← España

PS-00647-2013

1/22 Procedimiento Nº PS/00647/2013 RESOLUCIÓN: R/00804/2014 En el procedimiento sancionador PS/00647/2013, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A.U., vista la denuncia presentada por Dña. B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de diciembre de 2012 tiene entrada en esta Agencia a través de su sede electrónica una denuncia presentada por Dña. B.B.B., en adelante la denunciante, en la que manifiesta lo siguiente: 1. A finales de septiembre una empresa de asesoría legal se puso en contacto con ella en nombre de su cliente VODAFONE ESPAÑA, S.A.U., en adelante VODAFONE, para reclamarle el pago de una deuda generada por las líneas de teléfono I.I.I. y J.J.J. dadas de alta y baja a su nombre, ello a pesar de que nunca ha contratado ningún servicio con dicha compañía. 2. Tras numerosas llamadas para tratar de aclarar lo ocurrido con VODAFONE no consigue solventar el problema, habiendo solicitado las copias de los contratos o de las grabaciones sin que le hayan sido aportadas. 3. Mediante consulta realizada por su entidad bancaria, ya que nunca recibió notificación alguna, ha tenido conocimiento de su inclusión en el fichero de solvencia patrimonial ASNEF por una deuda de 177 euros informada por VODAFONE. La consulta mostraba su nombre, apellidos y DNI, pero incluía una dirección incorrecta. 4. Ante la imposibilidad de resolver la situación denunció los hechos ante la Policía Nacional. Dado que la denunciante no presentó documentación acreditativa de los hechos denunciados, se le remitió un escrito de subsanación de denuncia que fue contestado el 12 de febrero de 2013 manifestando que: 5. La reclamación que interpuso en VODAFONE tiene como identificador F.F.F.. 6. No dispone de ninguna factura ni le han llegado a cargar ninguna cantidad en cuenta ya quien ha hecho uso de sus datos no debe disponer de ella. 7. No ha recibido respuesta alguna a sus solicitudes de acceso a los contratos que supuestamente se han firmado con VODAFONE. Asimismo, aporta copia de los siguientes documentos, denuncia presentada ante la Policía Nacional el 3 de octubre de 2012, reclamación interpuesta el 05/12/2012 ante la Dirección General de consumo de la Comunidad de Madrid contra VODAFONE por la inclusión de sus datos en el fichero ASNEF por una deuda de 177 euros asociada a unos servicios que no fueron objeto de contratación por su parte, datos obtenidos por la entidad financiera “La Caixa” al consultar los datos de la denunciante en el fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 ASNEF el 5 de febrero de 2013. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a las entidades VODAFONE ESPAÑA, S.A.U. y EQUIFAX IBERICA, S.L. con fechas 19 de marzo de 2013 y , respectivamente, teniendo conocimiento de lo siguiente: En relación con la contratación de los servicios de telefonía: - En los sistemas de VODAFONE la denunciante consta como titular de las líneas J.J.J. y I.I.I. y, dadas de alta con fechas 6 y 7 de septiembre de 2011, respectivamente, y de baja ambas por impago con fecha 16 de abril de 2012. En dichos sistemas las citadas líneas se asocian al nombre, apellidos y NIF de la denunciante, aunque aparece registrada una dirección (c/ A.A.A. (Madrid)), distinta a la proporcionada a esta Agencia por la afectada en su denuncia. La contratación se formalizó a través de teléfono, siendo el resultado de una migración de los servicios de prepago a pospago cuando la titular iba a solicitar una portabilidad a otro operador y aceptó una migración a contrato a través del servicio de retenciones de la compañía. VODAFONE no aporta copia del contrato suscrito ni de la grabación de la conversación telefónica mediante la que, supuestamente, se contrataron los servicios. - El sistema de la entidad contiene las siguientes notas relativas a las comunicaciones y contactos que han existido con la cliente:  Anotaciones del 1 y 6 de septiembre de 2011 en las que se describe cómo se ha realizado y aceptado una oferta de paso a contrato con terminales a precio promocional para evitar la portabilidad de las líneas a otra compañía.  Anotación del 3 de octubre de 2011 en la que se indica que los terminales han sido entregados en calle A.A.A. (Madrid).  Anotación del 28 de septiembre de 2012 en la que se indica que la denunciante ha recibido un requerimiento de pago por los servicios impagados de dos líneas que ella no ha dado de alta y que en los sistemas dichas constan esas líneas como dadas de alta de manera automática.  Anotación del 2 de octubre de 2012 en la que se indica que corresponde un abono por “ERROR EN ALTA DE SERVICIO”.  Anotación de 21 de marzo de 2013 relativa a la presentación de reclamación por la denunciante ante la Junta Arbitral de Consumo de la Comunidad de Madrid (en adelante JAC).  Anotaciones del 23 de marzo de 2013 indicando que se resuelve no atender la solicitud de la reclamante dado que en sus sistemas consta que aceptó la oferta de paso de prepago a contrato y recibió los terminales. - C/ Jorge Juan, 6 28001 – Madrid Se aporta copia de un escrito remitido por VODAFONE a la JAC el 23 de marzo de 2013 comunicando a dicho organismo que la denunciante seguía manteniendo con la reclamada una deuda de 177,46 euros. www.agpd.es sedeagpd.gob.es 3/22 - En los sistemas de facturación figura que se han emitido facturas desde el 9 de septiembre de 2011 hasta el 9 de mayo de 2012. VODAFONE ha informado que no queda pendiente de abono ninguna factura desde la tipificación como contratación fraudulenta de ambas líneas el 10 de febrero de 2013 al recibir una reclamación de la denunciante. En relación con la inclusión de los datos de la denunciante en el fichero ASNEF con fecha 11 de septiembre de 2013 se recibe contestación de EQUIFAX IBERICA, S.L. de la que se desprende: - Respecto del fichero ASNEF: No consta información. - Respecto del fichero de NOTIFICACIONES: Consta una notificación emitida a nombre de la denunciante, con fecha de emisión 28 de enero de 2012 y de inclusión el 26 de enero de 2012, por un producto de TELECOMUNICACIONES, por un importe de 177,46 euros y siendo la entidad informante VODAFONE. Consta una notificación emitida a nombre de la denunciante, con fecha de emisión 11 de febrero de 2012 y de inclusión el 26 de enero de 2012, por un producto de TELECOMUNICACIONES, por un importe de 177,46 euros y siendo la entidad informante VODAFONE. La notificación consta como devuelta el 28 de febrero de 2012. Consta una notificación emitida a nombre de la denunciante, con fecha de emisión 8 de noviembre de 2012 y de inclusión el 26 de enero de 2012, por un producto de TELECOMUNICACIONES, por un importe de 177,46 euros y siendo la entidad informante SIERRA CAPITAL. Consta una notificación emitida a nombre de la denunciante, con fecha de emisión 10 de enero de 2013 y de inclusión el 9 de enero de 2013, por un producto de TELECOMUNICACIONES, por un importe de 116,39 euros y siendo la entidad informante SIERRA CAPITAL. La notificación consta como devuelta el 5 de febrero de 2013. - Respecto del fichero de BAJAS: Consta una baja asociada a la incidencia informada por SIERRA CAPITAL para una operación con fecha de alta y baja en ASNEF de 26 de enero de 2012 – 20 de marzo de 2013. El motivo consta como “F. PURA”, el importe es de 257,46 euros y por vencimientos impagados primero y último de fecha 19 de octubre de 2011. Consta una baja asociada a la incidencia informada por SIERRA CAPITAL para una operación con fecha de alta y baja en ASNEF de 9 de enero de 2013 – 20 de marzo de 2013. El motivo consta como “F. PURA”, el importe es de 116,39 euros y por vencimientos impagados primero y último de fecha 19 de diciembre de 2011. TERCERO: Con fecha 25 de noviembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U., por presunta infracción de los artículos 6.1 y 4.3 en relación con el 29.4 de la citada Ley Orgánica, tipificadas ambas como graves, respectivamente, en los artículos 44.3.

  1. b)y 44.3.
  2. c)de la citada Ley Orgánica, pudiendo ser sancionada cada una, con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 CUARTO: Notificado el acuerdo de inicio, la representación de VODAFONE, mediante escrito registrado con fecha 16/12/2013, solicitó el archivo de las actuaciones por ausencia de infracción alguna con fundamento en las siguientes alegaciones: - No ha existido infracción del artículo 6.1 por cuanto los datos de la denunciante se trataron mediando el consentimiento otorgado por la misma al facilitar sus datos personales en la contratación efectuada por televenta solicitando una migración de prepago a postpago de los servicios I.I.I. y J.J.J.. Se alega que la contratación, con independencia de su posterior catalogación como fraudulenta tras una incidencia denunciada por la afectada, se realizó de forma completa y efectiva al constar interacciones en las que se confirma la aceptación de la migración por parte de la denunciante y la posterior recogida de los terminales con fecha 03/10/2011 en la dirección indicada por ésta, así como el uso de los mismos. Se defiende que, en consecuencia, el tratamiento de los datos de la afectada se efectuó dentro del marco de la relación contractual existente con el cliente, siendo de aplicación lo previsto en el artículo 6.2 de la LOPD que exime de la exigencia del consentimiento del afectado para el tratamiento de sus datos, por lo que no se habría infringido lo dispuesto en el artículo 6.1 de dicha norma. - No se ha incumplido lo dispuesto en el artículo 4.3 de la LOPD, en tanto que, por un lado, los datos tratados eran datos correctos y puestos al día al haber sido facilitados por la propia afectada, coincidiendo el nombre, apellidos y DNI de la misma, a excepción del domicilio, circunstancia esta última que no resulta concluyente al poder facilitarse por el cliente otra dirección diferente de la propia y al constar acreditada, en este caso, la entrega de los terminales en la dirección indicada al darse de alta los servicios objeto de controversia, lo que demuestra la exactitud de los datos facilitados. Por otro lado, ante el impago de la facturación emitida por el consumo generado se iniciaron las gestiones de recobro de la deuda y se incluyeron sus datos personales con fecha 26/01/2012 en el fichero de solvencia patrimonial y crédito ASNEF ante la existencia de una deuda cierta, líquida, vencida, y exigible, previamente requerida de pago, por importe de 257,46 €. Se añade que VODAFONE desestimó la primera reclamación efectuada por la denunciante ante la entidad, en diciembre de 2012, al considerar como correcta la deuda por constar en sus sistemas la solicitud de migración de prepago a postpago como aceptada y entregados los terminales. Posteriormente, ante una segunda reclamación de la denunciante en marzo de 2013, la entidad valoró nuevamente el caso, procediendo a dar de baja los servicios y calificándolos como fraudulentos el 10/02/2013, lo que dio lugar a la exclusión de los datos personales de la denunciante del citado fichero el 20/03/2012. Se señala que VODAFONE conoció el 21/03/2012 la reclamación interpuesta por la afectada ante la Junta Arbitral de Consumo (JAC), la cual contestó indicando que la situación ya había quedado resuelta. - De no estimarse lo anterior, dado que las dos infracciones imputadas derivan de un único hecho, que sería la aparente inexistencia de consentimiento por parte de la afectada al darse de alta como cliente, y del que derivaría el posterior tratamiento de los datos de la afectada ante el uso del servicio para la facturación y gestión de recobro de la deuda impagada, resulta de aplicación el artículo 4.4 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, debiendo subsumirse ambas sanciones en un solo hecho infractor. - Subsidiariamente, se solicita la aplicación del artículo 45.5 de la LOPD ante la concurrencia de los supuestos
  3. a)y
  4. b)de dicho precepto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 - Adicionalmente, se solicita la aplicación del artículo 45.4 de la LOPD, debiendo graduarse la sanción hasta reducirla al importe mínimo correspondiente a las infracciones leves al cumplirse todas las condiciones requeridas para rebajar la cuantía de la sanción. QUINTO: Con fecha 19 de diciembre de 2013, se acordó por la Instructora del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta por la denunciante y su documentación adjunta, los documentos obtenidos y generados por los Servicios de Inspección ante VODAFONE, el Informe de actuaciones previas de Inspección que forman parte del expediente E/00557/2013, las alegaciones al acuerdo de inicio PS/00647/2013 presentadas por la entidad imputada y la documentación adjunta. Asimismo, con esa misma fecha se acordó solicitar a VODAFONE la remisión de la siguiente documentación y/o información: 1) expediente en papel de toda la documentación que obre en su poder referente a la solicitud de arbitraje interpuesta por la denunciante ante la JAC de la Comunidad de Madrid con número de referencia E.E.E.; 2) documentación contractual asociada a los servicios objeto de análisis y acreditación de las medidas adoptadas para comprobar la identidad del contratante; 3) relación o copia de la facturación emitida por cada una de las líneas objeto de controversia; 4) indicación de las facturas origen de la deuda de 177,46 € inicialmente comunicada, con especificación de la línea de teléfono con la que se corresponden. Igualmente, se solicita aclaración del origen de la deuda de 116,39 € dada de alta por SIERRA CAPITAL en su condición de cesionaria de la deuda, según información de EQUIFAX IBÉRICA, SL, con indicación de las facturas correspondientes a dicho saldo; 5) vinculación de VODAFONE con la entidad SIERRA CAPITAL y con los saldos deudores comunicados al fichero ASNEF a nombre de la denunciante, aclarando el proceso que ha dado lugar a que la incidencia dada de alta el 16/01/2012 por VODAFONE por un importe de 177,46 € sea dada de baja por SIERRA CAPITAL el 20/03/2013 por un importe de 257,46 €; 6) documentación acreditativa de que los servicios objeto de controversia fueron calificados como fraudulentos con fecha 10/02/2013; 7) causa por la que con fecha 23/03/2013 se contesta a la JAC solicitando la reconvención expresa de la cantidad pendiente de pago de 177,46 € de un servicio catalogado como fraudulento. Con esa misma fecha se solicitó a la denunciante copia de la documentación obrante en su poder, y no aportada, relativa a la solicitud de arbitraje interpuesta por su parte contra VODAFONE ante la Junta Arbitral de Consumo de la Comunidad de Madrid, así como la referente a cualquier otra cuestión directamente relacionada con los hechos denunciados ante esta Agencia. Igualmente, con esa misma fecha se solicitó al Instituto Regional de Arbitraje y Consumo de la Comunidad de Madrid copia del expediente de arbitraje seguido con motivo de la reclamación de la denunciante. Con fechas 9, 14 y 16 de enero de 2014 se registra de entrada contestación de VODAFONE, de la denunciante y del Instituto Regional de Arbitraje y Consumo de la Comunidad de Madrid a las pruebas que les fueron requeridas, cuyo contenido obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 SEXTO: Con fecha 10 de marzo de 2014 se formuló propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a VODAFONE ESPAÑA, SAU con dos multas de 50.000 € (Cincuenta mil euros) cada una de ellas, por la infracción de los artículos 6.1 y 4.3 en relación con el 29.4 de la LOPD, respectivamente, tipificadas ambas como graves en el artículo 44.3.b y 44.3.
  5. c)de dicha norma, de conformidad con lo establecido en el artículo 45. 2 y 4 de la citada Ley Orgánica. SÉPTIMO: Con fecha 24 de marzo de 2014 se registra de entrada en esta Agencia escrito de la representación de VODAFONE en el que, además de reiterarse en las alegaciones expuestas con anterioridad, discrepa de la desestimación de la solicitud de archivo de las actuaciones practicadas por inexistencia de infracción. Respecto de la infracción del principio del consentimiento se pone de manifiesto, por un lado, que los datos de la denunciante ya estaban incluidos en sus sistemas como titular de un servicio con VODAFONE, puesto que la contratación de los servicios provine de una migración de prepago a postpago mediante el canal de televenta, y, por otro lado, que no se detectó ningún indicio de error en el momento de efectuar dicha migración al coincidir los datos facilitados con los que ya estaban incluidos en los ficheros. Respecto de la infracción del principio de calidad de datos se indica que VODAFONE ya ha acreditado que tras la activación de los servicios se produjo un consumo efectivo por el cliente de los mismos, lo que confirma que la contratación se realizó correctamente, si bien frente al impago de la facturación generada por el consumo se iniciaron los procedimientos de gestión de recobro de la deuda de conformidad con lo previsto en la normativa de protección de datos. En cuanto a la negativa mostrada por la AEPD en la aplicación de lo previsto en el artículo 4.4 del REPEPOS, se mantiene que la infracción del artículo 4.3 deriva de la existencia previa de una relación contractual entre las partes que genera la activación del servicio y la correspondiente facturación, por lo que sin tal relación contractual no podría producirse la infracción del artículo 4.3 de la LOPD. ES decir, se defiende que ambas infracciones derivan de un único hecho, que es la aparente inexistencia de consentimiento de la denunciante. Se reitera que resulta de aplicación el artículo 45.5 de la LOPD al cumplir con los requisitos establecidos en el mismo para rebajar las cuantías de las sanciones a imponer reduciéndolas al importe correspondiente a las sanciones leves. VODAFONE niega la falta de rigor y cuidado señalados por la AEPD alegando que la situación se solventó de forma inmediata en cuanto se recibió el primer contacto de la denunciante, procediendo a cancelar la deuda y retirar los datos de la afectada del fichero común, de tal modo que cuando llegó la reclamación de la JAC la situación estaba ya solucionada. Adicionalmente, solicita que la graduación de las multas se fije en su cuantía mínima de conformidad con lo dispuesto en el artículo 45.4 de la LOPD por no concurrir los criterios agravantes señalados por la AEPD, máxime cuando VODAFONE debido al volumen de actividad generada por la prestación de servicios de comunicaciones móviles tiene implementadas medidas tendentes a salvaguardar los datos personales de sus clientes, precisamente por su interés en velar por el cumplimiento de la legislación vigente en materia de protección de datos. Con fecha C/ Jorge Juan, 6 28001 – Madrid de 2014 se remite a la entidad imputada la copia de la www.agpd.es sedeagpd.gob.es 7/22 documentación del procedimiento solicitada en el escrito de alegaciones a la propuesta de resolución. HECHOS PROBADOS PRIMERO: Con fecha 11 de diciembre de 2012 tiene entrada en esta Agencia un escrito de Dña. B.B.B., (en lo sucesivo la denunciante), comunicando la reclamación por parte de VODAFONE de una deuda impagada asociada a las líneas I.I.I. y J.J.J. dadas de alta y baja a su nombre, cuando nunca ha sido cliente de dicha entidad. Añadía que a través de su entidad bancaria ha tenido conocimiento de la inclusión de sus datos personales en el fichero ASNEF vinculados a una deuda de 177 €, aunque con señalamiento de un domicilio incorrecto. (folios 1 y 2) SEGUNDO: Con fecha 3 de octubre de 2012 la denunciante presentó denuncia en la Comisaría de Policía del Distrito de Usera-Villaverde con motivo de los hechos anteriormente señalados, constando en la misma que se había asociado a su persona un domicilio en la c/ C.C.C. en el que nunca ha vivido. (folio 15) TERCERO: En la copia del Documento Nacional de Identidad aportado por la denunciante, con nº K.K.K., figura como domicilio la C/ D.D.D. de Madrid, que resulta coincidente con el del escrito de denuncia. (folios 1, 79 y 80) CUARTO: En los sistemas de VODAFONE el nombre, apellidos y DNI de la denunciante se aparecen anudados a la titularidad de los siguientes servicios: - Línea J.J.J., asocia da a la cuenta H.H.H., dada de alta con fecha 6 de septiembre de 2011 y de baja por impago con fecha 16 de abril de 2012. - Línea I.I.I., asocia da a la cuenta G.G.G., dada de alta con fecha 7 de septiembre de 2011 y de baja por impago con fecha 16 de abril de 2012. Como dirección de envío de facturación figura (folios 25, 29 al 35): la c/ C.C.C. de A.A.A. (Madrid) QUINTO: En los sistemas de VODAFONE se refleja la emisión de una serie de facturas a nombre de la denunciante entre el 9 de septiembre de 2011 y el 8 de mayo de 2012 por la prestación de los citados servicios de telefonía móvil, y cuya copia obra en el procedimiento. (folios 37 y 38 y 130 al 166) SEXTO: El sistema de contactos de VODAFONE contiene, entre otras, una anotación del 28 de septiembre de 2012 relativa a la reclamación telefónica de la denunciante indicando que ha recibido un requerimiento de pago por unas líneas que ella no ha dado de alta. (folio 41) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 SÉPTIMO: EQUIFAX IBÉRICA, S.L. ha informado que a fecha 10 de septiembre de 2013 no obraba información asociada al identificador de la denunciante en el fichero ASNEF, aunque con anterioridad habían figurado las siguientes operaciones asociadas al NIF de la denunciante: (folios 48 al 66) - Incidencia informada por VODAFONE con fecha de alta de 26 de enero de 2012 por un saldo impagado de 177,46 € y con fecha de baja de 20 de marzo de 2013 por un saldo impagado de 257,46 euros. (folios 53 al 61 al 64) - Incidencia informada por SIERRA CAPITAL con fecha de alta de 9 de enero de 2013 y de baja de 20 de marzo de 2013 por un saldo impagado de 116,39 euros. (folios 53, 65 al 66) Las notificaciones de dichas incidencias se efectuaron en la c/ A.A.A. (Madrid) (folios 52 al 58) C.C.C. de OCTAVO: Según VODAFONE el saldo deudor de 177,46 € se corresponde con el servicio J.J.J. y la deuda de 166,39 € se corresponde con el servicio I.I.I.. (folio 124) NOVENO: Con fecha 28 de septiembre de 2012 se suscribió “Contrato marco para la cesión de créditos entre Vodafone España, SAU, Sierra Capital Management 2012, SL y Business Optimization Solution and Services, S.L.”, la primera empresa como “Vendedor” y la segunda como “Comprador”. (folios 167 al 193) DÉCIMO: VODAFONE afirma que (folios 26, 31 y 126). ambos servicios se catalogaron como fraude. UNDÉCIMO: VODAFONE no ha acreditado la contratación por la denunciante de los citados servicios de telefonía como resultado de una migración de los servicios de prepago a postpago a través del departamento de retenciones, alegando no poder localizarlos (folios 25 al 27 ) DUODÉCIMO: VODAFONE ha aportado un Fax de fecha 8 de febrero de 2013 en el que la denunciante solicita copia de los contratos formalizados por escrito o de las grabaciones correspondientes a las líneas I.I.I. y J.J.J. cuya contratación no reconocía, al igual que no asumía las dos deudas registradas a su nombre en el fichero ASNEF en relación con dichos servicios. (folio 127) DECIMOTERCERO: Con C/ Jorge Juan, 6 28001 – Madrid fecha 26 de febrero de 2013 la denunciante presentó www.agpd.es sedeagpd.gob.es 9/22 solicitud de solicitud de arbitraje ante la Junta Arbitral Regional de Consumo de la Comunidad de Madrid contra VODAFONE. En dicha solicitud manifestaba su disconformidad por la inclusión de sus datos en el fichero ASNEF a raíz de una deuda supuestamente contraída por la contratación de dos líneas telefónicas que no había dado de alta. (folios 241 al 248) DECIMOCUARTO: Con fecha 23 de marzo de 2013 VODAFONE contestó a la citada Junta Arbitral Regional de Consumo de la Comunidad de Madrid confirmando que la reclamante presentaba una cantidad pendiente de pago de 177,46 € de su cuenta cliente Vodafone H.H.H., cuya reconvención expresa solicitaban, indicando que la citada cantidad se correspondía a consumos y cuotas del servicio J.J.J., en las facturas emitidas entre os días 8 de octubre y 8 de noviembre de 2011. (folio 230) DECIMOQUINTO: Con fecha 24 de mayo de 2013 se resolvió la inadmisión de la mencionada solicitud de arbitraje “Por versar sobre hechos que revisten indicios racionales de delito, incluida la responsabilidad por daños y perjuicios directamente derivada por ellos.” (folio 225) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36 de la LOPD. II En primer lugar, se imputa a VODAFONE la conculcación del principio del “consentimiento del afectado” recogido en el artículo 6 de la LOPD. Dicho precepto determina que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. De tal modo que el tratamiento de datos sin consentimiento de los afectados constituye un límite al ejercicio del mismo. El artículo 6 de la LOPD debe integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
  7. c)y 3,
  8. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento (artículo 43 LOPD), por tanto ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  9. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Esta definición ha de completarse con la contenida en el artículo 2, letra d), de la Directiva Comunitaria 95/46, de 24 de octubre de 1995, a cuyo tenor se considera como tal toda persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales. En el presente caso se ha producido un tratamiento automatizado de los datos personales de la denunciante por parte de VODAFONE con motivo de la supuesta contratación por parte de ésta del servicio de dos líneas de telefonía móvil. De tal forma que el nombre, apellidos y NIF de la denunciante incluidos los ficheros de dicha compañía se han utilizado tanto para la emisión de las facturas correspondientes a las líneas números J.J.J. y I.I.I. supuestamente contratadas por ésta, como para la gestión del cobro de la deuda que figuraba como pendiente de pago en sus sistemas. Lo cual ha incluido la comunicación de estos datos al fichero de solvencia patrimonial y crédito ASNEF asociados al impago de las facturas emitidas por el servicio de la línea J.J.J., y en las que constaba, al igual que en la facturación correspondiente a la línea I.I.I., un domicilio en el que la afectada indica no haber vivido nunca y que no es coincidente con el de la denuncia interpuesta ante este Agencia ni con el resto de documentación aportada por ésta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 Por lo tanto, dicha sociedad ostenta una posición jurídica, en tanto que responsable de los citados ficheros y del tratamiento informatizado efectuado con los datos personales registrados en los mismos, susceptible de generar responsabilidad por incumplimiento de uno de los principios rectores de la LOPD al haber decidido sobre la finalidad, contenido y uso del tratamiento objeto de imputación. El tratamiento de los datos personales de la denunciante efectuado por VODAFONE vulnera el principio de consentimiento recogido en el artículo 6 de la LOPD, por cuanto se realizó sin que VODAFONE haya acreditado contar con el consentimiento inequívoco de la denunciante exigido en el artículo 6.1 de la LOPD y sin probar la concurrencia de alguna de las circunstancias previstas en el artículo 6.2 de la LOPD que hubieran permitido a dicha compañía tratar los datos de la denunciante sin su consentimiento. III La representación de VODAFONE niega la existencia de la infracción imputada alegando que el tratamiento de datos de carácter personal se basaba en la existencia de una relación contractual entre las partes, que según el apartado 2 del artículo 6 de la LOPD exime de la exigencia del consentimiento del afectado, por lo que VODAFONE habría tratado los datos de la denunciante como consecuencia de la contratación de los citados servicios de telefonía móvil a través del canal de televenta solicitando una migración de prepago a postpago. Sin embargo, la operadora no ha presentado ningún medio de prueba que acredite la existencia de dicha contratación por parte de la afectada, indicando que no había sido posible localizar la grabación correspondiente a la misma, al igual que tampoco ha justificado que se siguiera el procedimiento establecido por la compañía para efectuar las contrataciones telefónicas al que se aludía en la contestación efectuada durante las actuaciones previas de inspección (folios 27 y 45) La LOPD exige que el titular de los datos preste su consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre sus datos personales. Así, el artículo 3.h de la LOPD al definir el consentimiento se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. Por otra parte, el sistema de contratación telefónica es un método válido y admitido en derecho del que se ocupa el Real Decreto 1906/1999, por el que se regula la contratación telefónica o electrónica con condiciones generales, en desarrollo del artículo 5.3 de la Ley 7/1998, de 13 de abril, de condiciones generales de la contratación. El artículo 5.3 de la citada Ley 7/1998 establece que “en los casos de contratación telefónica o electrónica será necesario que conste en los términos que reglamentariamente se establezcan la aceptación de todas y cada una de las cláusulas del contrato, sin necesidad de firma convencional. En este supuesto, se enviará inmediatamente al consumidor justificación escrita de la contratación efectuada, donde constarán todos los términos de la misma”. El R.D. 1906/1999 reitera la obligación de confirmar documentalmente la contratación efectuada por vía telefónica, electrónica o telemática y dispone en su artículo 5.1 y 2 lo siguiente: “1. La carga de la prueba sobre la existencia y contenido de la información previa de las cláusulas del contrato; de la entrega de las condiciones generales; de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 justificación documental de la contratación una vez efectuada; de la renuncia expresa al derecho de resolución; así como de la correspondencia entre la información, entrega y justificación documental y el momento de sus respectivos envíos, corresponde al predisponente. 2. A estos efectos, y sin perjuicio de cualquier otro medio de prueba admitido en derecho, cualquier documento que contenga la citada información aún cuando no se haya extendido en soporte papel, como las cintas de grabaciones sonoras, los disquetes y, en particular, los documentos electrónicos y telemáticos, siempre que quede garantizada su autenticidad, la identificación fiable de los manifestantes, su integridad, la no alteración del contenido de lo manifestado, así como el momento de su emisión y recepción, será aceptada en su caso, como medio de prueba en los términos resultantes de la legislación aplicable...” Asimismo, el artículo 4.1 del citado Real Decreto 1906/1999 establece: “1.Cumplidas las obligaciones a que se refieren los artículos 2 y 3, el adherente dispondrá de un plazo de siete días hábiles, según el calendario oficial de su lugar de residencia habitual, para resolver el contrato sin incurrir en penalización ni gasto alguno, incluido los correspondientes a la devolución del bien. El ejercicio del derecho a que se refiere este apartado no estará sujeto a formalidad alguna, bastando que se acredite en cualquier forma admitida en derecho.” Sin embargo, en el presente caso VODAFONE, en su condición de responsable de los ficheros en los que registró información personal de la afectada y responsable del tratamiento efectuado con tal información, no ha presentado ninguna prueba de la contratación telefónica a través de la cual supuestamente la denunciante habría prestado su consentimiento para el tratamiento de sus datos personales, ni ha acreditado haber adoptado las medidas que la diligencia aconseja a fin de demostrar que la persona que presta el consentimiento es en realidad el titular de los datos tratados. Sobre esta cuestión procede señalar que el reflejo en sus sistemas de la recogida de los terminales en la dirección indicada y el uso de los mismos no demuestra, en forma alguna, que la contratación de los servicios se realizará por la denunciante, ni acredita que los terminales se entregarán a la misma y fueran usados por ésta, máxime cuando VODAFONE no ha aportado ningún medio de prueba que justifique fehacientemente tales circunstancias. A su vez, dicha compañía tampoco ha acreditado mediante la aportación de las pruebas correspondientes que la denunciante fuera titular de un servicio con VODAFONE con anterioridad a dicha migración, recordándose en relación con esta cuestión que la afectada ha afirmado que nunca ha sido cliente de dicha compañía. Así, respecto de la “Obtención del consentimiento del afectado” el artículo 12.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, (en adelante RDLOPD) establece que “3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” En consecuencia, es a VODAFONE a quien le corresponde adoptar las medidas adecuadas y pertinentes para la perfecta identificación de sus clientes, sin que tal comportamiento deba constituir elemento alguno de atenuación de la responsabilidad, sino el cumplimiento de una obligación ordinaria exigible a las entidades, que como la presente, trabajan con grandes volúmenes de datos personales. Significativa en este sentido, C/ Jorge Juan, 6 28001 – Madrid al hablar de la contratación telefónica, es la www.agpd.es sedeagpd.gob.es 13/22 Sentencia de la Audiencia Nacional, de 31/05/2006, Recurso 539/2004, en su Fundamento de Derecho Cuarto, cuando señala “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”, y continúa, ”Resulta, por tanto, que tal empresa demandante no sólo no ha aportado ningún elemento probatorio que acredite la celebración telefónica del contrato, sino que tampoco ha acreditado el cumplimiento de las garantías y cautelas que determinan las normas descritas” Más recientemente la sentencia de la Audiencia Nacional de 27/01/2011, ratifica el criterio precedente y señala: “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”, debiéndose recordar que en este supuesto la denunciante ha negado reiteradamente dicha contratación en todos los escritos presentados por la misma ante esta Agencia y en todas las comunicaciones mantenidas con la operadora. Por tanto, correspondía a VODAFONE como responsable del tratamiento efectuado estar en condiciones de acreditar que había obtenido el consentimiento de la denunciante. No obstante lo cual, en el presente caso, VODAFONE no ha presentado ninguna prueba de la contratación supuestamente efectuada por la denunciante que, de conformidad con lo dispuesto en el artículo 6.2 de la LOPD, hubiera amparado el tratamiento de los datos personales de la afectada en el marco de la relación contractual en cuestión sin precisar de su consentimiento, ni tampoco ha probado contar con el consentimiento inequívoco de la denunciante para la utilización de sus datos personales asociado a dichas altas telefónicas, resultando, que, por otra parte, dicha contratación finalmente ha sido calificada por la propia compañía como fraudulenta. Esta conducta, supone por parte de VODAFONE una vulneración del principio de consentimiento, recogido en el artículo 6.1 de la LOPD. IV En segundo lugar, se imputa a VODAFONE la vulneración del principio de “Calidad de los datos” recogido en el artículo 4.3 de la LOPD. Dicho precepto determina que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” Asimismo, el Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  10. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. (…)
  11. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  12. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. 1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4.3 de la LOPD, puesto que como acreedor es el único que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es él el que conoce si la deuda realmente existe o si ha sido saldada o no, siendo las entidades informantes las que deciden a quién dan de alta o de baja. Además, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999, implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. La exigencia de que la deuda sea “cierta”, (artículo 38.1.
  13. a)del R.D. 1720/2007) responde al principio de calidad de los datos plasmado en el artículo 4.3 de la LOPD. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar a ficheros comunes datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias, siempre que la información registrada en los ficheros de esta naturaleza respete el principio de veracidad y exactitud. Es objeto de estudio en el presente procedimiento, y por tanto cuestión a dilucidar en el mismo, si la inclusión de los datos de la denunciante en el fichero ASNEF por parte de VODAFONE se realizó conforme determina la normativa de protección de datos. En el presente caso, ha quedado probado que los datos personales de la denunciante se incluyeron, a instancias de VODAFONE, en el citado fichero de solvencia patrimonial y crédito con fecha 26 de enero de 2012 por un saldo impagado de 177,46 € asociado a una operación de telecomunicaciones, sin que la deuda informada fuera cierta, vencida ni exigible a la denunciante por estar originada en el impago de la facturación de un servicio (línea J.J.J.) que no había sido dado de alta por la denunciante, tal y como prueba el hecho de que dicha contratación se catalogara por la operadora como fraude con fecha 10 de febrero de 2013 . En relación con esta cuestión se pronuncia la Audiencia Nacional en su Sentencia de 18/01/2006, Recurso 0236/2004, “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Los hechos anteriormente relatados son contrarios al principio de calidad de datos consagrado en el artículo 4.3, y en relación con el 29.4 de la LOPD. V Consta acreditado en esta Agencia que las entidades asociadas al fichero ASNEF suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. En este supuesto, los datos personales de la denunciante figuraban en los ficheros informáticos de VODAFONE, entidad que instó la incorporación al fichero ASNEF de tales datos con motivo de una deuda que no respondían con veracidad a la situación real de la afectada. Dicha comunicación y anotación se realizó mediante un procedimiento que implica un tratamiento automatizado de los datos personales de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 afectados tanto por parte de la entidad informante como por parte del responsable del fichero de solvencia patrimonial y crédito. Teniendo en cuenta que la vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros, incluyendo tanto al que lo es del fichero como al del tratamiento de datos personales, resulta preciso, por tanto, determinar si, en el presente caso, VODAFONE puede ser considerada responsable del tratamiento efectuado con los datos personales de la afectada, y, más particularmente, en relación con la adecuación de su conducta a lo previsto en el principio de calidad de datos. Consta que esta entidad trató los datos titularidad de la denunciante asociados a los importes deudores correspondientes a la facturación derivada de la prestación del servicio de las dos líneas telefónicas registradas a su nombre en sus propios ficheros, de los que es responsable conforme el artículo 3.
  14. d)de la LOPD y decidió la comunicación a un fichero de morosidad de la deuda proveniente del servicio J.J.J., habiendo decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudora), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). Habida cuenta que ha quedado probado que el alta de los dos servicios objeto de controversia en septiembre de 2011 fue fraudulenta y que la denunciante fue catalogada en los ficheros de la entidad como deudora cuando no debía cantidad alguna a VODAFONE por el servicio de unas líneas que no había contratado, dicha entidad resulta responsable no sólo del tratamiento inexacto de los datos personales de la denunciante en sus propios ficheros asociado a la titularidad e impago de los mencionados servicios, sino que también resulta responsable de la comunicación indebida de la información adversa a un fichero de solvencia patrimonial y de crédito a través de tratamientos automatizados en lo referente a una de las reseñadas líneas. De todo lo cual se desprende que los datos tratados e informados al fichero ASNEF en relación con la línea J.J.J. no eran exactos, pues la deuda anotada en el mismo no era cierta ni exigible a la denunciante. Lo que supone una clara vulneración del principio de calidad de datos, de la que debe responder VODAFONE al ser responsable de la veracidad y exactitud de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en los ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias, información cuya certeza debe verificar previamente a su comunicación a tales ficheros conforme a lo establecido en el artículo 43 del Real Decreto 1720/2007. La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que VODAFONE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4, ambos de la LOPD, y en los términos del artículo 43 en relación con las definiciones del artículo 3.
  15. d)y
  16. c)de la citada Ley Orgánica. VI El artículo 44.3.b), según modificación introducida por la Ley 21/2011, de 4 de marzo, tipifica como infracción grave “Tratar datos de carácter personal sin recabar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Por su parte, el artículo 44.3.c), según modificación introducida por la Ley 21/2011, de 4 de marzo, tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 44.3
  17. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. VODAFONE ha incurrido en las infracciones descritas ya que ha vulnerado el principio del consentimiento consagrado en el artículos 6.1 cuando trató, sin su consentimiento previo e inequívoco, los datos personales de la afectada en sus propios ficheros asociándolos a una contratación de dos líneas de telefonía móvil que no ha sido acreditada y a una facturación impagada no imputable a la afectada. Igualmente, dicha compañía ha conculcado el principio de calidad de datos consagrado en el artículo 4.3 de la LOPD en relación con el artículo 29.4 de dicha norma al haber comunicado datos inexactos de la denunciante al fichero de solvencia patrimonial y crédito ASNEF asociados a una deuda que no era cierta, vencida ni exigible a la misma al no ser cliente de dicha entidad ni responsable, por lo tanto, del impago de la facturación generada por unos servicios que no había dado de alta, conducta que encuentra su tipificación en los artículos 44.3.
  18. b)y 44.3.
  19. c)de la citada Ley Orgánica. VII Alega la representación VODAFONE la existencia de un concurso medial entre las infracciones imputadas, no siendo posible sancionar conjuntamente ambas, debiendo dejar sin efecto la infracción correspondiente al principio de calidad de datos por derivar necesariamente de la infracción del principio de consentimiento. El artículo 4.4 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, que dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” En un caso similar en el que el demandante también alegó concurso ideal de infracciones, la Audiencia Nacional dictó Sentencia con fecha 25 de octubre de 2013, en el Recurso 357/2012 lo siguiente: “ La STS de 8 de febrero de 1999 (Rec. 9/1996) interpreta dicho precepto en el sentido que “exige para la aplicación del concurso medial, una necesaria derivación de unas infracciones respecto de las demás y viceversa, por lo que es indispensable que las unas no puedan cometerse sin ejecutar las otras”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 Sin embargo, en el caso de autos de acuerdo con el criterio reiterado de la Sala en supuestos similares, no cabe apreciar el citado precepto al no concurrir los presupuestos establecidos para ello, por cuanto el tratamiento de los datos del denunciante sin su consentimiento pudo llevarse a cabo sin necesidad de comunicar sus datos al fichero Asnef , o lo que es igual, del tratamiento de los datos del denunciante sin su consentimiento no se deriva necesariamente la vulneración del principio de calidad de datos en relación con el artículo 29.4 de la LOPD, dado que XXXX no se limitó al tratamiento de los datos del afectado sin su consentimiento, sino que además los comunicó a los ficheros de solvencia patrimonial y crédito, pudiendo haber decidido no haberlos incluido en los citados ficheros , tratándose en definitiva de dos infracciones distintas e independientes que presentan sustantividad propia, no siendo una medio para la comisión de la otra.” En consecuencia, no procede la aplicación del precepto transcrito, al tratarse de dos infracciones totalmente diferentes e independientes, sin que la comisión de una de ellas implique, necesariamente, la comisión de la otra y viceversa. VIII El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  20. a)El carácter continuado de la infracción.
  21. b)El volumen de los tratamientos efectuados.
  22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  23. d)El volumen de negocio o actividad del infractor.
  24. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  25. f)El grado de intencionalidad.
  26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22
  29. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  30. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  31. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  32. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  33. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  34. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el supuesto examinado, VODAFONE ha solicitado la aplicación subsidiaria del apartado 5 del artículo 45 de la LOPD por producirse una cualificada disminución de su culpabilidad en atención a que su conducta se ha adecuado en todo momento a la normativa de protección de datos, circunstancia que permitiría reducir la cuantía de las sanciones aplicando la escala relativa a la clase de infracciones leves, y ya dentro de la misma, graduarlas en su cuantía mínima al concurrir todos los supuestos contemplados en el apartado 4 del citado precepto. En contra de lo afirmado por la entidad imputada, en el presente caso, resulta evidente la existencia de antijuridicidad y culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los datos personales de la denunciante, al haber quedado acreditado que VODAFONE vulneró los artículos 6.1 y 4.3 de la LOPD. Así, en cuanto a la infracción del principio del consentimiento, VODAFONE no ha acreditado mediante ningún medio de prueba que la contratación de los servicios se efectuara por la denunciante a través del canal de televenta, no habiendo probado tampoco dicha compañía que se hubieran adoptado las medidas de seguridad exigibles para asegurarse de la identidad de la contratante . Respecto de la infracción del principio de calidad de datos, se considera que la entidad imputada no se aseguró con anterioridad al momento en que informó la deuda al fichero ASNEF sobre la exactitud y certeza de los datos personales objeto de comunicación al fichero común. Aunque finalmente los servicios objeto de controversia acabaran siendo catalogados como fraude, no hay que olvidar que VODAFONE no adoptó hasta marzo de 2013 ninguna medida correctora tendente a subsanar la situación irregular mediante la cancelación de la deuda y dando de baja la anotación deudora. De esta forma, cuando con fecha 28 de septiembre de 2012 la denunciante reclamó telefónicamente ante dicha entidad para mostrar su disconformidad con una deuda generada en unos servicios cuya alta no reconocía, VODAFONE valoró que la deuda era correcta y desestimó la reclamación. Asimismo, con fecha 23 de marzo de 2013, dicha entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 contestó a la JAC de la Comunidad de Madrid confirmando la deuda de 177,46 €, cuya reconvención expresa también solicitó. Dicha conducta conllevó el mantenimiento indebido de los datos de la denunciante en el fichero ASNEF por un plazo superior a un año, toda vez que éstos permanecieron asociados a una deuda originada en el servicio de la línea J.J.J. no contratada por la afectada entre el 26 de enero de 2012 y el 20 de marzo de 2013. Por lo tanto, VODAFONE no actuó con el rigor, rapidez y cuidado alegados, ni tampoco su conducta se adecuó a lo previsto en la normativa de protección de datos, en tanto que como responsable de sus ficheros y del tratamiento de los datos personales realizado con los datos obrantes en los mismos tenía la obligación de obrar con mayor diligencia a la hora de incorporar nuevos datos a sus ficheros, mantenerlos en los mismos, girar facturas contra su titular, realizar gestiones de recobro de la deuda y comunicar datos adversos en un fichero de solvencia patrimonial y crédito. En consecuencia, no cabe apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5 por no obrar en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en el mismo, en especial el derivado de la rápida subsanación de la situación irregular. A lo ya expuesto, hay que añadir el conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). En cuanto a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, en lo que se refiere a la ausencia de intencionalidad, circunstancia prevista en el apartado
  35. f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la citada operadora hubiera actuado intencionadamente o con dolo, hay que señalar que los tipos apreciados no requieren dolo para su perfección, pudiendo ser cometidos a título de simple negligencia. Sobre la falta de perjuicios causados al afectado (apartado
  36. h)del artículo 45.4) la Audiencia Nacional ha señalado en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. En relación con la reincidencia (apartado
  37. g)del artículo 45.4), se trata de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 circunstancia que por su propia naturaleza no puede operar como atenuante por derivar del incumplimiento de la norma, máxime si se considera la imposición de reiteradas sanciones firmes impuestas a VODAFONE por esta Agencia por vulneración de los mismos preceptos de la LOPD objeto de imputación en este expediente. Igualmente, operan como agravantes: el importante volumen de negocio (apartado
  38. d)del artículo 45.4), toda vez que se trata de una empresa con un importante volumen de negocio y la vinculación de su actividad con la realización de tratamientos de datos de carácter personal (apartado
  39. c)del artículo 45.4), pues es evidente que en el desarrollo de la actividad que desempeña la entidad se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros. Por todo lo cual, valorados los criterios de graduación de las sanciones establecidas en el artículo 45.4 de la LOPD se estima adecuado imponer a VODAFONE dos multas de 50.000 € cada una de ellas por la infracción de los artículos 6.1 y 4.3 en relación con el 29.4 de la LOPD. Se acompaña relación de documentos obrantes en el procedimiento. A la vista de lo expuesto se procede a emitir la siguiente Por otro lado, el artículo 49 de la LOPD señala: “ En los supuestos, constitutivos de infracción muy grave, de utilización o cesión ilícita de los datos de carácter personal en que se impida gravemente o se atente de igual modo contra el ejercicio de los derechos de los ciudadanos y el libre desarrollo de la personalidad que la Constitución y las leyes garantizan, el Director de la Agencia Española de Protección de Datos podrá, además de ejercer la potestad sancionadora, requerir a los responsables de ficheros automatizados de datos de carácter personal, tanto de titularidad pública como privada, la cesación en la utilización o cesión ilícita de los datos. Si el requerimiento fuera desatendido la Agencia Española de Protección de Datos podrá., mediante resolución motivada, inmovilizar tales ficheros automatizados a los solos efectos de restaurar los derechos de las personas afectadas.” Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A.U., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  40. b)de dicha norma, una multa de 50.000 € (Cincuenta mil euros) de conformidad con lo establecido en los apartados 2 y 4 del artículo 45 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad VODAFONE ESPAÑA, S.A.U., por una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, tipificada como grave en el artículo 44.3.
  41. c)de dicha norma, una multa de 50.000 € (Cincuenta mil euros) de conformidad con lo establecido en los apartados 2 y 4 del artículo 45 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. y a Dña. B.B.B. . CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.