PS-00587-2014

1/9 Procedimiento Nº PS/00587/2014 RESOLUCIÓN: R/00585/2015 En el procedimiento sancionador PS/00587/2014, instruido por la Agencia Española de Protección de Datos a la entidad Vodafone España SAU, vista la denuncia presentada y en base a los siguientes:, ANTECEDENTES PRIMERO: Con fecha de 18/11/13 tiene entrada en esta Agencia denuncia presentada por D. A.A.A., con DNI ***DNI.1 y domicilio (C/..........1) de Madrid, contra Vodafone manifestando que le están facturando por servicios que no ha contratado. Se aporta en la denuncia diversa documentación en relación a los hechos denunciados. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/7769/2013. Concluyéndose la investigación con el informe de la Inspección de Datos de fecha 6/10/14 TERCERO: Por el Director de la Agencia Española de Protección de Datos se acordó, con fecha 30/10/14, iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A. por la por la presunta infracción del artículo 6 de la LOPD. CUARTO: Se han presentado por Vodafone escrito de alegaciones, con fecha 21/11/14 que se ha valorado en la resolución de este expediente QUINTO; Se aperturó periodo de prácticas de pruebas, incorporando la documentación y alegaciones presentadas en el procedimiento de actuaciones previas de investigación. SEXTO: Se dictó propuesta de resolución, con fecha 14/1/15, en el sentido de que por el Director de la Agencia se sancionase a VODAFONE por la infracción del artículo 6 de la LOPD. SEPTIMO: Se ha presentado escrito de alegaciones ante la propuesta de resolución, con fecha 3/2/15, manifestando que en base a las alegaciones presentadas se acepta el contenido de la propuesta. HECHOS PROBADOS 1º Consta denuncia presentada por D. A.A.A., con DNI ***DNI.1 y domicilio (C/..........1) de Madrid, contra Vodafone manifestando que le están facturando por servicios que no ha contratado 2º Consta la siguiente documentación aportada en el escrito de denuncia * Copia de las facturas emitidas por VODAFONE a su nombre en el periodo comprendido entre abril y julio de 2013, correspondientes a las líneas ***TEL.1 y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 ***TEL.2. * Requerimientos de pago de VODAFONE, de fechas 8 y 16 de agosto de 2013, en el que le reclaman deudas de 179,58€ y 619,82€. * Requerimientos de pago de EOS SPAIN e INTRUM JUSTITIA, de 24 de julio, 24 de septiembre y 2 de octubre de 2013. * Denuncia presentada por el denunciante ante la Policía, con fecha 5 de febrero de 2013, en la que pone de manifiesto: -- Que con fecha 28 de enero de 2013, ha recibido una llamada de una persona que se identifica como ***NOMBRE.1 y que le informa de que vive en Cádiz, donde tenía una vivienda alquilada a B.B.B., la cual ha contratado una línea de teléfono a nombre del denunciante para la citada vivienda. -- Que se ha puesto en contacto con MOVISTAR, donde le han informado de que tiene contratada a su nombre la línea ***TEL.1, con fecha de alta 23 de noviembre de 2012, en un domicilio de ***LOCALIDAD.1 (Cádiz). * Denuncia presentada ante la Policía, con fecha 28 de agosto de 2013, en la que hace constar que ha recibido varias facturas y requerimientos de pago de VODAFONE, y que nunca ha contratado ningún servicio con dicha compañía. * Copia de la reclamación interpuesta por el denunciante ante la OMIC del Ayuntamiento de Madrid (Ciudad Líneal), con fecha 45 de septiembre de 2013, por los mismos hechos denunciados. * Copia de la reclamación remitida VODAFONE ESPAÑA, con fecha 23 de octubre de 2013, por los mismos hechos. 3º Constan en los ficheros de la entidad denunciada la siguiente información en relación al denunciante: * Que el Sr. A.A.A. figura como titular de dos cuentas de cliente: -- ***CTA.1, con el número de línea ***TEL.3, con fecha de alta 10 de abril de 2013 y fecha de baja 24 de octubre de 2013. -- ***CTA.2, con el número de línea ***TEL.4, (VODAFONE ADSL) con fecha de alta 19 de abril de 2013 y en la actualidad en estado de desactivación temporal. * Aportan, así mismo, copia de la información que consta en sus ficheros en relación con las facturas emitidas por dichos servicios, donde figuran todas ellas impagadas por lo que el cliente tiene una deuda de 179,58€ en la cuenta ***CTA.2 y 923,49€ en la cuenta ***CTA.1. 4º Consta así mismo las siguientes reclamaciones y contactos con el denunciante: -- Con fecha 20 de mayo de 2013, el cliente no reconoce las líneas ***TEL.3, y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 ***TEL.4, indicando que se han dado de alta por parte de una excuñada suya, se pasa el caso a FRAUDE para su estudio, Se califica como NO FRAUDE por relación de entorno. -- Con fecha 30 de agosto de 2013, se recibe una reclamación del cliente por los mismos hechos, se indica que ya se ha resuelto. -- Con fecha 8 de octubre de 2013, tras varios contactos y reclamaciones del denunciante sobre el mismo tema, figura de nuevo que se califica como NO FRAUDE. -- Con fecha 8 de noviembre de 2013, se recibe reclamación de la SETSI, por los mismos hechos, se solicita al cliente que ponga una denuncia contra la persona que supuestamente ha contratado y que la remita. -- Con fecha 18 de noviembre de 2013, consta un contacto telefónico con el reclamante, que indica que no va a enviar denuncia ni nada por lo que le informan que así, no pueden revisar su caso. 5º Que en relación a la contratación constan las siguientes manifestaciones: -- Ambos servicios fueron contratados por el canal de tele-venta. -- Aportan un CD que contiene dos grabaciones de los servicios contratados a nombre del denunciante. En las grabaciones se comprueba que: -- La primera se realiza con fecha 24 de abril de 2013 y la segunda con fecha 7 de junio de 2013. -- En las dos la persona que contrata se identifica con el nombre y apellidos del denunciante y facilita su número de D.N.I. y confirma un domicilio de Cádiz. -- En ninguna de las grabaciones se identifica el número de línea que se contrata. -- En ambas el contratante acepta compromiso de permanencia FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Se analiza en este procedimiento la denuncia presentada por D. A.A.A.en la que manifiesta que Vodafone le está facturando por unos servicios que no ha contratado. Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/7769/2013 se determinó que Vodafone, aun aportando copia de la grabación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 de la contratación de las dos líneas, no acreditó el consentimiento del denunciante para dicha contratación al ser posteriores a la fecha de alta de las mismas y no identificar a qué línea corresponden. En el escrito de alegaciones al Acuerdo de Inicio se ha alegado por Vodafone, en síntesis, lo siguiente: * Que el denunciante figura como titular de dos servicios dados de alta por el canal de televenta: ***TEL.4 (Alta 19/4/13) y ***TEL.3 (alta 10/4/13) * Que no reconoce dichos servicios por lo que se puso en contacto con la entidad con fecha 20/5/13, manifestando que es posible con un familiar podría haber hecho las contrataciones que no se consideraron como fraudulentas. * Se presentaron por el denunciante reclamaciones ante la OMIC y la SETSI, manifestando ante dichos organismos que no se habían encontrado indicios que se estuviera ante una contratación fraudulenta y que toda la información de sistemas era correcta. * Se manifiesta que a pesar de contar con diversas grabaciones resultado del procedimiento de contratación ninguna de ellas puede relacionarse con los números de servicio objeto de la reclamación. Reconociendo que ha existido algún error que impide relacionar las grabaciones con los servicios objeto de controversia, por lo que solicita la aplicación de la Agencia del artículo 45.5.
2. d)de la LOPD * Que atendiendo al reconocimiento de la culpabilidad se manifiesta que la Agencia puede proceder a la imposición de la sanción correspondiente, resolviendo así el procedimiento. III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
3. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
4. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos de la denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Se imputa a VODAFONE la comisión de la infracción del art. 44.3.
5. b)de la LOPD que establece como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo “. El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negociar, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Hay que tener en cuenta que el consentimiento permite al afectado ejercer el control sobre sus datos de carácter personal ya que es el propio interesado quien tiene que otorgar aquel para que se pueda realizar el tratamiento de los citados datos. Este consentimiento debe ser además inequívoco, tal como es definido en la letra
6. h)del art. 3 de la LOPD como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de los datos personales que le concierne”. Correspondiendo, por regla general, a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado debiendo arbitrar los medios necesarios para que no quepa ninguna duda de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 que efectivamente tal consentimiento ha sido prestado así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. De la dicción del artículo 12 del RLOPD que establece que “el responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes” se deduce que el citado reglamento atribuye al responsable del tratamiento la carga de probar el consentimiento del afectado sin que quepa presumir el mismo. En el caso que nos ocupa VODAFONE se ha avenido a reconocer el tratamiento inconsentido de los datos de la denunciante, al no disponer de copia de su DNI ni autorización expresa para que la persona que contrató los servicios lo hiciera a su nombre, y debiendo considerarse no válida la grabación aportada. En este caso, si bien se ha aportado por la entidad denunciada copia de la grabación resultado del procedimiento de contratación de televenta, se ha reconocido por VODAFONE que ninguna de ellas puede relacionarse con los números de servicio objeto de la denuncia. En consecuencia no se ha acreditado, por un medio fehaciente, que dicha contratación se hiciere a nombre del verdadero titular del contrato y en consecuencia que contase con su consentimiento para el tratamiento de sus datos- ni se hubiese actuado con la diligencia debida. Debe recordarse, por todas la Sentencia de la Audiencia Nacional de 29/4/10 que señala que la cuestión no es dilucidar si la recurrente trató los datos de carácter personal del denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. Cabe decir por tanto que, ante la falta de diligencia en la acreditación del consentimiento de la titular para el tratamiento de sus datos personales, con la consecuencia que se cargaran una serie de facturas y ante la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, se estima vulnerado por la entidad imputada el artículo 6.1 de la LOPD. V El artículo 44.3.
7. b)de la LOPD tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. VODAFONE, a través de sus empleados o agentes, ha realizado un tratamiento de datos, sin controlar ni realizar un trabajo de supervisión que permita detectar si la persona ha manifestado real e inequívocamente su voluntad de contratar. En definitiva, es necesario que, una vez identificada la persona sin lugar a dudas –y documentada la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 identificación-, y tras la información pertinente ha prestado su consentimiento al contrato del servicio y, en consecuencia, al tratamiento de sus datos personales. VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
8. a)El carácter continuado de la infracción.
9. b)El volumen de los tratamientos efectuados.
10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
11. d)El volumen de negocio o actividad del infractor.
12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
13. f)El grado de intencionalidad.
14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IIS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En este caso existe por parte de VODAFONE un reconocimiento voluntario de su responsabilidad por lo que es de aplicación lo dispuesto en el art. 45.5.d de la LOPD. Junto a ello existen otras circunstancias que minoran de forma cualificada su responsabilidad: * La existencia de una grabación de la contratación aunque debido a algún error no se pueden relacionar las mismas con los servicios objeto de controversia. Se trata de una circunstancia atenuante no derivada de la inaplicación del procedimiento para la grabación de las contrataciones por el sistema de televenta, sino de una incidencia ocasional. * La existencia de una actuación diligente por parte de VODAFONE (art. 45.5 b de la LOPD) que dio de baja a los servicios contratados una vez que la denunciante se puso en contacto con la entidad en un plazo relativamente corto, (consta una primera reclamación del denunciante el 30/8/13, y tras varias reclamaciones la línea fue dada de baja el 24/10/13), cesando así el tratamiento inconsentido de sus datos. En consecuencia, al haber reconocido voluntariamente la culpabilidad y haber regularizado diligentemente la situación, aplicando los criterios de ponderación referidos en el párrafo anterior, procede imponer una sanción de 10.000 euros por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Vodafone España SAU, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma, una multa de 10.000 € (diez mil euros) de conformidad con lo establecido en el artículo 45.5 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a Vodafone España SAU y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-00000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es