haya recibido escrito alguno. SEXTO: Con fecha 25/11/2015, se emitió propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se adopten los siguientes acuerdos: . Que se sancione a la entidad PAINT TECHNOLOGY PROJECT, S.L. con multa de 65.000 euros (sesenta y cinco mil euros), por la infracción del artículo 21 de la LSSI, tipificada como grave en el artículo 38.3.
  13. c)de la misma norma, y de conformidad con lo establecido en los artículos 39.1.
  14. b)y 40 de la citada Ley. . Que se sancione a la entidad VODAFONE ESPAÑA, S.A.U. con multa de 15.000 euros (quince mil euros) por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  15. c)de dicha norma, y de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. La citada propuesta de resolución no pudo ser notificada a la entidad PAINT TECHNOLOGY PROJECT. SEPTIMO: Notificada la citada propuesta, la entidad VODAFONE presentó escrito de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 alegaciones en el que reconoce la infracción y acepta expresamente la sanción propuesta. HECHOS PROBADOS Primero: El denunciante es titular de la línea de telefonía móvil ***TEL.1, contratada con la operadora Orange Espagne, S.A.U. Segundo: Con fechas 06/10/2014 y 30/03/2015, el denunciante formuló denuncia ante la AEPD por la recepción en su línea de telefonía móvil ***TEL.1 de los mensajes SMS que se detallan a continuación, en las fechas y con el contenido que se indican: 1.- Recibido 11 de agosto 2014 a las 19:48 horas, remitente ***TEL.2, “Publi: SOBRE TU CREDITO PRECONCEDTDO TENGO QUE DARTE UNA INFORMACION AHORA MISMO DADO QUE YA ESTA ACEPTADA DEL MISMO LLAMAME! 807*****1 mayor 18a”. 2.- Recibido 15 de agosto 2014, remitente ***TEL.3, “Publi: YA ESTA! SOBRE TU CREDITO! PRECONCEDIDA LA SOLICITUD HASTA 6000 EUROS! YA SABES QUE NO IMPORTA RAl o ASNEF! LLAMAME al 807*****3 y ultimarnos detalles!!”. 3.- Recibido 19 de agosto 2014, remitente ***TEL.4, “Publi: SOBRE TU CREDITO! PRECONCEDIDA LA SOLICITUD, YA SOLO NOS FALTA UN DATO PARA LA TRAMITACION DE LA CONCESION POR FAVOR LLAMAME AL 807*****3 Y HABLAMOS! may 18”. 4.- Recibido 20 de agosto 2014, remitente ***TEL.5, “Publi: YA TENEMOS PRECONCEIDA LA SOLICITUD DE TU CREDITO, TENEMOS Q PASAR YA TU EXPEDIENTE AL TRAMITADOR PARA LA VALORACION Y CONCESION LLAMAME AHORA!. 807*****3”. 5.- Recibido 22 de agosto 2014, remitente ***TEL.6, “Publi: YA TENEMOS PRECONCEIDA LA SOLICUTD DE TU CREDITO, TENEMOS Q PASAR YA TU EXPEDIENTE AL TRAMITADOR PARA LA VALORACION Y CONCESION LLAMAME AHORA!. 807*****3”. 6.- Recibido 25 de agosto 2014, remitente ***TEL.7, “publi: RECIENTEMENTE NOS HAS SOLICITADO AYUDA FRENTE A LA MOROSIDAD RAI/ASNEF! TENEMOS YA LA INFORMAC ION QUE NECESITAS, POR FAVOR LLA1VIANOS AL 807*****3 mayor 18a”. 7.- Recibido 26 de agosto 2014, remitente ***TEL.8, “publi: EL GESTOR DE TU EXPEDIENTE DE AYUDA FRENTE A LA MOROSIDAD DEL RAI/ASNEFÍ NECESITA DARTE UNA INFORMACION RELEVANTE, POR FAVOR LLAMANOS AL 807*****3 mayor 18a”. 8.- Recibido 27 de agosto 2014, remitente ***TEL.37, “publi: YA LO TENEMOS PREPARADO PARA SACARTE DE LOS FICHEROS DE MOROSIDAD RAI/ASNEF POR FAVOR LLAMANOS AHORA PARA CONTINUAR TRAMITES CON TU GESTOR AL 807*****3”. 9.- Recibido 28 de agosto 2014, remitente ***TEL.9, “publi: NOS HAS SOLICITADO AYUDA FRENTE A LA MOROSIDAD RAI/ASNEF! LO TENEMOS TODO YA PREPARADO! POR FAVOR LLAMANOS AHORA PARA TERMINAR EL EXPEDIENTE! AL 807*****3”. 10.- Recibido 29 de agosto 2014, remitente ***TEL.10, “publi: NOS HAS SOLICITADO AYUDA FRENTE A LA MOROSIDAD! RAI/ASNEF TENEMOS YA LA INFORMACION Y LA SOLUCION QUE NECESITAS, POR FAVOR LLAMANOS AL 807*****3 mayor 18a”. 11.- Recibido 1 de septiembre 2014, remitente ***TEL.11, “publi: NOS HAS SOLICITADO AYUDA FRENTE A LA MOROSIDAD! RAI/ASNEF TENEMOS YA LA INFORMACION Y LA SOLUCION QUE NECESITAS, POR FAVOR LLAMANOS AL 807*****3 mayor 18a”. 12.- Recibido 1 de septiembre 2014, remitente ***TEL.38, “YA LO TENEMOS PREPARADO PARA SACARTE DE LOS FICHEROS DE MOROSIDAD RAI/ASNEF POR FAVOR LLAMANOS AHORA PARA CONTINUAR TRAMITES CON TU GESTOR AL 807*****3”. 13.- Recibido 2 de septiembre 2014, remitente ***TEL.12, “publi: NOS HAS SOLICITADO AYUDA FRENTE A LA MOROSIDAD RAI/ASNEF! TENEMOS YA LA GESTION PREPARADA, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 POR FAVOR LLAMANOS AHORA! TU GESTOR TE ESTA ESPERANDO! 807*****3”. 14.- Recibido 5 de septiembre 2014, remitente ***TEL.13, “Publi: LLAMASTES POR LO DE RAI/ASNEF Y EL BORRADO DE LOS FICHEROS DE MOROSIDAD, NECESITAMOS HABLAR CONTIGO URGENTEMENTE POR FAVOR LLAMANOS AL 807*****3 GRACIAS”. 15.- Recibido 8 de septiembre 2014, remitente ***TEL.14, “Publi: LLAMASTES POR LO DE RAI/ASNEF Y EL BORRADO DE LOS FICHEROS DE MOROSIDAD, NECESITAMOS HABLAR CONTIGO URGENTEMENTE POR FAVOR LLAMANOS! AL 807*****3 GRACIAS”. 16.- Recibido 8 de septiembre 2014, remitente ***TEL.15, “NOS HAS SOLICITADO AYUDA FRENTE A LA MOROSIDAD! RAI/ASNEF! TENEMOS YA LA INFORMACION Y LA SOLUCION! QUE PRECISAS, POR FAVOR LLAMANOS AL 807*****3 tu GESTOR TE ESPERA”. 17.- Recibido 9 de septiembre 2014, remitente ***TEL.34, “Publi: Tienes PRECONCEDIDO un Microcredito Garantizado hasta 6000 EUROS! para lo que tú quieras. NO IMPORTA RAI o ASNEF! LLAMAME ahora al 807*****2 mayor 18a”. 18.- Recibido 12 de septiembre 2014, remitente ***TEL.16, “NOS SOLICITASTE AYUDA FRENTE A LA MOROSIDAD RAI/ASNEF CREDITO! YA LA DOCUMENTACION PARA EL ENVIO y la RESOLUCION LLAMANOS NOS FALTA UN APUNTE 807*****3”. 19.- Recibido 16 de septiembre 2014, remitente ***TEL.17, “publi: YA LO TENEMOS PREPARADO PARA SACARTE DE LOS FICHEROS DE MOROSIDAD RAI/ASNEF POR FAVOR LLÁMANOS AHORA PARA CONTINUAR. TU GESTOR TE ESPERA! 807*****3 may18”. 20.- Recibido 19 de septiembre 2014, remitente ***TEL.35 ¿???????????? , “EL GESTOR DE TU CASO REQUIERE DE TU ATENCION! PARA ELIMINARTE DE LOS FICHEROS DE MOROSIDAD RAI/ASNEF, YA ESTA TODO LISTO. POR FAVOR LLAMAMOS AHORA MISMO! 807*****3”. 21.- Recibido 22 de septiembre 2014, remitente ***TEL.18, “publi: EL GESTOR DE TU EXPEDIENTE DE AYUDA FRENTE A LA MOROSIDAD DEL RAI/ASNEF NECESITA DARTE UNA INFORMACION RELEVANTE. POR FAVOR LLAMAMOS! 807*****3 mayor 18”. 22.- Recibido 24 de septiembre 2014, remitente ***TEL.19, “Publi: ENHORABUENA! Tienes PRECONCEDIDO un Microcredito Garantizado hasta 6000 e NO IMPORTA RAI/ASNEF. Sin pago cuotas mensuales. LLAIVIANOS AL 807*****3” 23.- Recibido 24 de septiembre 2014, remitente ***TEL.20, “NOS SOLICITASTE AYUDA FRENTE A LA MOROSIDAD RAI/ASNEF CREDITO! LO TENEMOS TODO PREPARADO! POR FAVOR LLAMANOS AHORA PARA TERMINAR Y BORRARTE DE LOS FICHEROS! AL: 807*****3”. 24.- Recibido 26 de septiembre 2014, remitente ***TEL.21, “NOS SOLICITASTE AYUDA FRENTE A LA MOROSIDAD RAI/ASNEF! LO TENEMOS TODO YA PREPARADO! POR FAVOR LLAMANOS AHORA PARA TERMINAR Y BORRARTE DE LOS FICHEROS! AL: 807*****3” 25.- Recibido 29 de septiembre 2014, remitente ***TEL.22, “Publi: YA ESTA! SOBRE TU CRÉDITO! PRECONCEDIDO Y LA EXCLUSIÓN DE FICHEROS RAI Y ASNEF YA LO TENEMOS PREPARADO PARA ENVIAR LLÁ MANOS al 807*****3 y lo terminanos!!” 26.- Recibido 2 de octubre 2014, remitente ***TEL.23, “publi: EL IMPORTE RECLAMADO EN ASNEF PUEDE SER ERRÓNEO. HAY UNA SALIDA Y BORRADO RÁPIDO! LLÁMANOS AHORA PARA BORRARTE INMEDIATAMENTE DE LOS FICHEROS!: 807*****3” 27.- Recibido 6 de octubre 2014, remitente ***TEL.24, “Publi: EL GESTOR DE TU CASO SOBRE EL BORRADO DE FICHEROS ASNEF/RAI Y CRÉDITO PRECONCEDIDO REQUIERE DE TU ATENCIÓN PARA UNA INFORMACIÓN LLÁMAME! Ahora 807*****3” 28.- Recibido 13 de octubre 2014, remitente ***TEL.36, “Publi: SOBRE TU CRÉDITO PRECONCEDIDO TENGO QUE DARTE UNA INFORMACIÓN AHORA MISMO DADO QUE YA ESTA ACEPTADA LA SOLICITUD DEL MISMO LLÁMAME! 807*****3 mayor18a” 29.- Recibido 15 de octubre 2014, remitente ***TEL.25, “Publi: LLAMASTES POR LO DEL RAI/ASNEF Y EL BORRADO DE LOS FICHEROS DE MOROSIDAD. NECESITAMOS HABLAR C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 CONTIGO URGENTEMENTE POR FAVOR LLÁMANOSÍAL 807*****3 GRACIAS” 30.- Recibido 20 de octubre 2014, remitente ***TEL.26, “Publi: SOBRE TU CRÉDITO PRECONCEDIDO TENGO QUE DARTE LA INFORMACIÓN AHORA MISMO DADO QUE YA ESTA ACEPTADA LA SOLICITUD DEL CRÉDITO. ES URGENTE!! 807*****3 may18” 31.- Recibido 31 de octubre 2014, remitente ***TEL.27, “Publi: YA LO TENEMOS TODOS PREPARADO PARA SACARTE DE LOS FICHEROS DE MOROSIDAD RAI/ASNEF POR FAVOR LLÁMANOS AHORA PARA CONTINUAR TRAMITES CON TU GESTOR AL 807*****3” 32.- Recibido 5 de noviembre 2014, remitente ***TEL.28, “Publi: CRÉDITO LLAMASTES POR LO DEL RAI/ASNEF Y EL BORRADO DE LOS FICHEROS DE MOROSIDAD, NECESITAMOS HABLAR CONTIGO URGENTEMENTE POR FAVOR LLÁ MANOS! AL 807*****3” 33.- Recibido 18 de noviembre 2014, remitente ***TEL.29, “POR FIN! PRECONCEDIDA tu solicitud de CRÉDITO Garantizado hasta 6000 EUROS! Para lo que quieras. NO IMPORTA RAIo4SNEF LLÁMAME ahora 807*****3 ultimamos detalles” 34.- Recibido 27 de noviembre 2014, remitente ***TEL.30, “publi: TU GESTOR REQUIERE D TU ATENCIÓN PARA UN ASUNTO RELACIONADO CON EL CRÉDITO Y LA SALIDA DEL ASNEF/RAI. LLÁ MAME ahora YA ESTA TODO SOLUCIONADO!!! 807*****3” 35.- Recibido 9 de diciembre 2014, remitente ***TEL.31, “Publi: CRÉDITO LLAMASTES POR LO DEL RAI/ASNEF Y EL BORRADO DE LOS FICHEROS DE MOROSIDAD, NECESITAMOS HABLAR CONTIGO URGENTEMENTE POR FAVOR LLÁMANOSÍAL 807*****2” 36.- Recibido 16 de diciembre 2014, remitente ***TEL.32, “Publi: ME LLAMASTES POR LO DEL ASNEF. BORRADO DE LOS FICHEROS DE MOROSIDAD, Y DEL CRÉDITO NECESITAMOS HABLAR CONTIGO POR UNOS DATOS.. LLÁMANOS AL 807*****2 GRACIAS” 37.- Recibido 7 de enero 2015, remitente ***TEL.33, “publi: TU GESTOR REQUIERE D TU ATENCIÓN PARA UN ASUNTO RELACIONADO CON EL CRÉDITO Y LA SALIDA DEL ASNEF/RAL LLÁ MAME ahora YA ESTA TODO LISTO!!! 807*****2 may18a” En estos mensajes se indica al destinatario que contacte con el nº de línea 807*****1 en 1 caso, con el nº de línea 807*****3 en 33 ocasiones y con el nº de línea 807*****2 en 3 ocasiones. Tercero: El prestador de servicio de la línea 807*****1, que consta en 1 mensaje SMS recibido por el denunciante el día 11 de agosto de 2014, fue la sociedad PAINT TECHNOLOGY PROJECT, S.L. (durante el periodo comprendido entre el 7 de agosto de 2014 y el 30 de septiembre de 2015). El prestador de servicio de la línea 807*****3, que consta en 33 mensajes SMS´s recibidos por el denunciante entre el día 15 de agosto y el día 27 de noviembre de 2014, fue la sociedad PAINT TECHNOLOGY PROJECT, S.L. (desde el día 12 de agosto de 2014 hasta el 28 de enero de 2015). El prestador de servicio de la línea 807*****2, que consta en 3 mensajes SMS´s recibidos por el denunciante, los días 9 y 16 de diciembre de 2014 y el 7 de enero de 2015, fue la sociedad PAINT TECHNOLOGY PROJECT, S.L. (desde el día 12 de agosto de 2014 hasta el 28 de enero de 2015). Cuarto: De los mensajes reseñados en el Hecho Probado Segundo, la compañía VODAFONE ha confirmado el envío de 32 de ellos al número del denunciante desde 32 líneas diferentes contratadas con dicha operadora bajo la modalidad de prepago. La información facilitada por la citada operadora sobre la titularidad de las líneas emisoras de estos mensajes y su activación consta detallada en el apartado 8 del Antecedente Segundo. Quinto: En relación con la línea de telefonía móvil número ***TEL.27, desde la que se remitió C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 uno de los mensajes denunciados confirmados por VODAFONE, esta entidad facilitó la siguiente información sobre su titularidad y activación: . ***TEL.27: Servicio activado el 1 de julio de 2014, habiéndose dado de baja por expiración el 30 de junio de 2015, su titular A.A.1., con pasaporte ***PASAPORTE.1 y con nacionalidad XXXX. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  16. g)en relación con el artículo 36 de la LOPD. Por otra parte, la competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
  17. d)e
  18. i)y 38.4 d),
  19. g)y
  20. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por la mencionada Ley de Telecomunicaciones, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el apartado
  21. d)del anexo de la LSSI define al “Destinatario del servicio” o ”destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información.”. De este modo, la LSSI, en su artículo 21.1, prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25 Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
  22. h)de la LOPD, que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
  23. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
  24. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
  25. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
  26. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
  27. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. En el presente supuesto, de la valoración conjunta de los elementos fácticos obrantes en el procedimiento sancionador, ha quedado acreditado que PAINT TECHNOLOGY PROJECT resulta responsable del envío de 32 SMSs publicitarios remitidos entre el 11/08/2014 y el 07/01/2015, a la línea de teléfono móvil ***TEL.1 del denunciante con la finalidad de promocionar el uso de los números de tarificación adicional 807*****1, 807*****3 y 807*****2 de los que dicha entidad es titular. Aunque en los mensajes aparezcan números de líneas llamantes diferentes, la participación de PAINT TECHNOLOGY PROJECT en el envío resulta incuestionable. Se observa que estos envíos presentan un patrón común en cuanto a la estructura del mensaje, tipo de servicio promocionado, números de tarificación adicional y beneficiario de la publicidad (PAINT TECHNOLOGY PROJECT). Además, todos ellos se remitieron al destinatario sin incluir en los mismos ningún procedimiento de baja que permitiera a ésta oponerse a la recepción de nuevos SMSs publicitarios en la línea receptora de los mismos. La entidad imputada no ha justificado que los mensajes reseñados en el Hecho Probado Segundo se efectuaran mediando autorización expresa o solicitud previa del destinatario de los mismos, quien, además, ha negado haber dado su consentimiento o autorización para recibir este tipo de SMSs. Atendidas las circunstancias expuestas, y dado que lo indicado afecta a la cuestión de la carga de la prueba, resulta de aplicación el criterio mantenido por la Audiencia Nacional en la Sentencia de fecha 17 de mayo de 2007, Recurso 157/2005, en el que, respecto de un caso que también afectaba al incumplimiento de lo previsto en el artículo 21 de la LSSI, se arguyó que: “En caso de que los afectados hubieran negado haber otorgado dicho consentimiento, que la Ley no exige que sea escrito, correspondería al denunciado probar su existencia, como ha reiterado esta Sala en relación con el tratamiento inconsentido de datos.” Sentado lo anterior, únicamente eximiría a PAINT TECHNOLOGY PROJECT del cumplimiento de contar con el consentimiento previo y expreso exigido en el artículo 21.1 de la LSSI la acreditación de la existencia de una relación contractual previa con la denunciante, tal y como se recoge en el primer párrafo del apartado 2 del artículo 21 de la LSSI, y ello siempre y cuando la imputada, como prestadora de servicios de la sociedad de la información, hubiera obtenido de forma lícita los datos de contacto del afectado, los utilizase para enviarle comunicaciones comerciales relativas a productos o servicios similares a los inicialmente adquiridos por éste en su condición de cliente, y además, le hubiera ofrecido en el momento de recogida de los datos un mecanismo sencillo y gratuito para poder oponerse al tratamiento de sus datos con fines promocionales. En este supuesto no resulta de aplicación dicha excepción que hubiera podido amparar el envío de los SMS analizados sin mediar dicho consentimiento, ya que la entidad imputada no ha acreditado la existencia de relación contractual previa con la denunciante en los términos expresados en el artículo 21.2 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 De este modo, a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que PAINT TECHNOLOGY PROJECT ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al enviar un total de 32 SMSs publicitarios al denunciante sin contar con la autorización expresa o solicitud previa del mismo para ello, y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma. En lo que respecta al incumplimiento del deber de PAINT TECHNOLOGY PROJECT de ofrecer al destinatario de los envíos la posibilidad de oponerse al tratamiento de sus datos mediante un procedimiento sencillo y gratuito incluido en las propias comunicaciones comerciales remitidas, de la simple lectura del contenido de los SMSs objeto de estudio se evidencia que los mensajes publicitarios remitidos por la entidad imputada al denunciante no incluían ningún mecanismo de baja a través del cual éste pudiera oponerse al uso de su número de teléfono móvil con fines promocionales, tal y como exige el segundo párrafo del artículo 21.2 de la LSSI. Es decir, si la LSSI ha querido imponer una formalidad específica que permita a los destinatarios de este tipo de envíos oponerse al tratamiento de sus datos para el envío de mensajes publicitarios por medios de comunicación electrónica, o similares que incluyen los SMS, a fin de garantizar su derecho a no recibir comunicaciones de naturaleza comercial en sus señas electrónicas o número de teléfono móvil, el hecho de que por parte del prestador de servicios no se incluya en cada uno de los mensajes un procedimiento sencillo y gratuito que permita al destinatario negarse a la recepción de nuevos mensajes publicitarios conculca la obligación establecida en el mencionado precepto de la LSSI. En consecuencia, de lo expuesto con anterioridad, ha quedado probado que la entidad imputada también ha incurrido en la infracción del artículo 21.2, párrafo segundo de la LSSI, al no ofrecer en los SMSs comerciales dirigidos al número de teléfono móvil del denunciante un procedimiento sencillo y gratuito para no continuar recibiendo publicidad por dicha vía. En este orden de ideas, procede apreciar la existencia de la infracción imputada. III El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación”. La definición de prestador del servicio se contiene en el apartado
  28. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De acuerdo con lo establecido en los apartados 3.
  29. c)y 4.
  30. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
  31. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
  32. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se despende es que la conculcación del artículo 21 de la LSSI que se imputa a PAINT TECHNOLOGY PROJECT se ajusta al tipo de infracción calificada como grave en el artículo 38.3.
  33. c)de la vigente LSSI, ya que el envío en un plazo cinco meses de un total de treinta y dos mensajes cortos de texto publicitarios al denunciante sin contar con su consentimiento previo y expreso para ello, y sin facilitarle ningún mecanismo de baja, debe ser calificado como “envío insistente o sistemático” de comunicaciones comerciales no solicitadas por medios electrónicos por parte de la referida entidad. A tenor de lo establecido en el artículo 39.1.
  34. c)de la LSSI las infracciones graves podrán sancionarse con multa desde 30.001 euros hasta 150.000 euros, estableciéndose los criterios para su graduación en el apartado 1 del artículo 39 bis y artículo 40 de la misma norma, cuyo tenor literal es el siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  35. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  36. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  37. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  38. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  39. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  40. a)La existencia de intencionalidad.
  41. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  42. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  43. d)La naturaleza y cuantía de los perjuicios causados.
  44. e)Los beneficios obtenidos por la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25
  45. f)Volumen de facturación a que afecte la infracción cometida.
  46. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En el presente supuesto no resulta de aplicación la previsión contenida en artículo 39 bis 1 de la LSSI, al no apreciarse la concurrencia de ninguno de los supuestos recogidos dicho precepto a los efectos de establecer la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad, puesto que ni se ha producido una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad de los hechos como consecuencia de la concurrencia significativa de varios de los criterios del artículo 40 de la LSSI, ni han ocurrido las restantes situaciones contempladas en el mismo. Se considera, especialmente, que PAINT TECHNOLOGY PROJECT no ha actuado con la diligencia que le es exigible para responder adecuadamente a las exigencias recogidas en el artículo 21 de la LSSI, máxime si se tiene en cuenta que es una entidad habituada, en el desarrollo de su actividad empresarial, a la realización de campañas de marketing a fin de promocionar sus servicios a través de medios de comunicación electrónica, los cuales incluyen SMS comerciales. En relación con los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se considera la existencia de intencionalidad y el propósito de obtener lucro; la falta de diligencia que deriva del frecuente uso por parte de la imputada de medios de comunicación electrónica, o similares, para la remisión de publicidad, lo que obliga a la misma a ser especialmente conocedora de las exigencias recogidas en el artículo 21 de la LSSI al respecto y, consecuentemente, a actuar con el rigor y diligencia que le resultan exigibles en tanto que empresa habituada al uso de dichos medios en sus campañas; el plazo de tiempo durante el que se ha venido cometiendo la infracción (los SMS no solicitados se estuvieron remitiendo a la denunciante durante un prolongado plazo de tiempo comprendido entre el 11/08/2014 y el 07/01/2015, es decir, casi cinco meses) y el número de mensajes enviados durante ese período (32 mensajes); por lo cual se estima proporcional a la gravedad de los hechos imputados acordar la imposición de una sanción por importe de 65.000 euros a PAINT TECHNOLOGY PROJECT. IV Se imputa en el presente procedimiento a la entidad VODAFONE una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Así, la Sentencia de la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala para un caso similar <<… El principio de veracidad o exactitud tiene gran C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado…>>. En este caso, consta acreditado que en los sistemas de información de la entidad VODAFONE figura registrada el alta de la línea de telefonía móvil ***TEL.27, remitente de uno de los SMSs objeto de la denuncia que ha dado lugar al procedimiento, asociada a los datos personales de su presunto titular, entre los que figura el relativo al número de pasaporte, cuya configuración no se ajusta a la establecida legalmente, resultando que dicho número, en este caso, es inexistente. Según la información facilitada por VODAFONE a los Servicios de Inspección, los datos personales asociados a la línea de prepago mencionada son los siguientes: . ***TEL.27: Servicio activado el 1 de julio de 2014, habiéndose dado de baja por expiración el 30 de junio de 2015, su titular A.A.1., con pasaporte ***PASAPORTE.1 y con nacionalidad XXXX. Esta información se recaba de conformidad con lo establecido en la Ley 25/2007, de 18 de octubre, de Conservación de Datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones, cuya Disposición Adicional Única exige a las operadoras de telefonía que comercialicen servicios con sistema de activación mediante la modalidad de tarjetas de prepago llevar un libro-registro en el que conste la identidad de los clientes que adquieran una tarjeta inteligente con dicha modalidad, estando obligadas a incorporar a dicho libro los datos identificativos del adquirente relativos a nombre, apellidos, nacionalidad y número del documento utilizado para acreditar su identidad. En relación con la configuración del número de pasaporte, el Real Decreto 896/2003, de 11 de julio, por el que se regula la expedición del pasaporte ordinario y se determinan sus características, según las modificaciones introducidas por el Real Decreto 411/2014, de 6 de junio, en su artículo 10.2 establece lo siguiente: “2. Dispondrá de una página plastificada que contendrá las siguientes menciones: a. El número del pasaporte, que coincidirá con el de serie de la libreta. b. Un número identificador personal que será el del documento nacional de identidad de su titular, salvo que carezca de éste, por ser residente en el extranjero o menor de 14 años, en cuyo caso dicho número se corresponderá, respectivamente, con el de su inscripción en el Registro de Matrícula Consular, o con el del documento nacional de identidad de quien ostenta su patria potestad o tutela seguido del subradical correspondiente. c. El número de la oficina expedidora. d. Los apellidos, nombre, nacionalidad, fecha y lugar de nacimiento y sexo, así como las fechas de expedición y caducidad del pasaporte. Contendrá, igualmente, la firma digitalizada del titular, a cuyo efecto, para prestarla, deberá acudir a las unidades expedidoras. Estas menciones se redactarán en castellano, inglés y francés, acompañándose de números que hagan referencia a un índice, incluido en el pasaporte, que indique, en las lenguas oficiales de los Estados miembros de la Unión Europea, el objeto de éstas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 e. La fotografía digitalizada del titular. f. Dos líneas de caracteres OCR en la parte inferior de la hoja de datos, para la lectura mecánica de éstos, en la forma a que se refieren los acuerdos y disposiciones internacionales aplicables al pasaporte”. Conforme a lo establecido en este artículo, la Dirección General de la Policía, en informe de 27/11/2014 que figura incorporado al procedimiento PS/00175/2015, también seguido contra VODAFONE, emitido en respuesta a un requerimiento de la Inspección de Datos efectuado en las actuaciones previas E/06004/2014, informó a la AEPD que en los pasaportes emitidos por dicha Dirección General, desde febrero de 1989, figuran dos números: “El número del DNI del interesado que, como se sabe está constituido por ocho cifras. En los pasaportes obtenidos por menores de 14 años sin DNI se consigna el número del DNI del padre o de la madre seguido de un subradical de dos cifras que indica el número de orden del hijo que ha obtenido pasaporte con ese DNI. En estos casos sí puede haber una numeración con diez cifras, pero difícilmente será un 13 y, desde luego, nunca un 67, como figura en los números facilitados por esa Agencia”; y “El número de la libreta constituido por un número de seis cifras precedido por una, dos o tres letras según la fecha de expedición”. Añade dicho informe que “Con anterioridad a la informatización del pasaporte cada oficina de expedición llevaba su propia numeración constituida por un número (desde luego no de diez cifras) seguido y separado por una barra, del año de expedición del pasaporte”. Por tanto, concluye la Dirección General de la Policía en su informe que “en ningún caso la numeración del pasaporte español emitido por la Dirección General de la Policía ha podido estar constituido por las diez cifras que se indican en el escrito de esa Agencia, por lo que los números facilitados no se corresponden con numeraciones de pasaportes ordinarios españoles de la Dirección General de la Policía”. En el presente caso, los mismos reparos se aprecian en relación con el número de pasaporte que consta en el libro-registro de VODAFONE asociado a la línea remitente de uno de los SMSs denunciados (***TEL.27), de modo que en ningún caso esta numeración puede corresponder con un pasaporte español emitido por las autoridades competentes. Por tanto, los datos personales del titular de la línea de prepago en cuestión figuran registrados en los sistemas de información de VODAFONE asociados a un número de pasaporte inexacto o inexistente, lo que constituye una vulneración del principio de calidad de datos. VODAFONE es responsable del libro-registro en el que constan tales datos y, en consecuencia, responsable de los hechos constitutivos de la infracción a lo dispuesto en el artículo 4.3 de la LOPD. De haber tenido en cuenta lo establecido en las normas reseñadas, VODAFONE hubiese establecido los mecanismos adecuados y necesarios para evitar la inexactitud de la información recabada, en la que figura un número de pasaporte inexacto o inexistente que se asoció a los servicios detallados. Dicha entidad actuó con total falta de diligencia. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25 protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido y la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de los mismos, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto, VODAFONE incumplió el mandato legal de que los datos respondan con exactitud a la situación real de los afectados, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD. A este respecto, la Audiencia Nacional en su Sentencia de 21/05/2007, referida a un supuesto de error en el DNI asociado a un cliente, declaró: “Pues bien, la conducta que configura el ilícito administrativo aplicado en este caso -artículo 44.3.
  47. d)citado- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para asegurarse de que los datos han sido recogidos con el consentimiento de los afectados y para asegurase también, antes de remitir los datos a un fichero de solvencia profesional, de la calidad del dato y de su exactitud, es decir que el número de documento nacional de identidad facilitado se corresponde realmente con el de la persona deudora cuyos restantes datos de carácter personal se facilitan. Pues bien, es esta falta de diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En este sentido el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En este sentido la STS de 5 de junio de 1998 exige a los profesionales del sector "un deber de conocer especialmente las normas aplicables", y en similares términos se pronuncian, entre otras, las SSTS de 2 de marzo de 1999 y 17 de septiembre de 1999”. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 La vulneración de lo dispuesto en el artículo 4.3 de la LOPD aparece tipificada en el artículo 44.3.
  48. c)de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: “Son infracciones graves:
  49. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.
  50. c)de la LOPD por parte de VODAFONE, que trató datos inexactos de un cliente persona física, plenamente amparado por el derecho regulado en la normativa expuesta. Esta inexactitud de los datos tratados supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. Este principio, que exige que los datos de carácter personal respondan con veracidad a la situación actual de los afectados, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. VI El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  51. a)El carácter continuado de la infracción.
  52. b)El volumen de los tratamientos efectuados.
  53. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  54. d)El volumen de negocio o actividad del infractor.
  55. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  56. f)El grado de intencionalidad.
  57. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  58. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  59. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  60. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  61. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  62. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  63. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25 infracción.
  64. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  65. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  66. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<… no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Habida cuenta que VODAFONE ha reconocido su culpabilidad conforme a lo dispuesto en el apartado
  67. d)del artículo 45.5, procede la aplicación de lo dispuesto en el citado precepto y por lo tanto imponer una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45, al tener la infracción imputada la consideración de infracción grave, para sancionarse con el importe de las multas correspondientes a las infracciones leves. Por otra parte, en cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se tiene en cuenta, por un lado, la negligencia apreciada en la conducta de VODAFONE por el no establecimiento de las medidas que hubiesen impedido la recogida de datos inexactos, así como por la vinculación de su actividad con la realización de tratamientos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 datos de carácter personal, y, por otro lado, la ausencia de beneficios que deriven directamente de la comisión de la infracción, la ausencia acreditada de perjuicios causados al denunciante, el volumen de tratamientos efectuados y la ausencia de intencionalidad, procediendo la imposición de una multa por importe de 15.000 euros por la infracción del artículo 4.3 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad PAINT TECHNOLOGY PROJECT, S.L., por una infracción del artículo 21 de la LSSI, tipificada como grave en el artículo 38.3.
  68. c)de la misma norma, una multa 65.000 euros (sesenta y cinco mil euros), de conformidad con lo establecido en los artículos 39.1.
  69. b)y 40 de la citada Ley. SEGUNDO: IMPONER a la entidad VODAFONE ESPAÑA, S.A.U., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  70. c)de dicha norma, una multa de 15.000 euros (quince mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a PAINT TECHNOLOGY PROJECT, S.L., VODAFONE ESPAÑA, S.A.U. y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.