← España

PS-00631-2016

1/16 Procedimiento Nº PS/00631/2016 RESOLUCIÓN: R/01844/2017 En el procedimiento sancionador PS/00631/2016, instruido por la Agencia Española de Protección de Datos a la entidad TELEFÓNICA ESPAÑA, S.A.U., vista la denuncia presentada por A.A.A., y en base a los siguientes: ANTECEDENTES PRIMERO: En fecha 23 de febrero de 2016 tiene entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de Dña. A.A.A. (en lo sucesivo la denunciante) en el que denuncia a TELEFÓNICA DE ESPAÑA, S.A.U. por la inclusión de sus datos en el fichero de morosos Asnef sin haberle requerido previamente al pago de la misma y tampoco reconoce la deuda. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad TELEFÓNICA DE ESPAÑA, S.A.U., teniendo conocimiento que: La empresa TELEFÓNICA DE ESPAÑA en sus dos escritos de fecha 25/10/2016 ha remitido la siguiente información:  Aportan copia impresa de los datos que figuran en sus sistemas relativos a la denunciante donde constan dos domicilios de BALEARES en (C/...1), y (C/...2). Estos domicilios no coinciden con el domicilio facilitado por la denunciante a la Agencia y que figura en su copia de D.N.I.  El primer domicilio figura para la línea fija ***TEL.1 de alta 9/9/2011 y baja 1/10/2012 por cambio de operador con deuda de 84,19€, y el segundo domicilio figura para la línea fija ***TEL.2 de alta 30/5/2012 y baja 4/4/2013 por falta de pago con deuda de 278,23€.  Aporta relación de facturas emitidas para las dos líneas: o 15 pagadas y 4 impagadas para la primera línea o 4 pagadas y 8 pendientes para la segunda línea  No les consta contrato.  Por atención comercial se ha procedido a la anulación de la deuda.  Aportan once cartas con facturas de fechas 15/11, 14/12 y 15/12/2012, 12/01, 17/01, 12/03, 13/03, 16/03, 17/04, 5/05 y 17/05/2013 referenciadas e individualizadas a nombre de la denunciante a la dirección de BALEARES, con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 detalle de la deuda y advertencia de que su impago puede ocasionar la inclusión en ficheros de morosidad.  De las once cartas cuatro son de la primera línea y las siete restantes son referidas a la segunda línea.  Aportan descripción del procedimiento establecido para comunicar a los clientes el requerimiento previo de pago y la información previa a la inclusión en ficheros de morosidad, que no permite la trazabilidad de la carta. o Aporta copia de pantallazos con los nº de albarán de entrega a Correos o Aporta copia de los albaranes de entrega en Correos.  Certificado de la empresa EMFASIS Billing & Marketing Services, S.L., en el que describe el procedimiento general de devolución sin especificar código de carta concreta. TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que TELEFÓNICA DE ESPAÑA, S.A.U. realizó tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco al incorporar a su fichero de clientes como titular de un contrato que nunca había solicitado ni suscrito. Siguiendo con la gestión de esos contratos y sin realizar comprobaciones de la identidad con suficiente diligencia incluyeron sus datos personales asociados a deudas que no le correspondían en Asnef. CUARTO: Con fecha 1 de febrero de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TELEFÓNICA DE ESPAÑA, S.A.U. por la presunta infracción de los artículos 6.1, infracción tipificada como grave en el artículo 44.3b) y además por la presunta infracción del artículo 4.3 de la LOPD, en relación con el artículo 29 de la misma norma y en relación también con los artículos 38, 39 y 43 del RLOPD, infracción tipificada como grave en el artículo 44.3c) de la citada Ley. TELEFÓNICA DE ESPAÑA, S.A.U, recibido dicho acuerdo, tras solicitar y recibir copia de la documentación que consta en el procedimiento, presentó escrito de alegaciones. En primer lugar alega la caducidad del procedimiento, en base al artículo 122.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999 de 13 de diciembre de Protección de datos de carácter personal, ya que según TELEFÓNICA DE ESPAÑA, S.A.U. Dña. A.A.A. presentó su reclamación ante la Agencia Española de Protección de Datos con fecha 2 de febrero de 2016 y la Resolución de Acuerdo de inicio de Procedimiento Sancionador es de fecha 1 d febrero de 2017 y tiene entrada en Telefónica de España el 6 de febrero de 2017. Es decir un año y cuatro días después de la fecha en la que presentó la reclamación la denunciante, por lo tanto ha transcurrido el plazo de doce meses que estipula el artículo 122.4 del Real Decreto 1720/2007 de 21de diciembre, produciéndose la caducidad de las actuaciones previas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 En segundo lugar alega falta de responsabilidad y que no ha habido infracción de los artículos 6.1 y 4.3 de la LOPD, dado que el abono de facturas, la existencia de consumo, la recepción de facturas en su domicilio aportan las pruebas suficientes para demostrar el consentimiento prestado por la denunciante. QUINTO: Con fecha 3 de marzo de 2017, se inició el período de práctica de pruebas y se acordaba dar por reproducidos a efectos probatorios la denuncia interpuesta por Dña. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, el Informe de actuaciones previas de Inspección, las alegaciones al acuerdo de inicio presentadas por Telefónica con sus documentos adjuntos. SEXTO: Con fecha 7 de abril de 2017, se inició el trámite de audiencia por un plazo de diez días, para formular alegaciones y aportar cuantos documentos estime de interés, y asimismo, se notifica la relación de documentos obrantes en el procedimiento a fin de que pueda obtener copias de los que estime convenientes. Todo ello, según lo dispuesto en el artículo 82 de la Ley 39/2015, de 1 de octubre de Procedimiento Administrativo Común de las Administraciones Públicas, notificándose a las partes interesadas. SEPTIMO: Con fecha 19 de mayo de 2017 fue notificada a TELEFÓNICA DE ESPAÑA, S.A.U. la propuesta de resolución, concediéndose diez días para formular alegaciones, las cuales fueron presentadas en fecha 2 de junio de 2017. Se reiteraban argumentos ya expuestos en anteriores alegaciones, en el sentido de que el procedimiento seguido por TELEFÓNICA DE ESPAÑA, S.A.U. es el correcto. HECHOS PROBADOS PRIMERO: Que con fecha 23 de febrero de 2016 Dña. A.A.A. manifiesta a esta Agencia Española de Protección de Datos que se ha producido la inclusión de sus datos de carácter personal en los ficheros de solvencia patrimonial por parte de TELEFÓNICA DE ESPAÑA, S.A.U. sin requerimiento previo de pago (folio 1) 1º.- Con fecha 3 de marzo de 2017, el Jefe de Área de Atención al Ciudadano de la Agencia Española de Protección de Datos, certifica que el escrito de denuncia presentado por Dña. A.A.A. tuvo como fecha de entrada en el registro de documentos de la AEPD el 23 de febrero de 2016 (folio 116). 2º.- Que en el fichero de solvencia patrimonial y crédito ASNEF fue registrada la siguiente incidencia: Inclusión de datos personales de Dña. A.A.A. a instancias de TELEFÓNICA DE ESPAÑA por un primer producto de telecomunicaciones en calidad de titular por un importe de 84,19€, inscripción con fecha de alta el 18 de febrero de 2013, constando como domicilio (C/...2) ISLAS BALEARES (folio 7). 3º.- Que en el fichero de solvencia patrimonial y crédito ASNEF fue registrada la siguiente incidencia: Inclusión de datos personales de Dña. A.A.A. a instancias de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 TELEFÓNICA DE ESPAÑA por un segundo producto de telecomunicaciones en calidad de titular por un importe de 278,23€, inscripción con fecha de alta el 14 de enero de 2013, constando como domicilio (C/...2) ISLAS BALEARES (folio 7) 4º.- Que TELEFÓNICA DE ESPAÑA , por otra parte ha aportado a esta Agencia Española de Protección de Datos documentación que emitió once cartas con facturas de fechas 15/11, 14/12 y 15/12/2012, 12/01, 17/01, 12/03, 13/03, 16/03, 17/04, 5/05 y 17/05/2013 referenciadas e individualizadas a nombre de la denunciante a la dirección de BALEARES, con detalle de la deuda y advertencia de que su impago puede ocasionar la inclusión en ficheros de morosidad. De las once cartas cuatro son del primer producto y las siete restantes son referidas al segundo producto. Aportan descripción del procedimiento establecido para comunicar a los clientes el requerimiento previo de pago y la información previa a la inclusión en ficheros de morosidad, que no permite la trazabilidad de la carta. Aporta copia de pantallazos con los nº de albarán de entrega a Correos Aporta copia de los albaranes de entrega en Correos. Certificado de la empresa EMFASIS Billing & Marketing Services, S.L. en el que se describe el procedimiento general de devolución sin especificar el código de la carta concreta (folio 80) 5º.- Que TELEFÓNICA DE ESPAÑA, por otra parte reconoce que no le ha sido posible la localización del contrato suscrito (folio 105). 6º.- Que se constata que con el nombre de la denunciante se han contratado dos líneas, de las cuales se emitieron las siguientes facturas: De la línea ***TEL.1, se emitieron 19 facturas, de la línea ***TEL.2 se emitieron 12 facturas. De entre las mencionadas líneas la denunciante, no ha abonado las siguientes facturas: De la línea ***TEL.1, pendiente de pago 4 facturas (15 pagadas), de la ***TEL.2, pendiente de pago 8 facturas (4 pagadas). Aportan copia impresa de los datos que figuran en sus sistemas relativos a la denunciante donde constan dos domicilios de BALEARES en (C/...1), Y (C/...2). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 II En relación con lo alegado por TELEFÓNICA DE ESPAÑA S.A.U. sobre la caducidad del procedimiento, en base al artículo 122.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999 de 13 de diciembre de Protección de datos de carácter personal, ya que según TELEFÓNICA DE ESPAÑA, S.A.U. “Dña. A.A.A. presentó su reclamación ante la Agencia Española de Protección de Datos con fecha 2 de febrero de 2016 y la Resolución de Acuerdo de inicio de Procedimiento Sancionador es de fecha 1 de febrero de 2017 y tiene entrada en Telefónica de España el 6 de febrero de 2017. Es decir un año y cuatro días después de la fecha en la que presentó la reclamación la denunciante, por lo tanto ha transcurrido el plazo de doce meses que estipula el artículo 122.4 del Real Decreto 1720/2007 de 21de diciembre, produciéndose la caducidad de las actuaciones previas”. Pues bien, consta que Dña. A.A.A., obtuvo un código de preinscripción en la sede electrónica de la Agencia Española de Protección de Datos en fecha 2 de febrero de 2014, pero tal como consta en la citada sede electrónica carecerán de efecto alguno las solicitudes enviadas que hayan obtenido un código de preinscripción, si el documento pdf impreso, debidamente firmado de forma manual, no hubiera sido presentado en la Agencia Española de Protección de datos, y este es el caso que nos ocupa aquí, dicha denuncia no fue firmada manualmente por Dña. A.A.A. hasta el 18 de febrero de 2016 y fue presentada en el registro de esta Agencia el día 23 del mismo mes y año (folio 1). Así las cosas, es de señalar que el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en su artículo 126, establece: “1. Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la Agencia Española de Protección de Datos. Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. 2. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo”. El artículo 122, señala que: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. 3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas. (El subrayado es de la Agencia Española de Protección de Datos). Es necesario señalar que en el presente caso resulta de aplicación el plazo máximo de doce meses de duración establecido en el artículo 122 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establece para la realización de dichas actuaciones previas. Con fecha 23 de febrero de 2016 tuvo entrada en esta Agencia Española de Protección de Datos la denuncia del afectado. Realizadas las actuaciones previas de investigación, mediante resolución de la Directora de AEPD de 1 de febrero de 2017, se acordó iniciar procedimiento sancionador a TELEFÓNICA ESPAÑA S.A.U., siendo notificado tal acuerdo el 6 de febrero de 2017. El artículo 122.4 del Reglamento de desarrollo de la LOPD, establece como plazo de duración máxima de las actuaciones previas el de doce meses a contar desde la fecha en que la denuncia o petición razonada hubieran tenido entrada en al AEPD o, en caso de no existir aquellas, desde que el Director de la Agencia acordase la realización de dichas actuaciones, y hasta la fecha en que haya sido dictado y notificado el acuerdo de inicio de procedimiento sancionador, produciéndose la caducidad de las actuaciones previas si su duración excediera de aquel plazo. En el presente caso, el termino inicial (dies a quo) para el computo del plazo de caducidad de las actuaciones previas de investigación viene determinado por la fecha de presentación de la denuncia en la AEPD, el 23 de febrero de 2017; siendo el término final (dies ad quem), la fecha en que se notificó a TELEFÓNICA DE ESPAÑA S.A.U. el acuerdo de inicio del procedimiento sancionador PS/631/2016, siendo evidente que las actuaciones no habían caducado en esa fecha, el 6 de febrero de 2017, al no haber C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 transcurrido el plazo de un año desde la entrada de la denuncia, por lo que no procede la caducidad. III La valoración de las pruebas obrantes en el procedimiento nos lleva a la concreción de los hechos tipificados como infracciones, en concreto si procede pues considerar las actuaciones de Telefónica de España SAU como infracción de los artículos 6.1 y 4.3 de la LOPD El artículo 6 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. Son elementos característicos de este derecho fundamental, los derechos del afectado a consentir la recogida y el uso de sus datos personales y a saber de los mismos. El tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento. La obligación que incumbe a la entidad responsable del fichero al que incorpora el dato de la afectada de recabar y obtener, con carácter previo, su “consentimiento inequívoco” lleva implícita una actitud diligente que se traduce en la necesidad de contrastar, a través de la documentación pertinente, la identidad de quien facilita los datos, mediante la exhibición del original del documento identificativo primero y anexando una copia del citado documento a la declaración de voluntad que quiere hacer valer, después. Es a la denunciada a quien incumbe la carga de probar que recabó y obtuvo el consentimiento del afectado para el tratamiento de sus datos. La LOPD exige que sea el titular de los datos quien preste su consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.
  2. h)de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. IV Corresponde examinar a continuación si la conducta de Telefónica de España SAU, que estimamos vulnera el artículo 6.1 de la LOPD, puede subsumirse en el tipo sancionador contemplado en el artículo 44.3.
  3. b)y si, en tal caso, la infracción es Imputable a la operadora mencionada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 Pues bien, constatado que la entidad realizó la acción típica – infracción del principio del consentimiento –, se debe verificar si concurre el elemento subjetivo de la culpabilidad, cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Debe significarse que son múltiples las sentencias de la Audiencia Nacional que consideran que concurre consentimiento tácito en los supuestos en que el afectado – como se deduce del supuesto planteado – ha abonado facturas sin reclamaciones durante largo tiempo (SAN 10/2/2011, SAN 3/3/2011, SAN 4/11/2011, SAN 12/1/2012). Como señala la SAN de 19 de julio de 2012, recurso 108/2011, es evidente “en el presente caso, sin embargo, y si bien es cierto que no existe acreditación de la contratación de la línea telefónica que la entidad actora argumente que el denunciante suscribió con ella, en noviembre de 2004, existen sin embargo una serie de circunstancias específicas (esencialmente la existencia de consumo telefónico y el pago puntual de las tres primeras facturas) que llevan a esta Sala al convencimiento de que el denunciante, a pesar de lo argumentado por él en la demanda, si había prestado su consentimiento para la contratación de la referida línea telefónica con dicha recurrente, a tenor de las circunstancias que se acaban de relatar”. De acuerdo con estos criterios, se puede entender que se ha producido un consentimiento tácito al haber efectuado el pago de la línea ***TEL.1de quince facturas y de la ***TEL.2 de cuatro facturas, por parte de la denunciante. En consecuencia procede el archivo de las actuaciones en relación con la infracción imputada del artículo 6, al quedar acreditado el consentimiento tácito de la denunciante. V Asimismo se imputa a la entidad Telefónica de España SAU en el presente procedimiento sancionador la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. De este modo, el artículo 38 del mismo Reglamento de Desarrollo de la LOPD determina que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  4. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
  5. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16
  6. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…). 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Y el artículo 39 del RLOPD, sobre “Información previa a la inclusión”: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  7. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. A lo que hay que añadir lo que determina el artículo 43 del RLOPD, en relación con la responsabilidad en la inclusión en ficheros de morosidad: “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. En este caso, la entidad denunciada incorporó a sus sistemas de información los datos de la denunciante en relación con un producto de telecomunicaciones. Posteriormente, informó de la deuda imputada por dicho producto financiero al fichero de morosidad ASNEF sin requerimiento previo de pago a la denunciante con advertencia efectiva de la posibilidad de inclusión caso de impago. En este sentido, con fecha 23 de febrero de 2016 Dña. A.A.A. manifiesta a esta Agencia Española de Protección de Datos que se había producido la inclusión de sus datos de carácter personal en ficheros de solvencia patrimonial y crédito por parte Telefónica de España SAU sin requerimiento previo de pago; relacionado con una operación de telecomunicaciones. Recordemos que, en efecto, tal como consta acreditado en el expediente, en el fichero de solvencia patrimonial y crédito ASNEF fueron registrados los datos personales de la denunciante con fechas 14 de enero de 2013 y 18 de febrero de 2013, relacionado con el impago en una operación de telecomunicaciones con la entidad Telefónica de España SAU; y a fecha 7 de abril de 2016, ya no constaba en el fichero ASNEF (folios 20 y 21). Por su parte, Telefónica de España SAU. no ha aportado a esta Agencia documentación suficiente que acredite que llevara a cabo requerimiento de pago a D. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 A.A.A. por esa deuda y con carácter previo a la inclusión de sus datos de carácter personal (en concreto nombre, apellidos, domicilio y núm. de DNI) en el ficheros de solvencia patrimonial y crédito ASNEF, según se ha detallado más arriba, toda vez que no ha acreditado la notificación del Requerimiento previo de Pago. Los hechos anteriormente relatados son contrarios al principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD y en relación también con los artículos 38.1.c), 39 y 43 del RLOPD, toda vez que Telefónica de España SAU mantuvo indebidamente los datos del denunciante en sus propios ficheros en el sentido descrito de ausencia de requerimiento previo de pago a su comunicación en el fichero de solvencia ASNEF, sin que dicha inscripción hubiese respondido entonces a su situación de entonces (“actual”), al no cumplir con los requisitos establecidos en la normativa precitada sobre protección de datos de carácter personal. VI Consta acreditado en esta Agencia que las entidades asociadas a ficheros de morosidad suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de la persona denunciante son datos que figuran en sus propios ficheros automatizados. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  8. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  9. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en que condiciones y en que momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado”. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por la Telefónica de España SAU puede subsumirse o no en tales definiciones legales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 Y ello tanto es así, puesto que la entidad imputada trató automatizadamente en sus propios ficheros los datos relativos a los denunciantes y a las deudas imputadas; datos de los que es responsable conforme al artículo 3.
  10. d)citado. Adicionalmente, decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación a unos ficheros comunes de solvencia patrimonial y crédito. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implicaba un tratamiento automatizado de datos cuyo destino era, a su vez, un tratamiento automatizado por parte de los responsables de los ficheros de solvencia, siendo dados de alta al culminar el proceso descrito. De lo expuesto se deduce que la entidad imputada ha sido responsable del tratamiento de datos de la persona denunciante en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa a la denunciante no responda a los principios de calidad de datos recogidos en el artículo 4.3 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Conforme a lo expuesto, dicha la entidad no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). Todo ello, sin que los datos mantenidos en el fichero de Telefónica de España SAU respondiera a la situación actual de los denunciantes, pues esta entidad incluyó sus datos personales en ASNEF sin el preceptivo requerimiento previo de pago ni advertencia efectiva al momento de realizarse de que podía producirse dicha inclusión como morosos. Esto supone una vulneración del principio de calidad del dato del que debe responder la entidad Telefónica de España SAU por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en el fichero de solvencia patrimonial y crédito, con los requisitos y garantías adecuadas. La conclusión, que se desprende de los hechos y fundamentos de derecho expuestos, es que Telefónica de España SAU es responsable de la infracción del principio de calidad del dato, recogido en el artículo 4.3 de la LOPD, en relación con el 29.4 de la misma norma y en relación también con los artículos 38, 39 y 43 del RLOPD, y en los términos del artículo 43, en relación con el artículo 3, apartado c), también de la citada Ley Orgánica. VII El artículo 44.3.
  11. c)de la LOPD establece como infracción grave: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. El principio de calidad del dato, por lo tanto, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas sentencias de la Audiencia Nacional, que excusa cita. No obstante, dadas las alegaciones realizadas y la documentación aportada, es obligado incidir en algunos aspectos concretos. Así, la sentencia de 23 de mayo de 2007, que ha venido a decir que el requerimiento debe expresar “el concepto y el importe de la deuda determinante de la remisión de los datos al fichero de solvencia patrimonial”. Asimismo, añadir que tal comunicación serviría para que el afectado “conozca la existencia de la deuda vencida y exigible y la posibilidad de ser incluido en un ficheros de morosos en el supuesto de no hacerla efectiva” (sentencia de fecha 31 de mayo de 2013, rec.392/2011). En cuanto al rigor de la inclusión, a su vez, esa sentencia de 23 de mayo de 2007, por todas, ha manifestado que “es esta falta de diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. Debemos insistir que comprobar la exactitud del dato, es decir, de la insolvencia que se pretende registrar coincide con una cantidad debida es una circunstancia que ha de hacerse previamente y de modo riguroso antes de enviar los datos de una persona a un fichero de responsabilidad patrimonial”. La inclusión como moroso de la denunciante en ASNEF en consecuencia debería de haberse realizado con todo rigor por la entidad imputada para salvaguardar la veracidad de la información a transmitir a los ficheros de solvencia económica que la Ley Orgánica y su Reglamento exigen. Es importante en este caso la determinación en consecuencia de si se realizó o no la notificación del preceptivo requerimiento previo de pago antes de la inclusión en el fichero de morosidad con los requisitos formales que exige la normativa sobre protección de datos de carácter personal. Recordemos lo que dice a este respecto la Audiencia Nacional: “la carga de acreditar la comunicación corre a cuenta del que comunica los datos al fichero (…) La solución contraria, presumiendo cumplida la exigencia del requerimiento previo con la mera alegación de que el mismo se envió, supondría vaciar de contenido dicha intimación legal y reglamentariamente impuesta, pues bastaría con la simple afirmación de su existencia para que hubiera de entenderse realizada. Con tal proceder se privaría a los interesados del conocimiento y, en su caso, de la posibilidad de formular reparos a la exactitud, o no, del dato personal que va a acceder al fichero de responsabilidad patrimonial, que es precisamente la finalidad del principio que se pretende salvaguardar” (sentencia de 19 de septiembre de 2007). Por ello, y seguimos con la misma sentencia, es necesario exigir que el requerimiento se haga “de manera que se tenga constancia de su recepción por los destinatarios, pues la exhibición de una carta, en relación con las cuales no consta ya su recepción sino, ni siquiera, su envío, no permite tener por cumplida la citada exigencia” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 (en el presente caso ver folios 36 al 80). En resumen, no existe documentación suficiente en el expediente que acredite la realización del requerimiento previo de pago a la denunciante por parte de la entidad imputada con anterioridad a la inclusión en ficheros de morosidad; ello en sintonía con la doctrina fijada por la propia Audiencia Nacional que se ha citado más arriba. Toda vez que de la documentación obrante en el expediente no consta acreditada la trazabilidad del envío de cartas a la denunciante, ya que no consta el control de devoluciones de las mismas sino que se limita a certificar el procedimiento general (folio 80). VIII El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  12. a)El carácter continuado de la infracción.
  13. b)El volumen de los tratamientos efectuados.
  14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  15. d)El volumen de negocio o actividad del infractor.
  16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  17. f)El grado de intencionalidad.
  18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16
  22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, a que no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). Por lo que respecta a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, hay que considerar que en el presente caso concreto están presentes varias circunstancias que operan como agravantes, a saber: 1. En relación con el carácter continuado de la infracción (apartado 4.a), y según doctrina reiterada de la Audiencia Nacional al respecto, los datos personales del denunciante fueron incluidos, sin justificación legal para ello, en fichero de morosidad, ASNEF con fechas de alta 14 de enero y 18 de febrero de 2013, hasta al menos el 7 de abril de 2016 (más de 3 años) (folios 7 y 8). 2. Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa. La sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006) exige a estas entidades que observen un adecuado nivel de diligencia, e indica a este respecto: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. 3. Por el volumen de negocio (apartado 4.d), hay que hacer constar que si bien es un hecho notorio que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa infractora y su grupo Telefónica/Movistar, una de las trasnacionales más importantes. Se deduce el importante volumen de negocio de la entidad infractora, circunstancia a tener en cuenta para la graduación de la sanción. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de grave en cualquier caso. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, en particular, el carácter continuado de la infracción (apartado 4.a), la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal (apartado 4.c), el volumen de negocio de la misma, al tratarse de una gran empresa (apartado 4.d), procede imponer una multa de cuantía en su tramo mínimo de 50.000 € por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFÓNICA ESPAÑA, S.A.U., multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y en relación también con los artículos 38, 39 y 43 del RLOPD; infracción tipificada como grave en el artículo 44.3.
  27. c)de la LOPD y de conformidad con lo establecido en el artículo 45. 2 y 4 de esa misma Ley Orgánica. SEGUNDO: Por la Directora de la Agencia Española de Protección de Datos se Acuerda ordenar el ARCHIVO por la presunta infracción del artículo 6.1 de la LOPD contra la entidad TELEFÓNICA DE ESPAÑA, S.A.U al no quedar acreditada la comisión de la citada infracción administrativa en el marco de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 TERCERO: NOTIFICAR la presente resolución a TELEFÓNICA ESPAÑA, S.A.U.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  28. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 00000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.