← España

PS-00638-2015

1/17 Procedimiento PS/00638/2015 RESOLUCIÓN: R/01040/2016 En el procedimiento sancionador PS/00638/2015, instruido por la Agencia Española de Protección de Datos a la entidad Pepemobile SL, Vodafone España SAU y Xfera Móviles SA, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 7 de enero de 2015 tiene entrada en esta Agencia un escrito de A.A.A. en el que denuncia que: <<<Presento denuncia contra el modo habitual de contratación en las Compañías Telefónicas que nos han causado numerosos perjuicios tanto a mi como a mi mujer. En concreto contra VODAFONE, YOIGO y PEPEPHONE, y que consiste en realizar altas sin comprobar la identidad del titular. Además en el caso de YOIGO y PEPEPHONE se ha producido una inclusión indebida en el Fichero de morosos BADEXCUG, que sigue existiendo al día de hoy, lo que ha supuesto una intromisión en mi derecho al honor y me ha causado perjuicios económicos, y ha provocado la denegación de financiación así como la contratación de una línea telefónica a mi nombre, hechos que persisten en la actualidad. Al tratar de realizar una portabilidad de línea desde ORANGE a JAZZTEL en abril de 2014 la misma me fue denegada por “ESTAR INCLUIDO EN UN FICHERO DE MOROSOS”, este era un hecho que yo desconocía ya que nunca he recibido ninguna notificación al respecto, igualmente se niegan a facilitarme en que fichero había sido incluido y el responsable de esta inclusión. Este hecho provocó que no pudiera contratar la línea, y al haberme dado de baja en la anterior compañía en la actualidad no puedo tener ninguna línea contratada a mi nombre. Tras numerosas averiguaciones consigo información de EXPERIAN, donde mi informan que me han incluido en el fichero BADEXCUG las compañías PEPEPHONE el 23/09/2012 por una deuda de 20,01 y YOIGO el 07/10/2012 por una deuda de 928,22, así mismo se puede comprobar las numerosas empresas que han accedido a mis datos con el perjuicio que ello me ha causado. (Doc. n° 1 Ante estos hechos presento denuncia en la Comisaría de Policía el 15 de julio de 2014 en la que se manifiesta el alta indebida en las compañías YOIGO y PEPEPHONE, así como la inclusión en el fichero por parte de EXPERIAN. (Doc. n° 2). El 29/07/2014 envío carta certificada con acuse de recibo a YOIGO de la que se adjunta copia (doc. n°3) donde se solicita datos relativos a la contratación e inclusión indebida en el fichero BADEXCUG. Igualmente el 29/07/14 se envía carta certificada con acuse de recibo a PEPEPHONE, que es recibida por la citada compañía el 31/07/2014. (Doc. n°4) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 En el caso de YOIGO se recibe contestación por escrito de fecha 14 de agosto en el que informan de dos altas a través de la WEB de YOIGO y no remiten los documentos solicitados. (Doc. n° 5) En el caso de PEPEPHONE a día de hoy todavía no se ha recibido contestación a la reclamación que fue formulada. Por todo lo anteriormente expuesto SOLICITO se sancione a las compañías VODAFONE, YOIGO y PEPEPHONE por realizar con carácter habitual altas de carácter fraudulento, al no actuar con el mínimo de diligencia exigida, realizando la comprobación de la identidad del titular solicitando para ello copia del DNI comprobando que el número de cuenta bancaria facilitada está a nombre del titular que realiza la contratación. Se obligue a YOIGO y PEPEPHONE a la cancelación de mis datos en el fichero de morosos BADEXCUG. En el caso de VODAFONE yo había sido cliente suyo, por lo que ya tenían mis datos y recibí llamadas y amenazas de una empresa de recobros en el año 2012 en el que me reclamaban 177,40. Presenté denuncia en la Policía el 14/12/12 (doc. n°6), así como reclamación en la OMIC (doc. n°7) que fue contestada el 18/06/13 (doc. n°8). Pese a reconocer su error, posteriormente todavía se cargó el 01/07/13 una factura por importe de 1.089,00 (doc. n° 9) que sólo tras numerosas gestiones fue cancelada. >>> SEGUNDO: Con fecha 17/4/2015 se solicita al denunciante aporte documentación complementaria que permita iniciar actuaciones de investigación. La documentación es aportada en tres fechas distintas (06/05, 13/05 y 15/06 de 2015). TERCERO: A la vista de los hechos denunciados, se inicia la fase de actuaciones previas. Por los Servicios de Inspección de esta Agencia se solicita información a Experian, Vodafone, Yoigo y Pepephone. Concluyen las actuaciones con el Informe de Inspección siguiente: <<< --- Con fecha 21/5/2015 se solicita información a Experian y de la documentación aportada se desprende lo siguiente: En la fecha de la respuesta, no consta ninguna información asociada al DNI del denunciante ***DNI.1. En el fichero de notificaciones constan 4 anotaciones, dos hacen referencia a inclusiones en el fichero Badexcug por parte de Vodafone, una de Yoigo y otra de Pepephone, cada una de ellas dirigidas a distintas direcciones y emitidas en septiembre, octubre y diciembre de 2012. Respecto de las fechas de alta y baja: + Pepephone dio de alta una incidencia con fecha 23/9/2012 y causó baja con fecha 4/5/2015 por actualización semanal. + Yoigo dio de alta una incidencia con fecha 7/10/2012 y causó baja con fecha 3/5/2015 por actualización semanal. + Vodafone dio de alta dos incidencias, una con fecha 23/12/2012 que causó baja con fecha 6/1/2013 y otra con fecha 23/12/2012 y baja el 20/1/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 ---- Con fecha 21/5/2015 se solicita información a Pepemobile SL y de la respuesta facilitada se desprende lo siguiente: El denunciante consta como cliente de la entidad con dos líneas (***TEL.1 y ***TEL.2), ambas se dieron de alta el 9/7/2012 provenientes de Movistar y se dieron de baja el 18/7/2012 para migrar a YOIGO. Solo se generó una factura para la línea ***TEL.1 que fue abonada el día 2/5/2015 tras recibir denuncia por suplantación de identidad del denunciante. El día 12/7/2012, Pepephone recibe de Yoigo la solicitud de portabilidad de ambas líneas. Con fecha 3/9/2012 Pepephone remite al denunciante una carta donde se le reclama la cantidad impagada y se le informa que de no abonarla sus datos pueden ser incluidos en ficheros de solvencia patrimonial y de crédito. El denunciante se comunicó con Pepephone en sucesivas ocasiones por teléfono para informar de la suplantación de identidad para lo cual la entidad le solicitó que aportase la correspondiente denuncia. El 22/7/2014, contacta a través de e-mail para solicitar una dirección donde interponer una reclamación y solicitar una serie de documentación. Una vez aportada la denuncia mediante e-mail, el día 2/5/2015, se procede a anular la factura pendiente y a cancelar la inclusión de los datos en el fichero de solvencia. Aportan copia de los dos contratos asociados a la contratación de ambas líneas pero están sin firmar por el cliente, ya que según manifiestan la contratación se realizó a través de internet. Manifiestan que la comprobación de la identidad se realiza con los justificantes expedidos por los mensajeros que entregan en mano las tarjetas SIM previa acreditación de la identidad del cliente. Aportan copia de impresión de pantalla de sus sistemas donde consta el procedimiento establecido y donde la empresa mensajera ASM debe hacer “”entrega exclusiva al destinatario B.B.B. con número de documento: 4****** ***. Verificar que es DNI/NIE: original”. Aportan el albarán de entrega a nombre del denunciante y firmado pero no aportan copia del DNI. --- Con fecha 21/5/2015 se solicita información a Xfera Móviles SA y de la respuesta facilitada se desprende lo siguiente: En los sistemas de XFERA Constan los datos personales del denunciante con dos líneas de telefonía (***TEL.1 y ***TEL.2). El alta es de fecha 18/7/2012 a través de la página web ww yoigo com y la baja es de fecha 20/8/2012. Se han emitido dos facturas que han sido anuladas como consecuencia de la presentación de denuncia acreditando una suplantación de identidad en mayo de 2015. Respecto de las comunicaciones y contactos que han existido, manifiestan que en agosto de 2014 el denunciante remite carta indicando una posible suplantación de identidad. En atención al cliente le solicitan que aporte denuncia de hechos (requisito para dar de baja la línea con garantías) y deje teléfono de contacto. Sin embargo, hasta mayo de 2015 no se recibe la documentación y es cuando se procede a dar de baja los datos personales en los ficheros de solvencia patrimonial y crédito. Aportan pantallas que lo acreditan. Aportan copia de los contratos que genera su sistema informático cuando se produce el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 alta de líneas a través de su página web. Manifiestan que la entrega del pedido junto con las condiciones generales de contratación se realiza por la Entidad de Correos y Telégrafos o por SEUR que solicita la firma del albarán de entrega previa exhibición del DNI o documento equivalente. XFERA no ha aportado copia del DNI y la copia del contrato aportada no lleva firma del cliente. --- Con fecha 21/5/2015 se solicita información a Vodafone España SAU y de la respuesta facilitada se desprende lo siguiente: Constan dos líneas asociadas al denunciante (***TEL.1 y ***TEL.2), ambas procedentes de portabilidad de YOIGO a VODAFONE. Fecha de alta 17/8/2012 y baja el 18/6/2013. El alta se produce a través de tienda online. Aportan copia de los registros generados a través de la contratación on line para cada servicio donde viene toda la información aportada por parte del cliente. Se han generado facturas que no han sido abonadas. La deuda ha sido cancelada y los datos del denunciante han sido excluidos del fichero de morosidad con fecha 18/6/2013 cuando reciben la denuncia presentada por el denunciante ante la OMIC. Aportan la información que consta en sus sistemas asociada a una reclamación presentada por el denunciante ante la OMIC y que fue recibida en Vodafone el 14/6/2013 y donde consta la fecha de baja en los ficheros de morosidad. >>> CUARTO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Pepemobile SL, Vodafone España SAU y Xfera Móviles SA realizaron tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco al incorporar a su fichero de clientes como titular de unos contratos de líneas telefónicas que no había contratado. Siguiendo con la gestión de esos contratos y sin realizar comprobaciones de la identidad con suficiente diligencia incluyeron sus datos personales asociados a una deuda que no le correspondía en Badexcug, sin notificarle los requerimientos de pago previos a la inclusión. QUINTO: Con fecha 23/11/15, la Directora de la Agencia Española de Protección de Datos acordó Iniciar procedimiento sancionador a VODAFONE ESPAÑA SAU, XFERA MÓVILES SA y PEPEMOBILE SL con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por las presuntas infracciones de los artículos 6.1 y 4.3 de la LOPD, tipificadas como graves en el artículo 44.3.

  1. b)y
  2. c)en la citada ley orgánica. SEXTO: Notificado el citado acuerdo de inicio, las tres entidades formularon alegaciones: Vodafone alega prescripción de los hechos que se consideran constitutivos de las infracciones que se le imputan, aunque reconoce su responsabilidad en los hechos incorrectos respecto a la contratación y la deuda producida, pero desde el 18/06/13 no ha efectuado actuación o tratamiento de los datos del denunciante; alternativamente solicita se fije sanción por el importe mínimo de las leves, si la prescripción no es estimada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 Pepephone reconoce su responsabilidad en los hechos incorrectos respecto a la contratación y la deuda producida; solicita se fije la cuantía de la sanción dentro del tramo de las leves teniendo en cuenta las circunstancias a que se refiere el 45.5.
  3. b)(regularizar de forma diligente la situación irregular) y 45.5.
  4. a)en relación con el 45.4.e),
  5. f)y
  6. j)<no beneficio, no intencionalidad y suplantación de persona>. Yoigo solicita el archivo de las actuaciones; los hechos han prescrito por el transcurso de más de dos años; recibida la denuncia inmediatamente condonó la deuda y excluyo de los ficheros de morosos; la contratación se produjo por un fraude imposible de detectar, pese a los controles y protocolos establecidos. SÉPTIMO: Con fecha 13/01/16 se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, el Informe de actuaciones previas de Inspección y las alegaciones al acuerdo de inicio con la documentación adjunta. Advirtiendo a las denunciadas de la posibilidad de aportar cuantos documentos fueran de su interés. OCTAVO: El 23/03/16 el Instructor del procedimiento formúla propuesta de resolución en el sentido de Que por la Directora de la Agencia Española de Protección de Datos se acuerde: 1 --- Archivar el procedimiento sancionador PS/00638/2015 respecto a Vodafone España SAU en relación a las infracciones de los artículos 6.1 y 4.3 de la LOPD como consecuencia de la prescripción de las mimas. 2 --- Se sancione a Pepemobile SL -- Por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  7. b)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. --- Por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  8. c)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. 3 --- Se sancione a Xfera Móviles SA --- Por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  9. b)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. --- Por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  10. c)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. NOVENO: La propuesta fue notificada a Orange a las tres denunciadas. Se han recibido las siguientes alegaciones: Pepemobile SL, solicita se gradúe la cuantía de la sanción teniendo en cuentas los atenuantes que cita: regularización de la situación irregular de forma diligente, pues C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 solo tres días después de recibir la denuncia fue dado de baja en el fichero de morosos; inexistencia de intencionalidad; ausencia de beneficios por los hechos sancionados. Invoca el criterio de la Agencia en numerosas resoluciones por hechos similares. Xfera Móviles SA, solicita el archivo de actuaciones y, subsidiariamente, se rebaje la cuantía de la sanción propuesta. Alega que ha acreditado la contratación con los albaranes de entrega presentados; que ha prescrito la infracción del 6.1 de la LOPD pues la contratación fue el 18/07/12 y la baja el 20/08/12; el plazo de dos años de las graves finalizó el 20/08/14, antes de la notificación del acuerdo de inicio más de un año después; que dicha contratación generó un adeuda que dio lugar a la inclusión de los datos del deudor en ficheros de morosos en 07/10/12; que la reclamación del deudor con la denuncia de la suplantación en la contratación la recibe en mayo del 2005, e inmediatamente condona la deuda y ordena la baja en los ficheros de morosos; que por ello la sanción a imponer debe ser fijada dentro del tamo de las leves. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS P. 1 --- 03/07/12, fecha de los contratos sin firma emitidos por Pepephone referidos a las líneas ***TEL.1 y ***TEL.2 procedentes de Movistar a nombre del denunciante, Los pedidos fueron entregados el 12 y 13/07/12 a personas con firma muy distinta a la del denunciante en su DNI. (folios 193-243) P. 2--- 09/07/12, fecha de alta en la base de datos de Pepephone de las líneas ***TEL.1 y ***TEL.2 a nombre del denunciante (A.A.A., ***DNI.1, nacido DD/MM/AA, email .......... @ hotmail. com, (C/....1) <Murcia>, telf. ***TEL.2, ccc ***CCC.1) (folios 176) Y. 3 --- 11/07/12, fecha de los contratos sin firma emitidos por Yoigo referidos a las líneas ***TEL.1 y ***TEL.2 procedentes de Pepephone a nombre del denunciante, incluyendo periodo mínimo de permanencia y venta de dos terminales entregadas el 16/07/12 a una persona con firma muy distinta a la del denunciante en su DNI. (Folios 149-164) Y. 4 --- 18/07/12, fecha de alta en la base de datos de Yoigo de las líneas ***TEL.1 y ***TEL.2 a nombre del denunciante (A.A.A., ***DNI.1, nacido DD/MM/AA, email .......... @ Hotmail. Com, (C/....2)<Murcia>, telf. ***TEL.1, ccc ***CCC.2) (folios 142-143) P. 5 --- 31/07/12, fecha de emisión de factura que figura en la base de datos de Pepephone a nombre del denunciante (A.A.A., ***DNI.1) por importe de 20,01 € correspondiente al mes de julio por los servicios de la línea ***TEL.1. (Folios 178-180) Y. 6 --- 01/08/12, fecha de emisión de factura que figura en la base de datos de Yoigo a nombre del denunciante (A.A.A., ***DNI.1) por importe de 115,28 € correspondiente al mes de julio por los servicios de las líneas ***TEL.1 y ***TEL.2. (Folios 142-144) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 Y. 7 --- 20/08/12, baja en Yoigo de las líneas ***TEL.1 y ***TEL.2 por portabilidad a Vodafone. (Folios 143) Y. 8 --- 01/09/12, fecha de factura emitida por Yoigo a nombre del denunciante (A.A.A., ***DNI.1) por importe de 812,94 € correspondiente al mes de agosto por los servicios de las líneas ***TEL.1 y ***TEL.2 y las cuotas de pago a plazos e incumplimiento de permanencia. Duplicado recibido por el denunciante el 15/06/15. (Folios 73-75) P. 9 --- 03/09/12, Pepephone emite escrito a nombre del denunciante dirigido a (C/....1) <Murcia> reclamándole el pago de 20,01 €. (Folios 184) P. 10 --- 23/09/12, Pepephone incluye en Badexcug los datos personales del denunciante asociados a una deuda de 20,01 €. Es actualizada semanalmente en los años siguientes. (Folios 90-97) Y. 11 --- 07/10/12, Yoigo incluye en Badexcug los datos personales del denunciante asociados a una deuda de 928,22 €. Es actualizada semanalmente en los años siguientes. (Folios 90-100) V. 12 --- 14/12/12, La persona denunciante (A.A.A., ***DNI.1, (C/....3)– Madrid, telf. ***TEL.3) presenta denuncia en la comisaria de la Policía Nacional: <<< -Que desde hace aproximadamente dos meses, viene recibiendo diversas llamadas y SMS de una empresa de cobros asociada a Vodafone, llamada "Collection Asistance Vodafone". -Que dicha empresa se encuentra en posesión de diversos datos personales del compareciente tales como domicilio, DNI. etc. todo ellos facilitados por Vodafone, adquiridos a su vez por contratos ya anulados con dicha compañía. -Que esta empresa le reclama pagos por 200 euros en facturas sin abonar. -Que por tal motivo se ha puesto en contacto vía telefónica con Vodafone, donde le han informado de que existen dos números de teléfono contratados a su nombre, debiendo el denunciante de tales contratos un total de 400 euros, siendo este dinero 200 que le reclaman vía "Collection Assistance Vodafone" y otros 200 pendientes de iniciar las reclamaciones. -Que estos teléfonos son: ***TEL.1 y ***TEL.2, ambos domiciliados en la (C/....4), CP: ***CP.1 (Murcia). -Que ha informado a Vodafone que él no ha iniciado ningún alta con dichos números, si bien la empresa se niega a cancelar las líneas así como las deudas si no formula una denuncia. -Que un tal Orlando Olivares le ha requerido que le envié la denuncia vía Fax al número ***FAX.1. -Que la empresa "Collection Assistance Vodafone" ha abierto expediente n°: ***EXPTE.1 por las supuestas deudas. >>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 (Folios 17-18) V. 13 --- 23/12/12, Vodafone incluye en Badexcug los datos personales del denunciante con dos anotaciones asociadas –cada una- a una deuda de 201,92 €. Son canceladas el 6 y 20/01/13. (Folios 90-102) V. 14 --- 06/06/13, La persona denunciante presenta denuncia / reclamación ante la OMIC de Madrid contra Vodafone: <<< Líneas (***TEL.1 / ***TEL.2), VODAFONE reclamó una deuda al consumidor a través de una gestora de cobros "Collection. Assistance. Vodafone". .EI consumidor interpuso una denuncia con fecha de. .14/12/20l2 ante .la Comisaria Local de Leganés puesto que se hablan usado sus datos personales para la firma de contratos telefónicos por un tercero. Tras ello, Vodafone contactó telefónicamente con el reclamante .para indicar que el problema se había solucionado. Pese a ello, la Gestora ha vuelto a contactar mediante SMS y teléfono con él solicitando la deuda. Que Vodafone haya cedido los datos del reclamante a la Gestora sin verificar .que son reales supone una cesión de sus datos personales y adjudicación de contratos sin comprobación de la veracidad de los datos. Así mismo, la no cancelación dé las gestiones dirigidas al cobro de la deuda supone que la .Vodafone no ha comunicado la resolución a la misma o que las gestoras se han negado a excluir los datos personales de su base de datos y disociar la deuda contraída por un terceros los datos personales del reclamante. Tampoco se ha comunicado por escrito la deuda. Adjunta denuncia ante la policía. Solicita grabación de Vodafone correspondiente a los números y además aquella que indica que está todo solucionado. Eliminación de los datos del .reclamante de los ficheros y paralización de cualquier gestión o proceso dirigido al cobro de dicha deuda. Confirmación escrita de cancelación de datos personales y de esta deuda asociada. >>> (Folios 19, 28) V. 15 --- 18/06/13, Vodafone en su respuesta a la OMIC informa que ha efectuado un abono por importe de 177,40 € y ha quedado al corriente de pagos, sin servicios activos y sus datos excluidos de los ficheros de morosos. (Folio 20-21) 16 --- La persona denunciante ve denegada la portabilidad de su línea móvil desde Orange a Jazztel por estar incluido en el fichero de morosos Badexcug. Solicita el acceso a dichos datos y le informan por escrito de 16/06/14 que sus datos personales asociados a diferentes deudas han sido anotados por Pepephone y Yoigo. (Folios 1-6) 17 ---15/07/14, presenta denuncia en la comisaria de la Policía Nacional: <<< -- Que se persona en estas dependencias para informar de que en el día y horas que más arriba se indican el dicente se disponía a realizar un alta de teléfono con la compañía de Jazztel procediendo a ponerse en contacto telefónicamente con dicha compañía siendo informado de que les consta como cliente "moroso en Experian", que dada estas circunstancias las cuales quedo sorprendido por dicha causa, el dicente se dispuso a solicitar un documento certificado a la empresa de "MOROSIDAD EXPERIAN" contestándole a los pocos días con un documento el cual desglosa todas sus deudas con dos compañías de telefónica correspondiente estas a "Pepephone y Yoigo". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 -- Que el importe asciende en Pepephone a la cuantía de 20,01 euros desde la fecha inicial 23/09/2012 y en Yoigo a la cuantía de 928,22 de fecha inicial 07/10/2012. -- Que dados estos extremos el denunciante manifiesta no haberse dado nunca de alta con estos servicios ni compañías por lo que deduce ha debido ser un error, o bien se ha podido deber a alguna modalidad de estafa el cual es ajeno completamente desconociendo estas deudas hasta la fecha de las presentes. >>> (Folios 7) Y. 18 --- 28/07/14, escrito de reclamación del denunciante dirigido a Yoigo (recibe 30/07/14) por su inclusión en Badexcug por una deuda de 928,22 € que ha denunciado en la Comisaria de la policía Nacional y reclamando copia de contrato y facturas. (Folios 8-11). Yoigo por escrito de 14/08/14 le sugiere que denuncie uso de datos sin consentimiento y le envíen copia. (Folio 16, 45-55) P. Por su inclusión en el mismo fichero por deuda de 20,01 € dirige escrito de esa misma fecha a Pepephone (recibido 31/07/14) de similar contenido. (Folios 12-15, 33-44) Y. 19 --- 05/05/15, Yoigo emite factura por importe de – 115,28 € rectificativa de la factura de 01/08/12. (Folios 144) P. Pepephone emite factura por importe de – 20,01 € rectificativa de la factura de 31/07/12. (Folios 182) Y. 20 --- 27/05/15, Yoigo emite factura por importe de – 812,94 € rectificativa de la factura de 01/09/12. (Folios 144) Y. 21 --- 28/05/15, fecha del escrito de Yoigo, remitido por la empresa de recobros ISGF Informes Comerciales SL, a la persona denunciante a su domicilio requiriéndole el pago de 814,94 €. (Folios 76) P. 22 --- 16/12/15, Pepephone reconoce la responsabilidad por los hechos que se le imputan en su escrito de alegaciones al acuerdo de inicio. (Folios 279-280) FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  11. g)en relación con el artículo 36 de la LOPD. II En el caso de Vodafone, el tratamiento de datos realizado por la entidad denunciada terminó con la cancelación de la anotación en el fichero Badexcug, previa anulación de la deuda con el abono de la diferencia consiguiente y la comunicación a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 OMIC de dichos hechos por escrito de 18/06/13 y que le fue trasladada al denunciante por oficio de 25/06/13, a la que presento alegaciones. El acuerdo de inicio del presente procedimiento sancionador tiene fecha de 23/11/15 y le fue notificado a Vodafone el día 27/11/15. Las infracciones que se imputan son calificadas como graves y el plazo de prescripción es de dos años. Dicho plazo concluyo con anterioridad a la fecha de notificación del acuerdo de inicio del procedimiento sancionador. En consecuencia, procede se declare la prescripción de las infracciones de los artículos 6.1 y 4.3 de la LOPD que se le imputan. III Se imputa a Pepephone y Yoigo en la contratación de las líneas a que se refieren los hechos probados vulneración del artículo 6.1 de la LOPD que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Son elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En este caso, los datos personales de la persona denunciante fueron incorporados a los sistemas de información de dichas operadoras, sin que haya quedado acreditado que dispusieran del consentimiento de la persona denunciante para la recogida y el tratamiento posterior de sus datos personales. Corresponde a Pepephone y Yoigo acreditar que cuentan con el consentimiento de la persona denunciante para el tratamiento de sus datos personales, máxime cuando ésta niega haberlo otorgado, y cuando no consta que las operadoras hayan efectuado ninguna comprobación o verificación. No consta que dispongan de documentos, sea cual sea el soporte, que acredite la contratación e identidad del titular de la misma. Los datos personales de la persona denunciante fueron registrados en los ficheros de dichas entidades y fueron tratados para la emisión de facturas por servicios asociados a la persona denunciante y para ser incluidos en fichero de solvencia patrimonial y crédito. En consecuencia, han efectuado un tratamiento de los datos personales sin que hayan acreditado en el procedimiento que cuenten con el consentimiento de la misma para su tratamiento, ni que cuente con habilitación legal para ello. Dichos tratamientos de datos vulneran el principio del consentimiento recogido en el artículo 6 de la LOPD, por cuanto el mismo no se realizó con el consentimiento de la denunciante ni se ha realizado con la concurrencia de ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD, que hubieran permitido a Vodafone tratar los datos del denunciante. La alegación de prescripción de la infracción efectuada por Yoigo ha de ser desestimada: el tratamiento inconsentido de los datos personales del denunciante se inicia con el alta en la base de datos de clientes al contratar y continua hasta que los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 datos son cancelados por anulación del contrato, de la deuda y de la baja en los ficheros de morosos. No solo es inconsentido el tratamiento desde el alta de la línea hasta la baja por portabilidad a otra compañía, también lo es la emisión de comunicaciones y facturas, reclamaciones de pago y requerimientos por si o por empresa de recobros, anotación de alta en fichero de morosos y actualización semanal de esa anotación a lo largo de los años. En resumen, la prescripción de la infracción del art. 6.1 de la LOPD no se ha producido: desde el ultimo -acreditado- tratamiento de la empresa de recobros (28/05/15) hasta la notificación a Yoigo del acuerdo de inicio (27/11/15) no han transcurrido dos años. IV El artículo 4.3 de la citada Ley dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. El Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  12. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda anotada realmente existe. Pepephone y Yoigo no han cumplido los requisitos pues la facturación, la reclamación del pago y la anotación en los ficheros de morosos no respondía con veracidad a la situación real entre las partes y no han acreditado que notificaran el requerimiento de pago previo a la inclusión en el fichero Badexcug de solvencia patrimonial y crédito. V El artículo 44.3.
  13. b)y
  14. c)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
  15. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.
  16. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” Los dos principios cuya vulneración se imputa a Pepephone y Yoigo, el del consentimiento y el de calidad de los datos, se configuran como principios básicos en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional, entre otras, las de fechas 25/05/01 y 05/04/02. Son dos infracciones perfectamente independientes la una de la otra -consentimiento y calidad de datos- que hubieran podido evitarse si las imputadas hubieras vigilado la aplicación de sus propios procedimientos en el alta de los datos y en la reclamación de las teóricas deudas. Cometida la infracción del consentimiento aun hubiera sido posible no seguir con el tratamiento y evitar la segunda infracción de haber actuado con un mínimo de diligencia ante los impagos o las reclamaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 En este caso, Pepephone y Yoigo han incurrido en las infracciones descritas, ya que han vulnerado ambos principios, consagrados en los artículos 4.3 y 6.1 de la LOPD, cuando incorporaron y mantuvieron los datos del denunciante en sus ficheros y emitieron facturas y cuando los incluyeron en el fichero de morosos Badexcug asociados a una deuda que no le correspondía, y que encuentran su tipificación en el artículo 44.3.
  17. b)y
  18. c)de la citada Ley Orgánica. VI. El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  19. a)El carácter continuado de la infracción.
  20. b)El volumen de los tratamientos efectuados.
  21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  22. d)
  23. e)infracción. El volumen de negocio o actividad del infractor. Los beneficios obtenidos como consecuencia de la comisión de la
  24. f)El grado de intencionalidad.
  25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.» .5. : El órgano sancionador establecerá la cuantía de la sanción aplicando la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  29. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  30. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  31. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  32. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  33. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Pepephone en sus alegaciones al acuerdo de inicio solicita la aplicación del 45.5.
  34. d)de la LOPD, atendiendo al reconocimiento de culpabilidad que hace constar en el mismo escrito. Dicho reconocimiento ha de ser tenido en cuenta y producir los efectos previstos en la norma: la fijación del importe de las sanciones dentro del tramo de las leves. La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que tiene como actividad la prestación de servicios de telecomunicaciones. Tienen un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tienen, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. En lo que se refiere al volumen de negocio hay que hacer constar que si bien es un hecho notorio, que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la infractora. El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó el alta sin consentimiento y la inclusión en Badexcug no tuviera intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. La imputada ha sido objeto de expedientes sancionadores por infracciones similares. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. Todas las circunstancias contempladas en el art. 45, incluidas las enunciadas en las alegaciones, se tienen en cuenta en la fijación de la cuantía de las sanciones. La sanción grave -una vez aplicado el art 45.d)- es reducida a un importe inferior al mínimo del tramo de las graves. La actuación diligente en la regularización ha de valorase, en primer lugar, teniendo en cuenta el tiempo transcurrido, desde que comienza a ser irregular el tratamiento inconsentido en todo momento y sin calidad del dato después hasta la anulación del alta y de la deuda y la cancelación de los datos en fichero de morosos y en la propia base de datos de la denunciada. En este caso, desde primeros de julio de 2012 con el alta inconsentida, las facturas indebidas no abonadas, las reclamaciones de pago, los requerimientos, todos ellos sin respuesta positiva o sin destinatario, hasta que se produce la emisión de factura rectificativa el 05/05/15. El tiempo de la situación irregular es de casi tres años. La reacción regularizadora no se debe a una iniciativa de actuación propia -como consecuencia de su diligencia empresarial para actualizar los datos de su cliente o posible deudor, ante el impago o el silencio a sus comunicaciones y requerimientos de pago (no ha acreditado actividad de comprobación alguna)- se debe a la denuncia formulada por el afectado ante esa situación irregular. La regularización emprendida hasta la fecha no se ha acreditado que sea completa: no se ha documentado en el procedimiento la baja en el fichero Badexcug, ni la cancelación de los datos personales del denunciante en la base de datos de Pepemobile SL. Todo ello permite graduar cada una de las sanciones por importe de 20.000 euros. Yoigo no ha reconocido su responsabilidad y ha mantenido el tratamiento y la inclusión en el fichero de morosos durante más de dos años y medio. Aunque ha emitido facturas rectificativas de las dos emitidas al inicio y ha cancelado la anotación en Badexcug lo cierto es que también a través de una empresa de recobro –con posterioridad a la entrada de la denuncia en la Agencia- ha reclamado el pago de la teórica deuda. No ha acreditado de forma fehaciente la cancelación de la deuda y de los datos de la persona denunciante en sus ficheros. Es una operadora de telecomunicaciones que se sitúa en el cuarto puesto por número de clientes en el territorio español, su volumen de negocio es importante, su actividad es de intensivo tratamiento de datos personales y ha sido objeto de expedientes sancionadores similares. Su alegación de actuación diligente para la regularización de la situación irregular provocada por la infracción a los efectos de la aplicación del art. 45.5.
  35. b)de la LOPD no puede prosperar: la primera reclamación que recibe (30/07/14) del denunciante no surte efectos de regularización hasta diez meses más tarde en mayo de 2015, porque no se ha adjuntado copia de la denuncia ante la Comisaria de Policía. Igualmente son válidos los argumentos empleados para rechazar arriba similar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 alegación de Pepemobile. No obstante si debe valorarse como atenuante que, con las demás circunstancias, permiten graduar las sanciones por importe de 40.001 € cada una. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: Archivar el procedimiento sancionador PS/00638/2015 respecto a Vodafone España SAU en relación a las infracciones de los artículos 6.1 y 4.3 de la LOPD como consecuencia de la prescripción de las mimas. SEGUNDO: Imponer a la entidad Pepemobile SL -- Por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  36. b)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. --- Por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  37. c)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. TERCERO: Imponer a la entidad Xfera Móviles SA --- Por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  38. b)de dicha norma, una multa de 40.001 € (cuarenta mil y un euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. --- Por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  39. c)de dicha norma, una multa de 40.001 € (cuarenta mil y un euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. CUARTO: NOTIFICAR la presente resolución a Pepemobile SL, Vodafone España SAU, Xfera Móviles SA y a A.A.A.. QUINTO: Advertir a las sancionadas que las sanciones impuestas deberán hacerlas efectivas en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.