PS-00536-2014

1/8 Procedimiento Nº PS/00536/2014 RESOLUCIÓN: R/00597/2015 En el procedimiento sancionador PS/00536/2014, instruido por la Agencia Española de Protección de Datos a la entidad Xfera Móviles SA, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 4 de octubre de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que denuncia que por escrito fechado el 02/09/2013 Xfera Móviles SA (Yoigo) le notifica requerimiento de pago de 160,39 €, previo a la inclusión en ficheros de morosos, si no lo hace en 15 días. El importe pendiente lo pagó por transferencia el 14/09/2013, no obstante la entidad incluyó sus datos en Asnef el 09/09/13 y en Badexcug el 15/09/2013. Ambas inclusiones se realizaron antes de que finalizara el plazo de 15 días concedido por la entidad. Acompaña copia de DNI, requerimiento de Yoigo, justificante del pago y notificaciones de inclusión de Asnef y Badexcug. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a Equifax, Experian y Yoigo. La Inspección de Datos emitió el siguiente informe: <<< En Asnef figura una incidencia a nombre del reclamante informado por Xfera Móviles con fecha de alta 09/09/2013 y baja 21/09/2013. En Badexcug figura una incidencia a nombre del reclamante informado por Xfera Móviles con fecha de alta 15/09/2013 y baja 22/09/2013. Los representantes de Xfera Móviles manifiestan que si bien los datos fueron remitidos a Asnef en fecha 09/09/2013 no fueron visibles hasta el 04/10/2013, pero en cuanto se tuvo conocimiento del pago se dieron de baja en fecha 23/09/2013, con anterioridad a que efectivamente fueran accesibles por terceros. >>> TERCERO: De todo lo actuado en las investigaciones previas se concluyó, salvo prueba en contrario, que Yoigo realizó tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos en las siguientes actuaciones: inclusiones en ficheros de morosos (Asnef y Badexcug) sin acreditar la fecha de notificación del requerimiento de pago previo, sin tener en cuenta el abono antes de agotarse el plazo concedido por parte del denunciante y sin haberse agotado el plazo de pago dado en el requerimiento. CUARTO:: Con fecha 01/10/14 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Orange por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.

1. c)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 QUINTO: Notificado el acuerdo de inicio el 07/10/14 por entrega del Servicio de Correos certificado con aviso de recibo, Yoigo solicitó copia del expediente y ampliación del plazo para alegaciones. Ambas solicitudes fueron cumplimentadas con envío certificado con aviso de recibo. Transcurrió el plazo sin que haya formulado alegaciones. SEXTO: Con fecha 12/12/14 se inició el período de práctica de pruebas, acordándose las siguientes: Se dan por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos generados por los Servicios de Inspección y el informe de actuaciones previas. Se solicita a denunciante y denunciada aporten documentos. Yoigo en su respuesta afirma que no existe ninguna comunicación recibida de la persona denunciante. SÉPTIMO: Con fecha 06/02/15, el Instructor del Procedimiento formuló propuesta de resolución sancionadora consistente en Que por el Director de la Agencia Española de Protección de Datos se sancione a Xfera Móviles SA con multa prevista en el 45.2 y 4 de la LOPD de 50.000 € (cincuenta mil euros) por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
2. c)de dicha norma, OCTAVO: La propuesta fue notificada a Yoigo en su domicilio el día 09/02/15. Ha transcurrido el plazo de quince días sin que la imputada formulara alegaciones a la propuesta. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS: 1. Yoigo por escrito fechado el 02/09/13 comunica a la persona denunciante ( A.A.A., DNI B.B.B.) que, debido a que su banco ha devuelto impagado un recibo de 160,39 €, se le requiere para que efectúe el pago de dicha cantidad en el plazo de 15 días, en caso contrario puede ser incluido en los ficheros Asnef y Badexcug. El expediente de referencia es B.B.B.. 2. El día 14/09/13 el denunciante, desde su cuenta corriente en NCG Banco SA ordena el pago de 160,39 € al beneficiario Xfera Móviles (Yoigo) en concepto B.B.B. A.A.A.. 3. Asnef-Equifax por escrito fechado el 12/09/13 le comunica que sus datos personales asociados a un impago de 160,39 € han sido incluidos por Xfera Móviles SA (Yoigo) el 09/09/13 en el fichero Asnef. 4. Experian por escrito fechado el 17/09/13 le comunica que sus datos personales asociados a un impago de 160,39 € han sido incluidos por Xfera Móviles SA el 15/09/13 en el fichero Badexcug. 5. El 25/08/14 Equifax informa que los datos personales del denunciante asociados a un impago de 160,39 € fueron dados de alta en el fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Asnef por Xfera Móviles SA el 09/09/13 y de baja el 21/09/13. 6. El 28/08/14 Experian informa que los datos personales del denunciante asociados a un impago de 160,39 € fueron dados de alta en el fichero Badexcug por Yoigo el 15/09/13 y de baja el 21/09/13. 7. Por escrito fechado el 11/09/14 Yoigo informa a la Inspección de Datos que: <<< Los datos del sr. A.A.A. fueron remitidos a ASNEF en fecha 9 de septiembre de 2013 en el marco del servicio Notifica contratado con ASNEF, acuerdo que se adjunta a este escrito. Este servicio pospone la publicación de los datos en el fichero de solvencia hasta la fecha que se indica en un requerimiento de pago nuevo y adicional a los ya enviados que remite ASNEF. Por tanto los datos no constan en el fichero de solvencia patrimonial y crédito hasta la fecha que se indica en tal requerimiento, en el caso que nos ocupa el 4 de octubre de 2013 Los datos fueron excluidos en fecha 23 de septiembre de 2013 una vez se tuvo conocimiento del pago. >>> FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II La inclusión en un fichero de solvencia con anterioridad al cumplimiento del plazo establecido por el acreedor supone una vulneración de la normativa de protección de datos en consideración a los artículos que se analizan a continuación: El Artículo 38 1
4. c)del RLOPD establece que “solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
5. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.” En consecuencia el requerimiento tiene que ser anterior a la inclusión, no puede ser simultáneo o posterior. Junto a ello el artículo 39 del Reglamento dispone lo siguiente: “Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 en todo caso, al tiempo de efectuar el requerimiento al que se debe la letra
6. c)del aparado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias.” En definitiva, el acreedor informa y queda comprometido a no realizar la comunicación antes de cumplirse el término que establece en el documento de información al deudor. Circunstancia que debe conectarse con el literal del artículo 4.1 de la LOPD: “Calidad de los datos 1.- Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En definitiva, la interpretación conjunta de los artículo 38.1c) y 39 del Reglamento de Protección de Datos con el artículo 4.1 LOPD deriva en que el tratamiento mediante la inclusión en un fichero de solvencia por parte del acreedor con anterioridad al plazo de pago otorgado al deudor vulnera el principio de calidad de datos al tratarse los datos vulnerando el ámbito y finalidades determinadas y explicitas para los que han sido obtenidos. No porque la normativa vigente establezca un plazo determinado para realizar el pago tras el requerimiento sino porque impone el acreedor la necesidad de establecerlo – en caso contrario el requerimiento no sería previo y se incumpliría el artículo 38 y 39 RLOPD – cuyo transcurso convierte el tratamiento del dato en adecuado. El tratamiento anterior a la finalización del mismo por el acreedor supondría un tratamiento inadecuado, no pertinente y excesivo vulnerando lo previsto en el artículo 4.1 LOPD e incumpliendo las finalidades para las que se obtuvieron. En el presente caso, además, el pago de la deuda reclamada, dentro del plazo establecido en el requerimiento previo a la inclusión, pone de manifiesto una conducta contraria a lo que establece el artículo 4.3 de la LOPD: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". III La conducta de Xfera Móviles SA (Yoigo) contraria al principio de calidad de datos de las normas citadas arriba constituyen la infracción grave tipificada en el artículo 44.3.
7. c)de la LOPD. Ello en relación con el artículo 29 de la LOPD y con la norma primera de la Instrucción 1/1995, de 1 de marzo, de la AEPD, relativa a prestación de servicios de información sobre solvencia patrimonial y crédito, y en la actualidad, con el artículo 38 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, que estipula que solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 b)Que no hayan transcurrido seis años desde la fecha en que hubo de precederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquella fuera de vencimiento periódico. En el presente supuesto ha quedado probado en las actuaciones, y no desvirtuado mediante prueba alguna en contrario, que los datos personales de la persona denunciante figuraron en el fichero Asnef informados por Yoigo desde 09/09/2013 a 21/09/2013 por un impago de 160,39 € y la misma cantidad en el fichero Badexcug, informados por Yoigo, desde 15/09/2013 a 22/09/2013, y ello a pesar de que dicha deuda informada no era cierta, vencida y exigible, pues había sido saldada.. Consta acreditado que el importe de la deuda había sido ingresado por transferencia, según el comprobante justificativo del pago emitido por NCG Banco, de fecha 14/09/13 y dentro del plazo de 15 días concedido para su abono en el requerimiento de pago de 02/09/13. Este criterio es el que se mantiene en reiteradas sentencias de la Audiencia Nacional, entre ellas la de 11/03/13 (recurso 688/2011) de la sección 1º de la Sala de lo Contencioso-Administrativo: <<< En este sentido, y como esta Sala ha reiterado en numerosísimas ocasiones, resulta que aquél que utiliza un medio extraordinario de cobro, como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud del dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. Y ello dado que el no aplicar esta exigencia supondría utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en tales registros de solvencia patrimonial y crédito. Se trata, en definitiva, de que los datos personales de la afectada incluidos en el fichero Badexcug por la compañía telefónica no respondían a la situación actual de la misma, pues aquella incluyó sus datos de carácter personal en tal fichero con anterioridad a que venciera el plazo concedido para el pago de las facturas, según la carta de aviso remitida a tal afectada por la propia operadora de telefonía. Consideramos, por ello, que los hechos relatados son contrarios al principio de calidad de dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD y también con el 38 del RDLOPD. Infracción del principio de calidad del dato que, por otra parte, y contrariamente a lo invocado en la demanda, es conforme con el principio de culpabilidad, por cuanto una actuación diligente de Telefonía Móviles habría exigido el tomar en consideración el abono de las facturas llevado a cabo por la denunciante, con anterioridad a incluir sus datos personales en tal fichero Badexcug. Comprobación no exhaustiva que supone una actuación incompatible con el mínimo de prudencia que se debe exigir a estas empresas antes de anotar en los registros de morosidad incidencias que, finalmente, resulta que no responden a la realidad de lo adeudado. >>> IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 El artículo 45. LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
8. a)El carácter continuado de la infracción.
9. b)El volumen de los tratamientos efectuados.
10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
11. d)El volumen de negocio o actividad del infractor.
12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
13. f)El grado de intencionalidad.
14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 comisión de la infracción.
21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Los hechos probados, según han quedado redactados, ponen de manifiesto una falta de la diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador. Por otra parte, Los criterios de graduación de las sanciones establecidas en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, dan lugar a las siguientes observaciones: La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que Yoigo es una empresa que tiene como actividad la prestación de servicios de telecomunicaciones y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. En lo que se refiere al volumen de negocio de Orange hay que hacer constar que si bien es un hecho notorio que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa infractora y su grupo, una de las trasnacionales más importantes. Se deduce el importante volumen de negocio de la entidad infractora, circunstancia a tener en cuenta para la graduación de la sanción. El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó la inclusión de los datos del denunciante en Asnef y Badexcug sin haberse agotado el plazo de pago y sin comprobar el pago antes de agotarse dicho plazo, no tuviera intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. A la vista del escaso tiempo que permanecieron los datos de la persona denunciante en los ficheros Asnef y Badexcug, 09/09/13 - 21/09/13 y 15/09/13 - 21/09/13 respectivamente, siendo datos de baja a instancia de Yoigo. Regularizó la situación irregular de dichas inclusiones de forma diligente, con anterioridad (un año antes) a la interposición de la denuncia ante la AEPD. Por ello procede la apreciación de la citada circunstancia prevista en el 45.5.
23. b)de la LOPD y fijar la sanción en 10.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 PRIMERO: IMPONER a la entidad Xfera Móviles SA, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
24. c)de dicha norma, una multa de 10.000 € (diez mil euros) de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a Xfera Móviles SA y a A.A.A.. A.A.A.é TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es