PS-00596-2016

1/7 Procedimiento Nº: PS/00596/2016 RESOLUCIÓN R/00463/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00596/2016, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ONO, S.A.U., vista la denuncia presentada por DÑA. B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23/12/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad VODAFONE ONO, S.A.U, mediante el Acuerdo que se transcribe: <<HECHOS PRIMERO: Con fechas 20 de enero y 22 de febrero de 2016, tienen entrada en esta Agencia escritos de C.C.C. (en lo sucesivo el afectado o el hijo de la denunciante), en representación de Dña. B.B.B. (en lo sucesivo la denunciante), en los que manifiesta que la denunciante fue cliente de la entidad VODAFONE ONO, S.A.U (en lo sucesivo VODAFONE ONO) con el número de teléfono K.K.K. y que, al no recibir facturas, solicitó el acceso al área de clientes para acceder a través de internet, comprobando que los datos que figuraban correspondían al abonado A.A.A. (en lo sucesivo otra cliente o tercera), con el número de teléfono I.I.I.. Estos hechos fueron comunicados a VODAFONE ONO a través de varios correos enviados desde la dirección E.E.E. perteneciente al hijo de la denunciante). Con fecha 25/11/2015 se solicita la baja de los servicios. No obstante, con fecha 31 de enero de 2016, volvió a recibir un correo electrónico informándole de que su factura estaba disponible. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad VODAFONE ONO, teniendo conocimiento de que: 1. Con fecha 16 de junio de 2016, se realiza visita de inspección en los locales de la entidad VODAFONE ONO, poniéndose de manifiesto los siguientes hechos: 1.1 Se realiza una consulta utilizando como argumento de búsqueda el número de DNI de la denunciante, verificando que se encuentra asociado a la cliente D.D.D., que consta como correo electrónico de contacto E.E.E. y un domicilio de G.G.G.). Consta como titular de los siguientes contratos:  Teléfono fijo con fecha de alta 13 de febrero de 2006, asociada al número de teléfono K.K.K., con fecha de baja 25 de noviembre de 2015.  Televisión con fecha de alta 22 de julio de 2007 y fecha de baja 25 de noviembre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 de 2015. Se accede a los datos de contactos con el cliente, figurando entre otros, uno relativo a los hechos denunciados:  Con fecha 28 de octubre de 2015: el Cliente pone de manifiesto que a través del área de clientes de VODAFONE ONO en internet accede a los datos de otro cliente con ID M.M.M..  Con fecha 4 de diciembre de 2015: se registra la recepción de un correo electrónico remitido por la cliente, en el que pone de manifiesto los hechos denunciados. Este correo se registra como si se tratase de una solicita la baja y de cancelación de factura. La entidad denunciada tramita verifica que ya está dada de baja.  No consta ningún registro asociado al alta del cliente como usuario del área de clientes de VODAFONE ONO a través de internet. Se accede a las facturas asociadas al cliente, obteniendo copia de las siguientes:  De fecha 26 de noviembre de 2015, en la que todos los datos son correctos.  De fecha 26 de diciembre de 2015, en la que los datos son correctos.  De fecha 26 de enero de 2015, en la que los datos son correctos. 1.2 Se realiza una consulta utilizando como argumento de búsqueda el ID N.N.N., verificando que corresponde a A.A.A.., con una dirección de H.H.H. y como dirección de correo electrónico de contacto E.E.E. y que en los datos de facturación figura el mismo domicilio, sin embargo el nombre y apellidos es el de D.D.D.. Así mismo se comprueba que: 1.2.1.1 Con fecha 28 de octubre consta una modificación de datos de contacto que se ha realizado, según el usuario que figura, a través del área de cliente de la página web.  Consta una contratación de línea fija e internet, con número provisional I.I.I. con fecha de alta 4 de noviembre de 2005 y activo en la actualidad.  Con fecha 14 de noviembre de 2005, se realiza un cambio del número provisional I.I.I. al número J.J.J..  Con fecha 30 de septiembre de 2013 se da de alta la línea móvil L.L.L. y activo en la actualidad. Se accede a los contactos comprobando que, entre otros, constan:  Con fecha 27 de octubre de 2015, se da de alta en el área de clientes de VODAFONE ONO a través de internet.  No se obtiene constancia de la existencia de ningún contacto en relación con los hechos denunciados. Se accede a las facturas asociadas al cliente, obteniendo copia de las siguientes:  De fecha 15 de octubre de 2015, en la que todos los datos son correctos.  De fecha 15 de noviembre de 2015, en la que los datos son correctos excepto el nombre y apellidos de la denunciante en los datos de envío de la factura. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7  De fecha 15 de diciembre de 2015, en la que los datos son correctos excepto el nombre y apellidos de la denunciante en los datos de envío de la factura.  De fecha 15 de mayo de 2016, en la que los datos son correctos excepto el nombre y apellidos de la denunciante en los datos de envío de la factura. 2. Los representantes de VODAFONE ONO, realizan una simulación del procedimiento que debe utilizar un cliente para darse de alta como usuario del área de clientes en la página web www.ono.es, comprobando que:  En el área de cliente hay que seleccionar la opción “Date de alta”  Se accede a un formulario que solicita los siguientes datos: dirección de correo electrónico, NIF del titular y selección del tipo de identificador que puede ser: teléfono fijo, ID de cliente o cuatro últimos dígitos de la cuenta bancaria.  Tras aceptar las condiciones legales, se pincha el botón “Darse de alta”.  Después de realizar el proceso, se envía un correo electrónico a la dirección facilitada por el cliente donde a través de un enlace que figura en el correo tiene que facilitar la contraseña que va a utilizar para su acceso. 3. Los inspectores de la Agencia solicitan el acceso al fichero en el que se gestionan los datos de los clientes que se han dado de alta siguiendo el procedimiento descrito en el apartado anterior, verificando que:  Se realiza una búsqueda utilizando el D.N.I. de la denunciante, no constando que figure como dada de alta en el servicio.  Se realiza una búsqueda utilizando la dirección de correo electrónico E.E.E. verificando que consta el alta de la cliente “ A.A.A.”. 4. A continuación se accede como administrador del sistema al área de clientes con la dirección de correo electrónico F.F.F., verificando que todos los datos que constan del cliente son los correspondientes a “ A.A.A.”, no constando el nombre y apellidos de la denunciante en ningún apartado, no obstante en las facturas siguen apareciendo el nombre y apellidos de la denunciante en los datos de envío de la factura. 5. A la vista de las comprobaciones realizadas, los representantes de VODAFONE ONO realizan las siguientes declaraciones en relación con los hechos denunciados: 1.3 1.4 1.5 Desconocen el motivo por el que al registrarse la denunciante como usuaria del área de clientes en la página web de VODAFONE ONO, se asociaron los datos a A.A.A.. El hecho de que en las facturas correspondientes al cliente A.A.A., aparezca el nombre y apellidos de la denunciante, puede ser debido a que la denunciante a través del área de clientes, al ver los datos de otro cliente, modificara el nombre y apellidos por el suyo propio en los datos de envío de la factura. A fecha de hoy no se ha detectado ninguna incidencia que pueda haber provocado este error en ningún otro cliente, por lo que creen que es un hecho puntual. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 En primer lugar, los hechos expuestos pueden suponer la comisión por parte de VODAFONE ONO, de una infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”, tipificada como grave en el artículo 44.3.c), de dicha norma, que considera como tal, “

1. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica . II En segundo lugar, los hechos expuestos también pueden suponer la comisión, por parte de VODAFONE ONO, de una infracción del artículo 10 de la LOPD, que señala que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, tipificada como grave en el artículo 44.3
2. d)de dicha norma, que considera como tal “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley” sancionable con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45 de la citada Ley Orgánica. III Los hechos constatados, consistentes en tratar datos personales de la denunciante inexactos o que no responden a la situación actual de la misma, los cuales fueron asociados a los datos personales de otra cliente, a los que aquella tuvo acceso, constituyen la base fáctica para fundamentar la imputación a VODAFONE ONO de las infracciones de los artículos 4.3 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, el tratamiento de datos personales de la denunciante asociados a los de otra clienta deriva, a su vez, en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, procede subsumir ambas infracciones en una, procediendo imponer únicamente la sanción prevista para la infracción del artículo 4.3 de la LOPD que se trata de la infracción originaria que ha implicado la comisión de la otra. IV Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD: . Se considera el carácter continuado de la infracción (apartado 4.
3. a)por el tratamiento de los datos del denunciante y los de su hijo (el alta de la denunciante en el área de clientes disponible C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 en el portal web de la denunciada se produce en octubre de 2015 y desde ese momento sus datos quedaron asociados a los de otra cliente y accesible por la denunciante la información correspondiente a ésta clienta, situación que se mantenía en el momento de la inspección realizada el 16/06/2016); la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad de la entidad imputada exige un continuo tratamiento de datos de carácter personal que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa; y el volumen de negocio de la entidad (apartado 4.d); y, especialmente, se considera que la situación irregular denunciada se mantiene por todo el tiempo señalado a pesar de que fue puntual y reiteradamente advertida por la denunciante (consta la remisión de un correo electrónico de 02/12/2015 en el que relata los hechos que han motivado su denuncia); determinándose la cuantía de la sanción por vulneración del artículo 4.3 de la LOPD en la cuantía de 50.000 euros. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a VODAFONE ONO, S.A.U con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
4. c)de la citada Ley. 2. NOMBRAR como Instructor a…, y como Secretaria a… indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
5. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), y art. 127 letra
6. b)del RLOPD, la sanción que pudiera corresponder sería de 50.000 euros, sin perjuicio de lo que resulte de la instrucción. Asimismo, de conformidad con los artículos 64.2.
7. f)y 85 de la LPACAP, se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 10.000 Euros (diez mil euros). Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000 Euros (cuarenta mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 10.000 euros (diez mil euros). Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000 Euros (cuarenta mil euros) y su pago C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 30.000 Euros (treinta mil euros). En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (40.000 Euros o 30.000 Euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00596/2016 y la causa o causas de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. 5. NOTIFICAR el presente Acuerdo a VODAFONE ONO, S.A.U indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
8. f)del artículo 127 del RLOPD. De conformidad con lo establecido en los artículos 37.
9. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno>>. SEGUNDO: En fecha 12/01/2017, la entidad VODAFONE ONO, S.A.U ha procedido al pago de la sanción en la cuantía de 30.000 euros (treinta mil euros), haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. TERCERO: En fecha 16/01/2017, tuvo entrada en esta Agencia escrito de la entidad VODAFONE ONO, S.A.U, de fecha 12/01/2017, en que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción reglamentariamente” previsto en este apartado podrá ser incrementado De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento PS/00596/2016, de conformidad con lo establecido en el artículo 85 de la LPACAP SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ONO, S.A.U De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es