← España

PS-00655-2014

1/16 Procedimiento Nº PS/00655/2014 RESOLUCIÓN: R/00359/2015 En el procedimiento sancionador PS/00655/2014, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A.U., vista la denuncia presentada por Don A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 20 de diciembre de 2013, tienen entrada en esta Agencia sendos escritos remitidos por Don A.A.A., en los que declara que TTI, Finance, S.A.R.L. (en adelante TTI) ha incluido sus datos de carácter personal en el fichero de solvencia patrimonial y crédito denominado ASNEF, por una supuesta deuda inexistente que no se le ha notificado ni reclamado. También señala que el domicilio que aparece en el fichero ASNEF le resulta desconocido. Junto a las denuncias aporta la siguiente documentación: copia de su DNI, en el que aparece como domicilio la (C/............1)de Córdoba; copia del escrito de EQUIFAX, de fecha 04/12/2013, contestando a su solicitud de acceso, en la que se le informa que, asociado a su identificador ***NIF.1, en el fichero ASNEF aparece una operación dada de alta, con fecha 12/1/2012, por una deuda de 150,38 €, a nombre de A.A.A., y domicilio en (C/.............1)– VALENCIA, apareciendo como entidad informante TTI. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia realizaron inspecciones en los establecimientos de las entidades VODAFONE ESPAÑA, S.A.U., (en adelante VODAFONE) y ATENTO TELESERVICIOS ESPAÑA, S.A. (en lo sucesivo ATENTO). Asimismo, solicitaron información a TDX INDIGO IBERIA, S.L.U., (en adelante TDX), fruto de las cuales se han podido constatar los siguientes hechos:

  1. a)Respecto de los términos de la adquisición por parte de TTI de una cartera de créditos vendida por VODAFONE se ha averiguado que: 1. 1.1. Manifestaciones realizadas por VODAFONE sobre las deudas objeto de cesión: En 2013 VODAFONE adoptó la decisión de vender un porcentaje de su cartera de deudas pendientes de cobro. A tales efectos, se puso en contacto con la entidad dedicada a la gestión de créditos fallidos, TTI, con la que suscribió un contrato de cesión de créditos de fecha 28 de febrero de 2013.  C/ Jorge Juan, 6 28001 – Madrid Se cedió a TTI un total de 1.291.451 deudas procedentes de la cartera de clientes particulares y autónomos con una antigüedad www.agpd.es sedeagpd.gob.es 2/16 superior a 360 días, sin límite superior desde la fecha del primer impago, debiendo presentar la suma de las facturas impagadas un importe mínimo de 10 €. Además, se definieron una serie de supuestos en los cuales aunque existieran deudas que cumplieran lo expuesto anteriormente, no serían objeto de cesión. En el marco del proceso de cesión de las carteras de crédito se previó un sistema específico de comunicación, basado en el envío de un escrito a las personas afectadas para informarles de que sus créditos deudores con VODAFONE habían sido adquiridos por TTI y que, por lo tanto, estas entidades se convertían, desde ese momento, en los nuevos acreedores de la cantidad adeudada. Las principales características del citado sistema eran:  El responsable de realizar la comunicación de cesión de cartera era el comprador de la misma TTI, según VODAFONE.  Tal comunicación consistía en un escrito en el que aparecían los logotipos de VODAFONE y TTI. En el mismo se informaba de la cesión del crédito, de la cesión de sus datos al comprador y de la posibilidad de ejercicio de sus derechos ante el comprador.  Una vez formalizada la cesión de las carteras de crédito, se definió un proceso de recompra de expedientes cedidos a petición de TTI o a iniciativa de VODAFONE, mediante el cual VODAFONE tenía la posibilidad de recuperar aquellos créditos incluidos en la cartera objeto de cesión, siempre y cuando se produjeran alguna de las circunstancias de exclusión y se encontrara dentro de las condiciones de retrocesión que figuran tasados en el contrato. Cuando se producía la recompra se cesaba en la reclamación de la deuda al cliente por parte del comprador y se le excluía del fichero de morosidad. 1.2. Los representantes de VODAFONE manifiestan que todas las cuentas de cliente que fueron objeto de cesión se encuentran dadas de baja y las deudas saldadas. Hechos constatados documentalmente: En el Acta de Inspección del expediente E/04886/2013/I-2 consta una copia de la escritura de elevación a público y protocolización del contrato de cesión de crédito entre VODAFONE (Vendedor) y TTI (Comprador), de 28 de febrero de 2013. De su análisis, y en relación a lo manifestado por las partes, se desprende lo siguiente: - El contrato establece en su estipulación Primera que la transmisión efectiva de la Cartera de Créditos se lleva a cabo en la fecha de celebración del Contrato. Así, los derechos y obligaciones derivados de dicha Cartera de Créditos que eran titularidad del Vendedor con anterioridad a la firma del contrato, serán titularidad del Comprador tras la firma del mismo. - La firma del contrato implicaba la entrega al comprador por parte del vendedor de un CD conteniendo información relativa a cada uno de los créditos objeto de cesión: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 2. Manifestaciones efectuadas por ATENTO sobre las deudas objeto de cesión: TTI contrató a la empresa TDX para la gestión de una cartera de deuda y a su vez, TDX contrató una parte de esa cartera de deuda a ATENTO para la gestión de ocho carteras de encargo, de las que tres están activas. Para el resto de la cartera de deuda se contrató a otras entidades. En el ámbito de la inspección E/04886/2013/I-03 consta copia del Contrato Marco de Prestación de Servicios de Recobro entre TDX y ATENTO de 12 de marzo de 2013, y copia de ocho Carteras de Encargo, cuatro de fechas 19 de abril, una de 3 de mayo, tres de 4 de noviembre de 2013 que figuran Estas Carteras de Encargo son para la prestación de tres tipos de servicio: recepción de llamadas de clientes, emisión de llamadas a clientes y Servicio de Atención al Cliente. TDX proporciona, mediante una conexión segura de transmisión de ficheros, sftp, los ficheros de los clientes con sus datos como nombre, apellidos, DNI, teléfono de contacto, y los datos relativos a la deuda. TDX facilitó esta información por última vez para las carteras de noviembre de 2013. La comunicación por correo a los clientes de la cesión de deuda corresponde a TTI. En el caso de que la gestión de la deuda haya sido contratada a ATENTO, TTI incluye esta información en la carta y también se lo comunica a Equifax. Cinco carteras fueron contratadas hasta noviembre de 2013 y en noviembre de 2013 se contrataron las dos carteras actualmente vigentes y en diciembre de ese año se contrató el Servicio de Atención al Cliente. A la finalización del contrato de prestación de servicios de recobro ATENTO devuelve todos los datos a TTI. En otros casos se pacta un periodo de custodia, pero no aplica a este caso. La duración del contrato es de un año prorrogable a otro y la duración de las cartas de encargo es de 240 días. ATENTO no actualiza los datos de los clientes sino que comunica las incidencias al responsable del fichero que es TTI. Tampoco gestionan la información ni registros que se envían a ASNEF, es un dato facilitado por TDX en el fichero de clientes. ATENTO tampoco accede a información de contratos o facturas de los clientes, solo en el caso de la contratación del servicio de Atención al cliente.
  2. b)De las actuaciones de inspección practicadas en VODAFONE se desprende lo siguiente: En relación a la información que se puede encontrar en los sistemas de información de VODAFONE, los representantes de la entidad indican que la misma se puede consultar en dos ficheros:  El fichero con los datos del CD que en su día se cedieron al comprador actualizado con los datos de las recompras efectuadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16  El fichero de clientes, donde aparecen reflejados los productos contratados, las fechas de alta y baja, las facturas emitidas, los contactos y las reclamaciones presentadas por el cliente. 1.1. Se solicita acceso a los sistemas utilizando como criterio de búsqueda el identificador ***NIF.1, comprobándose que:  Dicho identificador se corresponde con el denunciante.  como parte de la cartera cedida al comprador, se encontraba una deuda con fecha de venta de 28/02/2013, fecha de comunicación al titular de la deuda de 20/03/2013, por valor de 150,38 € de consumo, sin recompra.  Accediendo al fichero de clientes se verifica que esta persona ha sido cliente de la entidad con antigüedad 06/11/2009, constando como titular de la cuenta de instalación nº ***CTA.1, a la que se encontraba vinculada una línea ***TEL.1 con alta 20/08/2010 y baja 04/4/2011:  la dirección principal (C/.............2), Valencia  figuran devueltas dos facturas de 26/08/2010 y 26/09/2010 que suman el importe de la deuda de 150,38 €  no figura reclamación del cliente  Solicitado contrato a VODAFONE, no fue posible localizar la documentación-grabación del alta. y de facturación coinciden siendo Junto al Acta de inspección se incluyen impresiones de pantalla con las verificaciones realizadas y copia de las facturas de las que trae causa la deuda que fue objeto de cesión.
  3. c)De las actuaciones de inspección practicadas en ATENTO se desprende lo siguiente: En relación a la información que se puede encontrar en los sistemas de información de ATENTO con los datos facilitados por TDX se realizan las siguientes verificaciones relacionadas con la prestación de servicios de recobro de la cesión de deuda de VODAFONE a TTI. - Para comprobar los datos del titular con sus registros o cuentas se solicita acceso a los sistemas utilizando como criterio de búsqueda el identificador del NIF del denunciante ***NIF.1, comprobándose que el mismo corresponde a Don A.A.A., para el que existen dos cuentas que se gestionan secuencialmente, no en paralelo.  C/ Jorge Juan, 6 28001 – Madrid Una cartera Inbound en la que consta que no se ha comunicado a ASNEF, TDX solicita a Atento a través del portal web que se ponga en contacto con el cliente, por el contrato nº 9***CTA.1 con un importe total de 150,38 € en estado Devolución-Petición de TDX e www.agpd.es sedeagpd.gob.es 5/16 importe pendiente de pago 0 €. No figuran facturas.  Una cartera Outbound de TTI-Vodafone en la que consta que se ha comunicado a ASNEF, sin llamadas del cliente, por el mismo contrato anterior nº 9***CTA.1 por el teléfono ***TEL.1, con el mismo importe total de 150,38 € en estado DevoluciónPetición de TDX e importe pendiente de pago 0 €. Figuran tres facturas. Se aportan impresiones de pantalla con las verificaciones realizadas.
  4. d)TDX en respuesta al requerimiento de información que le fue realizado manifestó lo siguiente: - Respecto de los datos del denunciante, TDX actúa como encargada de tratamiento por cuenta de TTI, empresa responsable del tratamiento, en virtud de contrato de “prestación de servicios de recobro” suscrito entre ambas entidades con fecha 31/03/2013. - Aporta copia impresa de los datos relativos al denunciante que obran en sus ficheros. - También aporta como documentación relativa a los contactos mantenidos con el denunciante y al requerimiento previo de pago: 1) impresión de un documento de INTRUM JUSTITIA IBERICA SAU sobre las “Gestiones realizadas”, en el que asociados a los datos del denunciante y al objeto financiado ***TEL.1 figura como fecha de inicio de gestión el día 20/01/2014, el importe de 150,38 euros y dos SMS sin resultado; 2) Copia de “Modelo de Certificado. Certificado de Envío de Carta. BB DATA PAPAER”, en el que el Gerente de esta última empresa certifica la generación, impresión y puesta en el Servicio de Correos, el día 26 de abril de 2013, de la notificación de inclusión NT ******** correspondiente al denunciante; 3) Copia del escrito de fecha 10/04/2013, dirigido por TTI Finance, S.A.R.L., ( en lo sucesivo TTI), al denunciante, a la (C/.............2), Valencia, comunicándole la adquisición por su parte a VODAFONE del saldo pendiente de pago de 150,38 €, a 26/03/2013, derivado del contrato de telefonía suscrito por el afectado con dicha entidad con fecha 20/08/2010, cuyo pago es requerido por el nuevo acreedor, el cual también informa que el crédito adquirido está incluido en el fichero ASNEF, en el que no estarán visibles los datos del afectado durante el plazo de 25 días a contar desde la fecha de la carta, volviendo a aparecer, constando como acreedor TTI, si transcurrido dicho plazo no regulariza la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 situación. Se observa que la notificación de inclusión NT ******** no se corresponde con el rango de generación e impresión de las notificaciones indicadas en el certificado de BB DATA PAPER. Además, tampoco se aporta documentación del Servicio de Correos relativa al control de devolución del envío correspondiente a dicha inclusión. TERCERO: TTI es una entidad mercantil con domicilio social en Luxemburgo y por tanto, conforme dispone el artículo 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), su actuación se encuentra fuera del ámbito de aplicación de la misma, por lo que esta Agencia trasladará a la autoridad nacional de protección de datos competente las actuaciones referidas a TTI. CUARTO: Con fecha 24 de noviembre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE ESPAÑA, S.A.U., por presunta infracción del artículo 11.1 en relación con el artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.k), de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.00 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. QUINTO: En dicho acuerdo se indicaba que sin perjuicio de lo que resultase de la instrucción del procedimiento, de los hechos anteriormente expuestos se desprendía que VODAFONE cedió a TTI los datos personales del denunciante asociados a una deuda de 150,38 € sin contar con el consentimiento del mismo, toda vez que VODAFONE no ha acreditado la contratación de la que derivaba dicha deuda ni que la comunicación de la transferencia del mencionado saldo impagado haya sido efectivamente realizada al denunciante en los términos de los artículos 347 y 348 del Código de Comercio, por lo que en consecuencia, dicha cesión de datos se llevó a cabo sin mediar habilitación legal para ello. SEXTO: Notificado el acuerdo de inicio, con fecha 16 de diciembre de 2014, se registra en esta Agencia escrito de alegaciones de VODAFONE solicitando la aplicación del apartado 5.
  5. d)del artículo 45 de la LOPD con fundamento en los siguientes argumentos: - Que el denunciante tenía asociado el servicio de la línea móvil ***TEL.1, contratado el 20 de agosto de 2010 y dado de baja el 4 de abril de 2011, período en el se acumuló una deuda de 150,38 €, la cual se vendió a TTI el 28 de febrero de 2013. - VODAFONE manifiesta que, dadas las circunstancias previstas en este caso, la deuda del denunciante no debería haberse vendido a TTI tal y como ocurrió, en tanto que no disponía de la grabación que acreditara la existencia de la relación contractual entre las partes, de tal manera que VODAFONE no gestionó el caso correctamente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 - Con arreglo a lo indicado y por aplicación lo previsto en los apartados 4 y 5 del artículo 45 LOPD considera que resulta de aplicación lo previsto en el artículo 45.5.
  6. d)de la LOPD, por el cual: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate de los siguientes supuestos: […]
  7. d)cuando el infractor haya reconocido espontáneamente su culpabilidad”. SÉPTIMO: Con fecha 29 de diciembre de 2014 se inició el período de práctica de pruebas, según lo dispuesto en el artículo 17.1 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, durante el que se acordó la práctica las siguientes pruebas: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante VODAFONE ESPAÑA, S.A.U., el Informe de actuaciones previas de Inspección que forman parte del expediente E/00342/2014, las alegaciones al acuerdo de inicio PS/00655/2014 presentadas por VODAFONE ESPAÑA, S.A.U., y la documentación que a ellas acompaña. Asimismo, se solicitó a VODAFONE ESPAÑA, SAU remisión de la siguiente documentación e información: - Acreditación de la fecha exacta en que el denunciante recibió la comunicación de cesión de la deuda de 150,38 € a TTI FINANCE SARL. - Especificación de si VODAFONE ha adquirido a TTI FINANCE SARL la deuda del denunciante, con acreditación de la fecha exacta de la recompra e indicación del estado actual de la deuda en sus ficheros. En caso de que no se haya producido dicha circunstancia, aclaración de la causa exacta por la que no se ha recomprado la deuda y estado actual de la misma. Por último, se solicitó a EQUIFAX IBÉRICA, S.L. ,(en adelante EQUIFAX), copia impresa de los datos que figuran en los ficheros ASNEF y FOTOCLI respecto del denunciante en relación con las deudas informadas a su nombre por VODAFONE ESPAÑA, S.A.U. y TTI Finance, SARL, en especial las fechas de alta y de baja de las incidencias informadas por cada una de dichas entidades y los motivos de las bajas. OCTAVO: EQUIFAX informó que VODAFONE dio de alta los datos del denunciante asociados a una deuda de 150,38 € el día 12 de enero de 2012, cambiando de informante a TTI el día 11 de abril de 2013. La fecha de baja es el 7 de junio de 2014. Por su parte, VODAFONE informó que TTI comunicó la cesión al denunciante el 10 de abril de 2013; y recompró la deuda el 30 de mayo de 2014, dejándose de reclamar la misma y de informar de ella al fichero ASNEF. HECHOS PROBADOS PRIMERO: Con fecha 20 de diciembre de 2013, se recibieron en esta Agencia dos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 escritos remitidos por Don A.A.A., (el denunciante), poniendo de manifiesto que la empresa TTI , había incluidos sus datos personales en el fichero denominado Asnef por una deuda inexistente. Junto a las denuncias aportaba la siguiente documentación: copia de su DNI, en el que aparece como domicilio la (C/............1)de Córdoba; copia del escrito de EQUIFAX, de fecha 04/12/2013, contestando a su solicitud de acceso, en la que se le informa que, asociado a su identificador ***NIF.1, en el fichero ASNEF aparece una operación dada de alta, con fecha 12/1/2012, por una deuda de 150,38 €, a nombre de A.A.A., y domicilio en (C/.............1)– VALENCIA, apareciendo como entidad informante TTI. (folios 1 al 4) SEGUNDO: En fecha 28 de febrero de 2013, VODAFONE y TTI suscribieron un contrato de venta de cartera de créditos, en cuyo marco se acordó que el responsable de informar la cesión de la deuda al afectado era el comprador de la misma. Entre los créditos vendidos se encontraba una deuda de 150 € a nombre del denunciante. (folios 13 al 15). TERCERO: En los sistemas de VODAFONE constan los datos del denunciante como titular de la cuenta de nº ***CTA.1, a la que se encontraba vinculada una línea ***TEL.1 con alta de fecha 20/08/2010 y baja de fecha 04/4/2011. (folio 15). En dichos sistemas también figura como impagada la factura emitida a nombre del denunciante, con fecha 26 de septiembre de 2010, por importe de 150,38 €, correspondientes al servicio de la línea ***TEL.1 (folios 26 a 28) CUARTO: VODAFONE ha reconocido que no ha localizado la grabación que acredite la existencia de la mencionada relación contractual con el denunciante (folio 71) QUINTO: SEXTO: En la cartera cedida por VODAFONE a TTI se encontraba la deuda de 150,38 €, asociada a la cuenta de instalación nº ***CTA.1, a la que se encuentra vinculada la línea ***TEL.1. (folio 15) SÉPTIMO: Con fecha 10 de abril de 2013 TTI envío escrito de comunicación de compra de la deuda al denunciante, si bien dirigida al domicilio de Valencia que figuraba en los sistemas de VODAFONE. (folios 58 y 113) OCTAVO: VODAFONE ha indicado que recompró la deuda a TTI con fecha 30 de mayo de 2014. (folio 113) NOVENO: VODAFONE manifiesta que, dadas las circunstancias previstas en este caso, la deuda del denunciante no debería haberse vendido a TTI tal y como ocurrió, en tanto que no disponía de la grabación que acreditara la existencia de la relación contractual entre las partes, de tal manera que VODAFONE no gestionó el caso correctamente. Reconoce su responsabilidad y solicita que se aplique lo establecido en el artículo 45.5.
  8. d)de la LOPD. (folio 71). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  9. g)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido los hechos imputados, se procede a resolver el procedimiento iniciado. III Se imputa a VODAFONE la infracción del artículo 11 de la LOPD que establece lo siguiente: "1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cadente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso: a)Cuando la cesión está autorizada en una Ley. b)Cuando se trate de datos recogidos de fuentes accesibles al público. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3.Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4.El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 5.Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6.Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores." Así, el artículo 11.1 de la LOPD exige el consentimiento del afectado, o bien, habilitación legal (artículo 11.2.
  10. a)de la LOPD) para la cesión de datos de carácter personal. Por su parte, el artículo 6, apartados 1 y 2, de la Ley Orgánica 15/1999, relativo al “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. A su vez, el artículo 12.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento para el Desarrollo de la LOPD, establece que “Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de los mismos. De acuerdo con las disposiciones transcritas, el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, para la finalidad convenida, exigencia de la que se dispensa al responsable del tratamiento, - entre otros supuestos previstos en la Ley Orgánica 15/1999 -, cuando el tratamiento en cuestión se refiera a un contrato suscrito entre las partes y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). IV En este supuesto, a la hora de valorar si el tratamiento de los datos del denunciante se ha efectuado de conformidad con la normativa de protección de datos, resulta esencial tener en cuenta las manifestaciones de VODAFONE reconociendo no disponer de la grabación que acreditaría la existencia de la relación contractual entre las partes con motivo del servicio de telefonía móvil ***TEL.1. No hay que olvidar que la carga de acreditar la existencia del consentimiento “inequívoco” del afectado corresponde al responsable del tratamiento, debiendo arbitrarse por éste los medios necesarios para que no quepa ninguna duda de que, efectivamente, tal consentimiento ha sido prestado. En este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. A mayor abundamiento, la Audiencia Nacional en su Sentencia de fecha 3 de junio de 2014, Rec. nº 133/2013, señalaba: “Por otro lado, la carga de acreditar la existencia del “Consentimiento inequívoco” a que hace referencia el artículo 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (SANA de 8 de noviembre 2012, Rec. 789/2010).”, negativa que se ha producido en este caso en el que el denunciante ha negado mantener relación contractual con la citada compañía. Por lo tanto, VODAFONE no ha probado que recabó y obtuvo del afectado su consentimiento inequívoco para tratar sus datos personales en el marco de la relación contractual en virtud de la cual, supuestamente, se dio de alta dicha línea telefónica en sus sistemas, dando lugar a la emisión a su nombre de una facturación por un servicio no solicitado ni prestado al mismo, que generó, ante su impago, una deuda de 150,38 €, la cual se vendió con posterioridad a TTI con la correspondiente cesión inconsentida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 de los datos personales del denunciante a dicho tercero. Hay que indicar, por otro lado, que la responsabilidad que se exige a la imputada no es una responsabilidad objetiva, porque como ella conoce bien, lo esencial es haber acreditado que actuó con la diligencia que corresponde a quien como ella, por razón de la actividad que desarrolla, se ve obligada a tratar continuamente datos personales. Por la misma razón, como también conoce, no se exige por la Agencia ninguna responsabilidad a las entidades que son –además del titular de los datos- víctimas de un fraude cuando han actuado diligentemente, con independencia de que exista finalmente una suplantación de personalidad del titular de los datos tratados, pero siempre que se acredite que la responsable del fichero adoptó las medidas encaminadas a asegurarse de que quien prestó el consentimiento era el verdadero titular de los datos que le fueron facilitados. Sin embargo, en este supuesto el tratamiento inconsentido de los datos personales del afectado tanto en el momento en que incorporó sus datos en sus sistemas, como cuando los cedió a TTI en el marco del contrato de cesión de créditos, se ha producido sin que VODAFONE haya acreditado que hubiera adoptado las medidas a las que le obliga la diligencia mínima que debe observar respecto del tratamiento de los datos personales utilizados en el desarrollo de su actividad. Es esta falta de diligencia es lo que hace recaer sobre la denunciada la responsabilidad por los hechos objeto de imputación. Junto a lo ya expuesto, que ya prueba la comunicación de los datos de carácter personal del denunciante a un tercero sin contar con su consentimiento previo, si se naliza la normativa aplicada por la entidad ahora imputada (cedente) para llevar a cabo la comunicación de dicha cesión mediante una venta onerosa de los datos de carácter personal relativos a un supuesto cliente deudor a una tercera entidad (cesionaria), se observa que tal negocio se encuentra recogido, en el ámbito puramente mercantil, en el vigente Código de Comercio, Título VI, de la compraventa y permuta mercantiles y de la transferencia de créditos no endosables, Sección Tercera, art. 347 y 348. En concreto, dichos artículos disponen lo siguiente: “Artículo 347 Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste. Artículo 348 El cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión; pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare”. Del encuadre sistemático de los citados artículos en la norma y del propio tenor literal de los mismos, se infiere, para su aplicación en un negocio de esta índole, que se cumplan los siguientes requisitos: 1.- Necesidad de la existencia de un crédito de las características indicadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 2.- Existencia de un acreedor (cedente) 3.- Existencia del correspondiente cesionario, 4.- Existencia de una deuda por el titular del dato cedido. Es decir, se cumpla la condición de deudor. 5.- Comunicación o notificación para que quede obligado con el nuevo acreedor. Si se cumplen los requisitos indicados en la norma, será posible, por propia habilitación legal, llevar a cabo la transferencia a la que hace referencia la norma, desplegando los efectos indicados en la misma. En caso contrario, es decir, ante la falta de uno de los requisitos exigibles en la citada norma, tal transferencia de créditos mercantiles no endosables ni al portador, como es la transferencia de crédito ahora imputada, puede infringir la causa legitimadora de la cesión a efectos de protección de datos. En el presente caso, a la vista de lo razonado ha quedado probado que el denunciante no era deudor del crédito cedido a un tercero, a lo que hay que añadir que no hay constancia de la efectiva inclusión en el Servicio de Correos por TDX, tercero encargado del tratamiento a cuenta de TTI, del envío de la notificación de fecha 10 de abril de 2013 en la que se comunicaba al afectado la cesión de la deuda y se requería su pago, habida cuenta que no coincide el rango de generación e impresión de notificaciones y de puesta a disposición del Servicio de Correos del certificado de BB DATA PAPER aportado por TDX con la referencia NT ******** asignada al identificador del denunciante, no constando tampoco documentación del Servicio de Correos relativa al control de devolución del envío correspondiente a dicha notificación. Por lo que, al no producirse dos de los requisitos anteriormente reseñados, tampoco resulta de aplicación la habilitación legal derivada de los preceptos del Código de Comercio que hubiera eximido del consentimiento del titular de los datos, conforme lo contemplado en el artículo 11.2.
  11. a)de la LOPD. Es decir, la cesión de datos asociada a la venta del crédito hubiera debido realizarse mediando el consentimiento del interesado, circunstancia que no se ha producido. De este modo, consta acreditado que con fecha 28 de febrero de 2013 VODAFONE cedió a TTI los datos personales del denunciante en relación con una deuda de la que no era titular, lo que sumado a que no se ha probado el envío de la notificación de dicha cesión de crédito al supuesto deudor, permite afirmar que la reseñada cesión se llevó a cabo sin contar con el consentimiento del afectado para ello ni mediar legitimación para efectuar tal comunicación de datos. En estas circunstancias VODAFONE ha reconocido ante esta Agencia “que no ha sido posible a la entidad localizar el contrato que demuestra el consentimiento y la efectiva contratación del servicio por parte del Sr. A.A.A.…”. V La infracción de lo dispuesto en el artículo 11 de la LOPD se encuentra tipificada como grave en el artículo 44.3.
  12. k)de la misma norma, que considera como tal “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. En el presente caso VODAFONE ha reconocido voluntariamente su responsabilidad en la comisión de una infracción del artículo 11.1 en relación con el 6.1 de la LOPD, calificada como grave en el artículo 44.3.
  13. k)de dicha norma. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 1. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)El volumen de negocio o actividad del infractor.
  18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» A los efectos de la cuantía de la sanción, habida cuenta que VODAFONE ha reconocido su culpabilidad conforme a lo dispuesto en el apartado
  29. d)del artículo 45.5 de la LOPD, procede imponer una multa cuyo importe se encuentre entre la escala de 900 € y 40.000 € recogida en el artículo 45.1 de la LOPD, al tener la infracción imputada la consideración de infracción grave, pero deber sancionarse con el importe de las multas correspondientes a las infracciones leves. En el presente caso, considerando los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD, se estima que operan como agravantes las siguientes circunstancias: la especial vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal al ser una empresa habituada al tratamiento de este tipo de datos, el volumen de negocio de la imputada por ser una de las principales operadoras de telefonía del país y la reincidencia por la comisión de infracciones de igual naturaleza (R/01750/2014, r/02182/2014, entre otras) . Asimismo, se valora que operan como atenuantes las siguientes circunstancias: la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción, la falta de intencionalidad, como evidencia el hecho de que cuando VODAFONE conoció la irregularidad con fecha 10/04/2014 a raíz de la inspección efectuada por esta Agencia en sus instalaciones procedió a recomprar la deuda con fecha 30/05/2014 y la ausencia acreditada de perjuicios causados al denunciante, se impone una multa de 15.000 € por la infracción del artículo 11.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A.U., por una infracción del artículo 11.1 en relación con el 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  30. k)de dicha norma, una multa de 15.000 € (Quince mil euros) de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. y a Don A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.