← España

PS-00629-2014

1/14 Procedimiento Nº PS/00629/2014 RESOLUCIÓN: R/00449/2015 En el procedimiento sancionador PS/00629/2014, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A.U., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 17/01/2014 se recibe en el registro de la Agencia Española de Protección de Datos escrito de A.A.A. (en lo sucesivo el denunciante), en el que se pone de manifiesto los siguientes hechos: En junio y julio de 2012, el denunciante ha recibido notificación de inclusión en los ficheros de morosidad ASNEF y BADEXCUG por una deuda con VODAFONE ESPAÑA, S.A.U. (en adelante VODAFONE) sin haber mantenido nunca una relación con la citada compañía. El denunciante manifiesta que desde el año 2012 viene recibiendo requerimientos de pago a instancias de VODAFONE y aporta copia de escritos de las compañías: VODAFONE, en fecha 20/06/2012, GRUPO CRF SA, en fecha 13/07/2012, INTRUM JUSTITIA, en fecha 14/09/2012, asimismo aporta las notificaciones de inclusión mencionadas. En todos los escritos consta como segundo apellido “***APELLIDO.2”. En julio de 2012, el denunciante remite burofax a VODAFONE indicando que está recibiendo dichos escritos cuando no ha mantenido relación con la compañía e informando que tanto su nombre como la dirección postal es incorrecta aunque similar y en agosto vuelve a remitir reclamación al operador solicitando copia del contrato suscrito para los servicios por los que le reclaman la deuda. El denunciante no ha aportado contestaciones de VODAFONE a sus reclamaciones. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad EQUIFAX IBERICA, S.L.,(en lo sucesivo EQUIFAX), EXPERIAN BUREAU DE CRÉDITO, S.A: (en lo sucesivo EXPERIAN) y VODAFONE: En relación con la inclusión de datos en el fichero de morosidad ASNEF: Con fecha 25/04/2014, se solicita a EQUIFAX información relativa al denunciante y de la respuesta recibida, se desprende: Respecto del fichero ASNEF: con fecha 26/02/2014, fecha en que se realiza la consulta en el fichero ASNEF, figura una incidencia asociada al identificador ***NIF.1 y al nombre y apellidos “B.B.B.”. Como fecha de alta consta 15/06/2012 y fecha de última actualización 20/02/2014, por un importe de 111,05 €. La incidencia ha sido informada por SIERRA CAPITAL. EQUIFAX manifiesta que SIERRA CAPITAL es cesionario de la cartera de impagos de VODAFONE. Respecto del fichero de NOTIFICACIONES: constan tres notificaciones de inclusión, cuya entidad informante es VODAFONE o SIERRA CAPITAL:  Con fecha de emisión 16/06/2012 e importe 108,19 € informada por VODAFONE. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14  Con fecha de emisión 12/07/2012 e importe 111,05 € informada por VODAFONE.  Con fecha de emisión 05/03/2013 e importe 111,05 € informada por SIERRA CAPITAL Como domicilio de notificación figura (C/.............1) Madrid. No obstante, en la documentación aportada por el denunciante consta un domicilio en dicha calle y población pero en otro número y con el código postal ***CP.1. La notificación remitida en fecha 05/03/2013 ha sido devuelta en fecha 12/04/2013. Respecto del fichero de BAJAS: no constan bajas asociadas a esta incidencia. Respecto de los derechos ARCO: en el Servicio de Atención al Cliente de la entidad no constan expedientes asociados a los derechos del denunciante. En relación con la inclusión de datos en el fichero de morosidad BADEXCUG: Con fecha 25/02/2014, se solicita a EXPERIAN información relativa al denunciante y de la respuesta recibida, en fecha de registro de entrada en esta Agencia 10/03/2014, se desprende: Respecto del fichero BADEXCUG: con fecha 03/03/2014, fecha en que se realizó la consulta en el fichero BADEXCUG, no consta ninguna incidencia asociada al identificador ***NIF.1. Respecto del fichero de NOTIFICACIONES: consta una notificación de inclusión cuya entidad informante es VODAFONE. Con fecha de emisión 24/07/2012 e importe 111,05 €. Figura el nombre y apellidos “B.B.B.” y el domicilio en (C/.............1) (Madrid). Respecto del fichero de BAJAS: consta una baja asociada a la incidencia informada por VODAFONE:  Con fecha de alta 22/07/2012 y en baja con fecha 03/03/2013 como consecuencia del proceso automáticos de actualización semanal de datos (B8). Respecto de los derechos ARCO: en el Servicio de Atención al Cliente de la entidad no figuran expedientes respecto de los derechos del denunciante. Respecto de la entidad informante VODAFONE: Con fecha 25/02/2014 se solicita a VODAFONE información relativa al denunciante y de la respuesta recibida en fecha 18/03/2013 se desprende lo siguiente: Respecto de la inclusión en ficheros de morosidad 1. En los Sistemas de Información de VODAFONE constan los datos de B.B.B. como titular de la línea número ***TEL.1, con fecha de alta 23/03/2012 y domicilio en (C/.............1) (Madrid). El servicio fue dado de baja el 15/12/2012 por no pago. VODAFONE manifiesta, y aporta impresión de la información sobre portabilidad, que el servicio con número ***TEL.1 corresponde a una línea importada de Amena el 23/03/2012 siendo el titular donante C.C.C. con DNI ***DNI.2 y el titular receptor en VODAFONE el denunciante. VODAFONE manifiesta no disponer del contrato de la línea ***TEL.1 y que fue realizado por el distribuidor ABOUT LINE SL. 2. VODAFONE ha aportado listado de las facturas emitidas y manifiesta que ninguna de ellas fue abonada generando una deuda de 111,05 €, por este motivo se procedió C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 a la comunicación de los datos del denunciante a los ficheros de morosidad. Sin embargo, VODAFONE manifiesta que con motivo de la apertura del presente procedimiento la compañía ha analizado el caso del denunciante y lo ha calificado como fraudulento, por lo que la deuda se deja de reclamar. 3. En el Sistema de Información donde se registran las interacciones con los clientes consta la entrada de una reclamación ante la Junta Arbitral de la Comunidad de Madrid, en fecha 10/02/2014 y consta una contestación en esa misma fecha donde se informa a la Junta Arbitral que la deuda asociada al denunciante ha sido vendida a SIERRA CAPITAL, no obstante, desde VODAFONE se ha procedido a anular la deuda de 111,05 € y ha solicitado que los datos del denunciante ya no consten en ficheros de solvencia patrimonial. 4. VODAFONE manifiesta que con motivo del escrito de solicitud de información de la Agencia Española de Protección de Datos se revisó el caso calificándose de fraudulento con lo que la deuda se ha dejado de reclamar y los datos del denunciante estaban excluidos de los ficheros de solvencia patrimonial desde el 03/03/2013. A este respecto, se ha comprobado que en el fichero ASNEF se encontraban registrados los datos del denunciante a instancia de SIERRA CAPITAL, con fecha de última actualización 20/02/2014 por la deuda de 111,05 €. TERCERO: Con fecha 29/09/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE por presunta infracción de los artículos 4.3, 6.1 y 11.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.c), 44.3.

  1. b)y 44.3.
  2. k)de dicha norma, pudiendo ser sancionada con multas de 40.001 € a 300.000 € por cada una de ellas, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: VODAFONE el 26/12/2014 presentó escrito de alegaciones, formulando, en síntesis, las siguientes: que en los sistemas de VODAFONE constaba que el denunciante tenía contratado el servicio ***TEL.1 desde el 23/03/2012 hasta el 15/12/2012, y que debido al impago de facturas fue acumulándose una deuda que ascendía a 111,05 euros, lo que ocasionó que fuera requerida y posteriormente incluida en ficheros de morosidad; que el 28/09/2012 se produjo la cesión de la cartera de deuda a SIERRA CAPITAL por lo que han transcurrido más de dos años desde la fecha en que se produjo la citada venta y el inicio del presente expediente sancionador, por lo que la infracción del artículo 11.1 de la LOPD estaría prescrita; que VODAFONE quiere reconocer su culpabilidad de conformidad con lo señalado en el artículo 8 del REPEPOS. QUINTO: En fecha 23/10/2014 se inició un periodo de práctica de pruebas acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/00598/2014. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por VODAFONE. Solicitar a VODAFONE impresión de pantalla que acredite que el denunciante estaba incluido en la relación de deudores, cuyas deudas fueron cedidas a SIERRA CAPITAL. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 En fecha 11/02/2015 VODAOFNE dio respuesta a la pruebas requerida cuyo contenido obra en el expediente. SEXTO: Al haber reconocido la entidad denunciada la responsabilidad en los hechos que se le imputan, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. HECHOS PROBADOS PRIMERO: En fecha 17/01/2014, el denunciante presentó escrito en esta Agencia manifestando que VODAFONE había incluido sus datos de carácter personal en el fichero ASNEF por una deuda, sin que mantuviera relación contractual con la citada empresa (folio 1). SEGUNDO: Consta copia del DNI del denunciante nº ***NIF.1 (folio 31 y 32). TERCERO: El denunciante se dirigió a VODAFONE en dos ocasiones, el 21/07/2012 y 08/08/2012; en la primera, les informaba que estaba recibiendo requerimientos acerca del pago de una deuda con VODAFONE, sin que hubiera firmado contrato alguno con la citada entidad y que tanto su nombre, dirección y código postal eran incorrectos; en la segunda, les informaba que continuaba recibiendo requerimientos de pago, así como la inclusión en el fichero BADEXCUG, por lo que solicitaba la copia del contrato firmado con la operadora de telefonía (folios 20 a 30). CUARTO: Consta copia de la denuncia del afectado, de fecha 15/01/2014, formulada ante la Comisaria de policía de Madrid-Moratalaz, manifestando que en junio de 2012 recibió carta en su domicilio de Moralzarzal carta de VODAFONE, si bien remitida a (C/..............1) y a nombre de un tercero, en la que le reclamaban una deuda de 80 euros; que al ver que la dirección y destinatario no eran los suyos la rompió no conservándola; que en ningún momento ha firmado contrato alguno ni ha solicitado los servicios de la citada compañía; que posteriormente siguió recibiendo otras cartas que conserva, si bien la cuantía ha ido incrementándose; que también ha sido incluido en el fichero ASNEF, pasando a gestionar la deuda Intrum Justitia; que a través de diversos burofaxes ha solicitado información y copia del contrato a VODAFONE; que también ha denunciado los hechos ante la oficina del consumidor de la CCAA de Madrid; que desconoce quién y cómo han podido hacerse con sus datos personales (folios 7 y 8). QUINTO: Consta que la denunciante presentó reclamación por los mismos hechos el 20/11/2013 ante la Dirección General de Consumo de la Consejería de Economía y Hacienda de la CCAA de Madrid, solicitando arbitraje de consumo ante la JJAA el 16/01/2014 (folios 2 a 6). Trasladado a VODAFONE respondía el 10/02/2014: “Ponemos en su conocimiento que a pesar de que la deuda de referencia ***TEL.2 fue vendida por parte de Vodafone España, S.A.U. a Sierra Capital, a la vista de la reclamación recibida y con el fin de garantizar no solo una adecuada experiencia de cliente sino también una resolución favorable del presente asunto, hemos procedido a anular la cantidad requerida, 111,05 €. Asimismo le informamos que hemos solicitado que los datos personales del Sr. A.A.A. no consten en ningún fichero de solvencia patrimonial con motivo de la citada deuda” (folio 87). SEXTO: Constan requerimientos de pago realizados por VODAFONE (20/06/2012) y las empresas de recobros de impagados Grupo CRF (13/07/2012) e Intrum Justitia (14/09/2012), remitidos al denunciante en los que se le conminaba a hacer efectiva una deuda que mantenía con VODAFONE por un importe de 111, 05 euros (folios 11, 15, 19). SEPTIMO: En los ficheros informatizados de VODAFONE constan los siguientes productos vinculados al denunciante: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 - Línea asociada al nº ***TEL.3, contrato Plan de precios único, con fecha de alta 23/03/2012 y baja el 15/12/2012. Como domicilio de la denunciante figura (C/..............1)(Madrid) y como segundo apellido figura ***APELLIDO.2. Como datos bancario figura cuenta en ING Bank NV cuyo titular es un tal D.D.D.(folios 76, 77 y 78) OCTAVO: Consta que VODAFONE emitió las siguientes facturas, vinculadas a la línea de telefonía ***TEL.3: ***FACTURA.1, de 01/01/2013, por importe de 00,00 euros ***FACTURA.2, de 01/12/2012, por importe de 00,00 euros ***FACTURA.3, de 01/11/2012, por importe de 00,00 euros ***FACTURA.4, de 01/10/2012, por importe de 00,00 euros ***FACTURA.5, de 01/09/2012, por importe de 00,00 euros ***FACTURA.6, de 01/08/2012, por importe de 00,00 euros ***FACTURA.7, de 01/07/2012, por importe de 00,00 euros ***FACTURA.8, de 01/06/2012, por importe de 2,86 euros ***FACTURA.9, de 01/05/2012, por importe de 82,52 euros ***FACTURA.10, de 01/04/2012, por importe de 25,67 euros (folio 80) NOVENO: VODAFONE no ha podido acreditar el consentimiento inequívoco del denunciante para el tratamiento de sus datos, ni ha aportado documento alguno, grafico o sonoro, relación con la contratación de la línea de telefonía móvil asociada al número ***TEL.3. DECIMO: EXPERIAN, como responsable del fichero BADEXCUG, en fecha 10/03/2014 ha informado que en el citado fichero consta una incidencia asicada al identificador ***NIF.1 correspondiente al denunciante, relativa a la operación impagada nº ***TEL.2, telecomunicaciones, informada por VODAFONE con fecha de alta y baja 22/07/2012- 03/03/2013, por un importe de 11,05 euros. La citada incidencia fue notificada a la dirección C/ (C/.............1) (folios 65, 68, 69). El segundo apellido figura como ***APELLIDO.2 en lugar de ***APELLIDO.1. DECIMO PRIMERO: EQUIFAX Ibérica, S.L. en escrito de fecha 26/02/2014, como encargado del fichero ASNEF, ha informado que consta una incidencia asociada al identificador ***NIF.1 correspondiente al denunciante, por una operación telecomunicaciones, en calidad de titular, informado por SIERRA CAPITAL, con fechas de alta 15/06/2012, por un importe impagado de 111,05 euros (folio 48). Las citada incidencia fue notificada a la dirección: C/ (C/.............1) (Madrid) (folio 58). El segundo apellido figura como ***APELLIDO.2 en lugar de ***APELLIDO.1. DECIMO SEGUNDO: VODAFONE en escrito de fecha 26/12/2014 ha manifestado que “Adicionalmente,…, se procedió a vender la deuda del Sr. A.A.A. a Sierra Capital…, la venta de la cartera a Sierra Capital se produjo en fecha 28 de septiembre de 2012…” (folio 122). DECIMO TERCERO: En fecha 28/09/2012 VODAFONE suscribió un contrato de cesión de créditos a SIERRA, por el cual se cedieron a esta ultima un total de 424.000 cuentas, entre el que se encuentran el crédito asociado al denunciante. Consta en el expediente copia de la escritura de elevación a público y protocolización del contrato de cesión de crédito entre VODAFONE (Vendedor), SIERRA CAPITAL (Comprador) e BUSINESS OPTIMIZATION SOLUTION AND SERVICES, S.L. (Garante). El contrato establece (estipulación Tercera) que la transmisión efectiva de la Cartera de Créditos se lleva a cabo en la fecha de celebración del Contrato, siendo la fecha de corte a todos los efectos el día 20 de septiembre de 2012. Así, los derechos y obligaciones derivados de dicha Cartera de Créditos que eran titularidad del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 Vendedor con anterioridad a la firma del contrato, serán titularidad del Comprador tras la firma del mismo. La firma del contrato implicaba la entrega al comprador por parte del vendedor de un CD (del que se depositaba una copia en el Notario) (folios 138 y ss). En el fichero de cesión de cartera figura que la deuda de 111,05 €, relativa al denunciante. Dicha cesión fue comunicado en fecha 11/03/2013. La deuda fue recomprada a SIERRA el 13/03/2014 (folio 136) DECIMO CUARTO: VODAFONE en escrito de fecha 26/12/2014 ha señalado que: “…, y atendiendo al reconocimiento de la culpabilidad por parte de Vodafone, se podrá proceder por parte de la Agencia a la imposición de la sanción correspondiente a las infracciones leves resolviendo así el procedimiento, según se establece en el artículo 8.1 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora” (folio 123). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que VODAFONE ha reconocido la responsabilidad en los hechos acaecidos, procede resolver el procedimiento iniciado. III En primer lugar, si bien se imputaba a VODAFONE la vulneración del artículo 11.1 de la LOPD, la representación de VODAFONE alega que la infracción del citado artículo habría prescrito por haber transcurrido el plazo de dos años desde que se produjo la venta de la cartera de deuda a SIERRA CAPITAL en fecha 28/09/2012, hasta la apertura del presente procedimiento sancionador. Hay que señalar que la LOPD, en el artículo 47.1, 2 y 3, señala: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. Con carácter general, hay que señalar que las infracciones graves prescriben efectivamente a los dos años, ex artículo 47.1 de la LOPD. El citado plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 cometido (ex artículo 47.2 de la LOPD). En el presente caso, la infracción consiste en la cesión (venta de la cartera de deuda) de los datos del denunciante por parte de VODAFONE a SIERRA CAPITAL, considerando que el computo inicial del plazo o “dies a quo” debe fijarse el 28/09/2012 fecha de la firma del contrato de venta de créditos (entre los que se encontraba la deuda inexistente del denunciante) y, el “dies ad quem” o termino final viene determinado por el acuerdo de inicio del procedimiento sancionador con conocimiento del interesado, es decir, el 05/12/2014, por lo que la posible vulneración del principio de cesión sin el consentimiento del denunciante, ex artículo 11.1 de la LOPD, infracción grave que prescribe a los dos años, habría prescrito cuando se acordó la apertura del presente procedimiento sancionador. Por lo expuesto, hay que concluir que en la fecha de adopción del acuerdo de inicio del presente procedimiento sancionador, con conocimiento de la denunciada habían transcurrido los dos años de prescripción señalados para las infracciones graves, a contar desde la cesión de los datos del denunciante. Por otra parte, haya que indicar que el artículo 11.2.
  4. a)de la LOPD, vendría a habilitar la comunicación de los datos asociados a la deuda en disputa sin contar con el consentimiento del denunciante en virtud de lo señalado en el artículo 347 del Código de Comercio, siempre que se tratare de una deuda realmente debida. Sin embargo, cuestión distinta es que la deuda cedida fuera inexistente al no existir relación contractual entre el denunciante y VODAFONE, por lo que la actuación de SIERRA CAPITAL estaría exenta de responsabilidad ya que se trataría de un tercero que ha actuado de buena fe confiando en que el crédito que adquiría de VODAFONE era cierto, vencido y exigible. IV En segundo lugar, se imputa a VODAFONE en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: "1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado". El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 primer párrafo) "consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. VODAFONE no ha acreditado en el procedimiento que cuente con el consentimiento del denunciante para el tratamiento de sus datos de carácter personal, materializado en la vinculación a la línea de telefonía móvil asociada al número ***TEL.3, línea que no había sido contratada por el denunciante y, además, emitiéndole facturas. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto que el mismo, ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a VODAFONE tratar los datos de la denunciante sin su consentimiento. V En tercer lugar, se imputa a VODAFONE la vulneración del artículo 4.3 de la LOPD, que dispone: "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: "Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley". Añadiendo el párrafo 4 del mismo artículo que "sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos." C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 El artículo 38.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala que: "1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación". Y el artículo 39 del Reglamento de desarrollo de la LOPD establece que: "El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias". Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. En el presente caso, ha quedado acreditado que VODAFONE informó al fichero de solvencia BADEXCUG, los datos de carácter personal del denunciante, constando como fechas de alta y baja del 22/07/2012- 03/03/2013, por un importe impagado de 111,05 euros, deuda que no era cierta, vencida ni exigible pues el denunciante no mantenía relación contractual con la citada operadora de telefonía. VODAFONE como acreedor e informante de dichos datos a los ficheros de, debió extremar su diligencia y responsabilidad en el momento de facilitar una información de esa naturaleza, tal y como exige el artículo 4 de la LOPD; es decir, VODAFONE debió haberse asegurado que los datos de carácter personal eran exactos y respondían con veracidad a la situación del afectado, antes de instar la inclusión en los ficheros de obligaciones dinerarias, dada las repercusiones personales que conlleva estar incluido y permanecer en ese tipo de ficheros. A mayor abundamiento, VODAFONE ha asociado los datos del denunciante a un segundo apellido, ***APELLIDO.2, y a una cuenta bancaria que no le corresponden, sin que haya justificado ni acreditado la citada vinculación. Todos estos hechos son contrarios al principio de calidad de datos y, por tanto, contravienen lo dispuesto en el artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma Ley, tipificada en el artículo 43.3.
  5. c)de la citada Ley Orgánica. VI Consta acreditado en esta Agencia que las entidades asociadas a los ficheros ASNEF y BADEXCUG suministran periódicamente las relaciones de las altas, bajas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales del denunciante son datos que figuran en los propios ficheros automatizados de VODAFONE. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados a los ficheros comunes de información sobre solvencia patrimonial, en caso de que dichos datos sean de obligados respecto de una deuda para con la entidad que insta la inclusión . La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  6. d)de la LOPD, el responsable del fichero o del tratamiento es "la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento". El propio artículo 3 en su apartado
  7. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las "operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias". En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: "Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado" Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por VODAFONE puede subsumirse o no en tales definiciones legales. VODAFONE instó la incorporación al fichero BADEXCUG los datos del denunciante en virtud de deuda que no respondía con veracidad a la situación actual del afectado. Dicha comunicación se realizó mediante un procedimiento que implica un tratamiento automatizado de los datos, como es su incorporación a una cinta magnética en cuyo destino también va a ser tratada automáticamente por el responsable del fichero de solvencia. Conforme a lo expuesto, VODAFONE ha decidido, sobre la finalidad del tratamiento (la calificación del denunciante como deudor), el contenido de la información (los datos relativos a la deuda y al deudor asociados al denunciante), y el uso del tratamiento (la incorporación de los datos del denunciante a ficheros comunes de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo), por lo que es responsable de que la información suministrada no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Además, todo lo anterior lo ha realizado sin que los datos comunicados y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 mantenidos en los ficheros fueran exactos, pues la deuda informada y asociada al denunciante no le correspondía, pues este no era deudor al quedar acreditado que no mantenía relación contractual con la citada entidad. Ello supone una clara vulneración del principio de calidad de datos, de la que debe responder VODAFONE por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en los ficheros de solvencia patrimonial y crédito. La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que VODAFONE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD en los términos del artículo 43, en relación con la definición del artículo 3.
  8. d)y
  9. c)de la citada Ley Orgánica. VII De acuerdo con las previsiones de la LOPD, según redacción dada por la Ley 21/2011, el artículo 44.3.
  10. b)tipifica como infracción grave "Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo". A su vez, el artículo 44.3.
  11. c)tipifica como infracción grave "Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave". A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. En el presente caso VODAFONE ha incurrido en las infracciones descritas ya que ha vulnerado dichos principios, consagrados en los artículos 6.1 y 4.3 de la LOPD, cuando informó al fichero de solvencia BADEXCUG los datos del denunciante asociados a una deuda que no le correspondía, al quedar acreditado que no existía relación contractual en relación con las línea de telefonía móvil asociada al número ***TEL.3 y que encuentran su tipificación en los artículos 44.3.
  12. b)y 44.3.
  13. c)de la citada Ley Orgánica. VIII El artículo 45.2, 4 y 5 de la LOPD establece que: "2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)El volumen de negocio o actividad del infractor.
  18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente". En el supuesto examinado, VODAFONE ha solicitado la aplicación subsidiaria del artículo 45.5 de la LOPD, estableciendo en la cuantía de la sanción la escala relativa a las infracciones leves, al existir causas de disminución cualificada de la culpabilidad, como el reconocimiento de la responsabilidad sobre los hechos acaecidos y, además, la aplicación del artículo 45.4 de la LOPD teniendo en cuenta las especiales circunstancias que se han producido en el presente caso, graduando la sanción en su cuantía mínima. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el caso examinado, de las actuaciones practicadas ha quedado acreditado que VODAFONE vulneró los artículos 4.3 y 6.1 de la LOPD, al informar al fichero ASNEF los datos de carácter personal del denunciante por una deuda que no era cierta, vencida ni exigible, al no mantener relación contractual con la citada operadora, vinculando los datos del denunciante a la línea de telefonía móvil asociada al número ***TEL.3 y, además, emitiéndole facturas. A mayor abundamiento, en los ficheros informatizados de la entidad figuran los datos del denunciante asociados a un segundo apellido y una cuenta bancaria que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 no le corresponden. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido a la concurrencia de la circunstancia prevista en el apartado d), al quedar acreditado que la entidad denunciada ha reconocido espontáneamente su responsabilidad en los hechos acaecidos, procediendo establecer una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Tampoco se aprecia una actitud diligente por la entidad denunciada a la vista de los hechos acaecidos; tal y como consta en los hechos probados (folios 20, 21 y 25), el denunciante se dirigió en dos ocasiones a VODAFONE, 20/07/2012 y 08/12/2012, antes de proceder a denunciar los hechos ante la Dirección General de Consumo de la CCAA de Madrid y ante la Comisaria de policía de Moratalaz (Madrid), informándole de que estaba recibiendo en su domicilio correspondencia sobre telefonía sin que mantuviera relación contractual con VODAFONE y la inclusión de sus datos en el fichero BADEXCUG como consecuencia de una deuda por lo que les solicitaba copia del contrato, sin que conste respuesta de la entidad. Por otra parte, en relación con los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, se aprecia la concurrencia de circunstancias agravantes: el carácter continuado de la infracción (apartado
  29. a)del artículo 45.4 de la LOPD), porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a VODAFONE tiene naturaleza de infracción continuada o permanente; el importante volumen de negocio de VODAFONE (apartado
  30. d)del artículo 45.4 de la LOPD), toda vez que se trata de una de las mayores operadoras de telefonía del país por cuota de mercado y la vinculación de su actividad con la realización de tratamientos de datos de carácter personal (apartado
  31. c)del artículo 45.4 de la LOPD), pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4 se imponen dos sanciones de 20.000 € cada una, por vulneración del artículo 4.3 y 6.1 de la LOPD, de las que VODAFONE debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A.U., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  32. c)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad VODAFONE ESPAÑA, S.A.U., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  33. b)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. TERCERO: ARCHIVAR a la entidad VODAFONE ESPAÑA, S.A.U., por una supuesta infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
  34. b)de dicha norma, por prescripción de la misma. CUARTO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U., y a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 A.A.A.. QUINTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.