PS-00664-2013

1/13 Procedimiento Nº PS/00664/2013 RESOLUCIÓN: R/00951/2014 En el procedimiento sancionador PS/00664/2013, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A.., vista la denuncia presentada por Don D.D.D. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 4 de diciembre de 2012 tiene entrada en esta Agencia un escrito de Don D.D.D. (en lo sucesivo el denunciante) manifestando que: <<En la tarde del 27/11/2012 a través de mi espacio personal en la web www.vodafone.es pude acceder a descargar la factura de otro cliente.>> Adjunto a la denuncia contra VODAFONE ESPAÑA, S.A.U. (en lo sucesivo VODAFONE) se aporta copia de la siguiente documentación: Impresión del área de clientes del denunciante, en el que consta una consulta al número de cuenta de VODAFONE, y tres facturas emitidas por VODAFONE a nombre de un tercero. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia, se tiene conocimiento de los siguientes extremos: 1. De la documentación aportada por el denunciante se desprende que: a. Se trata impresiones de pantalla relativas a accesos realizados con el usuario asignado al denunciante a la web www.vodafone.es. A través de dicho usuario se le da acceso a las cuentas VODAFONE números Y.Y.Y., S.S.S., Q.Q.Q. y R.R.R.. b. Entre los periodos de facturación que muestran las impresiones de pantalla aportadas, el más avanzado corresponde al que finaliza en fecha 07/11/2012. c. En una de las impresiones de pantalla se muestra que el denunciante se ha descargado un fichero denominado N.N.N..pdf. d. El denunciante presenta impresión de las siguientes facturas que asegura haberse descargado de la web de VODAFONE: Nº de Factura Cuenta Fecha de emisión O.O.O. S.S.S. 01/11/2012 H.H.H. Q.Q.Q. 01/11/2012 N.N.N. R.R.R.08/11/2012 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 Todas ellas aparecen a nombre una tercera persona, del que consta también su dirección, NIF así como consumos y datos de tráfico (teléfono llamante, teléfono llamado, fecha, hora y duración de las llamadas). Se observa coincidencia entre el número de la última factura con el nombre del fichero descargado. 2. En fecha 18/11/2013 se realizó una visita de inspección a VODAFONE en la que los inspectores de la Agencia solicitaron que les permita el acceso a los sistemas de la entidad, donde se realizan las siguientes comprobaciones: a. Se realiza una consulta respecto de las cuentas asociadas al cliente con NIF X.X.X., comprobándose que dicho dato está asociado a Don A.A.A. con cuentas Y.Y.Y., S.S.S., Q.Q.Q. y R.R.R.. Se obtiene impresión de las facturas siguientes: Nº de Factura Cuenta Fecha de emisión O.O.O. S.S.S. 01/11/2012 H.H.H. Q.Q.Q. 01/11/2012 N.N.N. R.R.R.08/11/2012 Se observa que dichas facturas coinciden con las aportadas por el denunciante, salvo que las aportadas por el denunciante son las facturas detalladas. En la clasificación realizada del cliente se señala que es Empresa, con IAE, lo que sería indicativo de que se trata de un autónomo. b. Se realiza una consulta respecto al cliente con NIF V.V.V., comprobándose que está asociado a los datos del denunciante, quien tiene asociadas las cuentas Z.Z.Z. y T.T.T.. c. Se verifica que entre los contactos registrados a nombre del denunciante figura una incidencia de fecha 27/11/2012 con la siguiente anotación: <<Cliente con DNI V.V.V. manifiesta que cuando accede a la web de VODAFONE, en autónomos, poniendo su DNI y clave correspondiente no solo tiene acceso a sus líneas y facturas sino que ade>> Consultado el histórico de casos asociados al NIF del denunciante, se observa que no consta ningún registro relativo a la incidencia reportada por el denunciante. d. Consultado el histórico de casos asociados al NIF X.X.X. asociado a Don A.A.A., se observa que no consta ningún caso asociado a la incidencia reportada por el denunciante. TERCERO: Con fecha 2 de diciembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE ESPAÑA, S.A.U., por presunta infracción del artículo10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 CUARTO: Notificado el acuerdo de inicio, la representación de VODAFONE presentó escrito de alegaciones registrado con fecha 20 de diciembre de 2013, en el que solicita el archivo del expediente con fundamento, sustancialmente, en los siguientes argumentos: - Inexistencia de falta o infracción alguna, ya que no sólo ha de verificarse el incumplimiento del deber de secreto profesional respecto de los datos de carácter personal, sino que resulta necesario que se cumplan todos los elementos del tipo, sin que en este caso concurra el elemento subjetivo de culpabilidad. Se afirma la inexistencia de culpabilidad en su conducta, habiendo actuado en todo momento con la diligencia debida adoptando las cautelas necesarias para el cumplimiento de las medidas de seguridad necesarias para la íntegra protección de los datos personales de sus clientes. De hecho, se alega que no se ha localizado ninguna vinculación entre el denunciante y el tercero en los sistemas de la entidad que configuran la información que luego se refleja en Mi Vodafone, siendo correctas tanto las cuentas como los datos personales de ambos, al igual que tampoco se ha detectado que en esas fechas hubiese alguna incidencia en la herramienta Mi Vodafone. Se defiende que el acceso puntual del denunciante a las cuentas de cliente de un tercero se debió a un fallo técnico puntual y momentáneo de la aplicación Mi Vodafone al devolver los resultados de la consulta, el cual no afectaba a los sistemas de Vodafone en los que se almacenan los datos de los clientes, pues se ha constatado que todas las cuentas de cliente y los datos personales de ambos eran correctos sin que hubiera ninguna asociación por DNI, cuenta de cliente, línea de servicio o DNI. Como prueba de lo expuesto se indica que el contacto mantenido por el denunciante con VODAFONE el 27/11/2012 no generó ninguna incidencia de seguridad o problema técnico al encontrarse todo correcto por el agente que lo atendió . - Subsidiariamente, se solicita la aplicación del artículo 45.5 de la LOPD graduando la sanción dentro de la escala de las infracciones leves por concurrir los criterios
2. a)y
3. b)de dicho apartado, haciendo especial hincapié, por un lado, en el hecho de que se ha tratado de un error puntual que no ha afectado a los sistemas de Vodafone que mantenían una información correcta y, por otro lado, en el mantenimiento de una conducta diligente a la hora de solucionar la incidencia. Adicionalmente, se solicita la fijación de la multa en su grado mínimo en aplicación de lo previsto en artículo 45.4 de la LOPD al cumplirse todos los supuestos para rebajar la cuantía de la sanción. QUINTO: Con fecha 8 de enero de 2014, se acordó por la Instructora del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante VODAFONE y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00609/2013, las alegaciones al acuerdo de inicio PS/00664/2013 presentadas por la entidad imputada y la documentación que a ellas acompaña. Asimismo, con esa misma fecha se acordó solicitar a VODAFONE la siguiente información: 1) Líneas asociadas a las cuentas Vodafone Z.Z.Z. y T.T.T..; 2) Remisión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 de copia íntegra de todas las facturas emitidas al denunciante por la totalidad las líneas registradas a su nombre en los meses de octubre y noviembre de 2012; 3) Remisión de copia de la información obrante en sus sistemas conteniendo el registro de los accesos efectuados por el denunciante a su perfil en la web www.vodafone.es de los meses de octubre y noviembre de 2012. También, con esa misma fecha, se acordó solicitar al denunciante remisión de la siguiente documentación: 1) copia íntegra de todas las facturas de VODAFONE correspondientes a la totalidad las líneas registradas a su nombre en los meses de octubre y noviembre de 2012; copia de los archivos originales en PDF de las facturas adjuntadas a la denuncia a nombre de Don A.A.A. a las que tuvo acceso a través de su perfil en www.vodafone.es . Con fecha 24 de enero de 2014 VODAFONE contesto las pruebas requeridas señalando: 1) Que el denunciante únicamente es titular de la cuenta de Cliente nº T.T.T. con la línea U.U.U.; 2) se aporta impresión de las facturas solicitadas de los meses de octubre y noviembre de 2012 emitidas al denunciante, aunque se indica que no ha podido ser posible localizar la información relativa a los accesos efectuados por el denunciante a su perfil web en dicho período. Con fecha 14 de febrero de 2014 el denunciante aportó copia de la siguiente documentación: - Facturas números L.L.L. y H.H.H. emitidas con fecha 01/11/2012 y factura nº N.N.N. emitida con fecha 08/11/2012. Todas ellas dirigidas a Don A.A.A., constando como domicilio en las dos primeras la c/ E.E.E. de (Vizcaya). Mientras que en la tercera figura como domicilio la c/ G.G.G. de (Vizcaya). - Facturas números P.P.P. y M.M.M. emitidas con fechas 22/10/2012 y 22/11/2012, respectivamente. Ambas dirigidas a nombre del denunciante al domicilio c/ C.C.C. , ***CP.1 de Huelva. SEXTO: Con fecha 9 de abril de 2014 se formuló propuesta de resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a VODAFONE ESPAÑA, S.A.U. con multa de 20.000 € (veinte mil euros) por la infracción del artículo 10 de la LOPD, tipificada como infracción grave en el artículo 44.3.
4. d)de dicha norma. SÉPTIMO: Con fecha 6 de mayo de 2014 se registra de entrada escrito de alegaciones de VODAFONE, en el que la representación de dicha entidad se reitera en que el acceso del denunciante tanto a sus datos personales y cuentas de cliente como a las cuentas de un tercero, en noviembre de 2012, se debió a un fallo técnico puntual de la propia aplicación durante algún desarrollo o actualización de los servicios, toda vez que en las comprobaciones efectuadas no se han detectado datos erróneos ni la existencia de datos vinculados entre ambos clientes. Asimismo, pone de manifiesto su conformidad con la valoración efectuada en la propuesta de resolución para aplicar los apartados 4 y 5 de la LOPD al objeto de graduar la cuantía de la sanción a aplicar en 20.000 €. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 PRIMERO: Con fecha 4 de diciembre de 2012 se recibe en el registro de la Agencia Española de Protección de Datos escrito de Don D.D.D. (en adelante el denunciante), con DNI V.V.V., poniendo de manifiesto que en la tarde del 27 de noviembre de 2012 accedió a la facturación de una tercera persona a través de la web www.vodafone.es del operador VODAFONE, del que es cliente. (folios 1 al24) SEGUNDO: El denunciante adjunta a la denuncia la siguiente documentación: - Impresiones de pantalla obtenidas mediante acceso efectuado vía Internet al área de clientes del sitio web www.vodafone.es utilizando su clave de usuario. Estas impresiones muestran como a través del DNI del denunciante se puede acceder a la facturación de los números de cuenta Vodafone Y.Y.Y., S.S.S., Q.Q.Q. y R.R.R. de un determinado período. (folios 2 y 3) En una de las impresiones se refleja información correspondiente a la factura nº L.L.L., del período comprendido entre el 01/10/2012 y el 31/10/2012, por un importe total a pagar de 99,89 € correspondiente a la cuenta S.S.S., incluyendo también el importe pendiente de facturas anteriores por valor de 262,60 €. (folio 2) En otra de las impresiones se refleja información correspondiente a la factura nº N.N.N., del período comprendido entre el 08/10/2012 y el 07/11/2012, por un importe total a pagar de 78,94 € correspondiente a la cuenta R.R.R. , incluyendo también el importe pendiente de facturas anteriores por valor de 565,53 €. (folio 3) Impresión de las siguientes facturas emitidas a nombre de Don A.A.A., en adelante el tercero, en el período de facturación comprendido entre el 19/10/2012 al 31/10/2012: (folios 4 al 23) Nº de Factura Cuenta Vodafone Fecha de emisión O.O.O. S.S.S. 01/11/2012 por importe total de 99,89 €, periodo de facturación 01/10/2012 al 31/10/2012 H.H.H. Q.Q.Q. 01/11/2012 por importe total de 111,39 €, periodo de facturación 19/10/2012 al 31/10/2012 N.N.N. R.R.R.08/11/2012 por importe total de 78,94 €, periodo de facturación 08/10/2012 al 07/11/2012 Las tres facturas incluyen los datos personales del tercero anteriormente citado, incluyendo su NIF nº X.X.X., dirección, datos bancarios, consumos y datos de tráfico de las líneas K.K.K., J.J.J. y I.I.I. asociadas a las cuentas Vodafone (teléfono llamante, teléfono llamado, fecha, hora y duración de las llamadas). En la primera factura de las reseñadas figura como domicilio la c/ E.E.E. de (Vizcaya), mientras que en las otras dos facturas consta como domicilio la c/ F.F.F. de (Vicaya). TERCERO: VODAFONE ha girado las siguientes facturas a nombre del denunciante entre el 22 de septiembre y el 21 de noviembre de 2012: (folios 72 al 81) Nº de Factura Cuenta Vodafone C/ Jorge Juan, 6 28001 – Madrid Fecha de emisión www.agpd.es sedeagpd.gob.es 6/13 P.P.P. T.T.T. 22/10/2012 por importe total de 55,45 €, periodo de facturación 22/09/2012 al 21/10/2012 M.M.M. T.T.T. 22/11/2012 por importe total de 24,38 €, periodo de facturación 22/10/2012 al 21/11/2012. En ambas facturas consta como domicilio del denunciante la c/ C.C.C., ***CP.1 de Huelva, que es la que consta en la denuncia. CUARTO: En los sistemas de información de VODAFONE los datos del denunciante aparecen asociados al DNI V.V.V. como titular de la cuenta T.T.T. asociada a la línea U.U.U. y de la cuenta Z.Z.Z.. (folios 27, 32,33, 69, 70) QUINTO: En los sistemas de información de VODAFONE los datos de Don A.A.A. aparecen asociados al NIF nº X.X.X., como titular de las cuentas números Y.Y.Y., S.S.S., Q.Q.Q. y R.R.R. . (folios 26, 28) SEXTO: En el sistema de contactos de VODAFONE consta una anotación de fecha 27 de noviembre de 2012 con la siguiente anotación: <<Cliente con DNI V.V.V. manifiesta que cuando accede a la web de VODAFONE, en autónomos, poniendo su DNI y clave correspondiente no solo tiene acceso a sus líneas y facturas sino que ade>>. (folios 27, 34 al 36) SÉPTIMO: Con motivo de la inspección practicada con fecha 18 de noviembre de 2013 en las instalaciones de VODAFONE los inspectores actuantes de la AEPD obtienen impresión de las facturas números L.L.L., H.H.H. N.N.N. emitidas a nombre de Don A.A.A., constatándose que coinciden con las aportadas por el denunciante en su escrito de denuncia. (folios 4, 11, 19, 26, 29, 30, 31) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II En el presente expediente se imputa a VODAFONE la comisión de la infracción del artículo 10 de la LOPD, como consecuencia de la revelación de datos personales de sus clientes contenidos en sus ficheros. El artículo 10 de la LOPD, relativo al “Deber de secreto”, dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Dicho precepto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 datos no consentidas por sus titulares. Resulta significativa a los efectos de la infracción que ahora nos ocupa , la Sentencia del Tribunal Superior de Justicia de Madrid de 19 de julio de 2001, en la que se afirma que “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En el mismo sentido se ha pronunciado la Audiencia Nacional, que en Sentencias de 14 de septiembre de 2001 y 29 de septiembre de 2004 ha afirmado que “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. El Tribunal Constitucional en STC 292/2000 considera que el artículo 10 de la LOPD contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>>. Igualmente, este mismo Tribunal entiende que se trata de un derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>>, que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente asunto ha quedado acreditado que el denunciante, cliente de VODAFONE, utilizando su DNI y clave de usuario al área de clientes del sitio web www.vodafone.es, accedió el 27 de noviembre de 2012 a los datos personales utilizados por VODAFONE en la generación de la facturación correspondiente a distintas cuentas Vodafone titularidad de un tercero también cliente de dicha entidad, en concreto de Don A.A.A.. De esta forma, el denunciante conoció una serie de datos de carácter personal relativos a dicha persona que figuraban en los ficheros de VODAFONE, y que esta empresa utiliza para la facturación de sus servicios de telefonía, tales como su nombre y apellidos, NIF, domicilios de facturación, cuentas Vodafone y líneas de teléfono móvil asociadas a las mismas, datos bancarios, y contenido íntegro e importe total de tres facturas emitidas en noviembre de 2011 a nombre de este tercero. La conducta antijurídica, la revelación por parte de VODAFONE de los datos personales de Don A.A.A. al denunciante al permitirle el acceso a los mismos a través de Internet, ha quedado plenamente probada en el expediente mediante la aportación por el denunciante de las impresiones de la información visualizada al acceder al citado sito web y de las tres facturas completas emitidas por dicho operador a nombre del tercero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 En consecuencia, habida cuenta de que es responsabilidad de VODAFONE la custodia de los datos que se incorporan a sus ficheros, y dado que ha quedado acreditado que los datos de Don A.A.A. fueron efectivamente conocidos por una tercera persona (el denunciante), en tanto que VODADONE posibilitó el acceso a datos personales de su cliente sin su consentimiento, se concluye que dicha entidad vulneró el deber de secreto contemplado en el artículo 10 de la LOPD. III Constando que VODAFONE realizó la acción típica – infracción del deber de secreto de los datos incorporados a sus ficheros–, se debe verificar si concurre el elemento subjetivo de la culpabilidad, cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. El Tribunal Constitucional en STC 76/1999 afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC proclama el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. En ese sentido la Audiencia Nacional, Sentencia de 17 de octubre de 2007 (Rec. 63/2006), expone que “....el ilícito administrativo previsto en el artículo 44.3.
6. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la Sentencia anteriormente citada la Audiencia Nacional precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Trasladando las consideraciones precedentes al supuesto que analizamos se verifica que, en este caso, el elemento subjetivo de la culpabilidad se concreta en la grave falta de diligencia demostrada por VODAFONE en el tratamiento de los datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 su cliente Don A.A.A., con ocasión del desarrollo de su actividad empresarial. VODAFONE afirma que en este supuesto no concurre el elemento subjetivo de culpabilidad, ya que los accesos denunciados responden a un fallo técnico puntual y aislado de la herramienta Mi Vodafone, motivo por el que no ha existido intencionalidad alguna en lo ocurrido y, por tanto, no resulta de aplicación el tipo infractor en cuestión al no concurrir el componente necesario de culpabilidad por parte de VODAFONE para ser merecedora de una sanción, entidad que ha actuado en todo momento con la diligencia debida. No obstante lo alegado, esta Agencia considera que la infracción imputada de vulneración del deber de secreto se encuentra plenamente acreditada en el expediente. Y es que a estos efectos, resulta irrelevante que los inspectores de la AEPD constataran el día 18 de noviembre de 2013 en los ficheros de la sede de la entidad que los datos del denunciante y del tercero, a cuya facturación accedió el primero vía Internet, fueran correctos y exactos. Así, el hecho de que en dicha fecha no se detectara ningún tipo de vinculación entre ambos clientes como la que ha originado el presenta procedimiento sancionador no es óbice para que el denunciante accediera en noviembre de 2012 a dichos datos de carácter personal de un tercero. Como se ha acreditado en el expediente dicha persona era, cliente de VODAFONE y el denunciante, también cliente de la operadora tuvo acceso a través de la página web de la misma, a los datos personales de este último por una causa que no ha sido aclarada por VODAFONE, que se ha limitado a indicar que se trataba de un error técnico puntual y aislado sin precisar la naturaleza del mismo, a pesar de que propició que las cuentas y datos del tercero se asociaran erróneamente al DNI del denunciante. Sin embargo, en respuesta a este alegato debemos recordar que cuando el error es muestra de falta de diligencia el tipo es aplicable. La Audiencia Nacional en Sentencia de 21 de septiembre de 2004 (RCA 937/2003), se pronuncia en los siguientes términos: “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
7. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” (el subrayado es de la AEPD). A mayor abundamiento, la Audiencia Nacional considera que la infracción tipificada en el artículo 44.3.
8. d)de la LOPD, (antes de la reforma operada por la LES, artículo 44.3.g de la LOPD) es una infracción de resultado, que exige, para que pueda apreciarse su comisión, que conste acreditado que alguna persona ha tenido conocimiento de los datos sobre los que existe un deber de guardar secreto. A este respecto, en STAN de 7 de mayo de 2009, la Audiencia Nacional declaró lo siguiente: "En el presente caso la Sala no aprecia que se haya producido la revelación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 secretos que se imputa a AAA, por varias razones: Por un lado, porque no ha resultado acreditado que los datos personales de D... respecto de los que hubiera deber de secreto profesional por parte de AAA, hayan sido revelados a persona alguna. La infracción tipificada en el art. 44.3.
9. g)es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional –como aquí ocurre en relación con el número de la cuenta corrientese hayan puesto de manifiesto a un tercero, sin que pueda presumirse que tal revelación se ha producido.” (El subrayado es de la AEPD) En este supuesto, a la vista de las pruebas practicadas y documentación obrante en el procedimiento, cabe afirmar que la conducta de VODAFONE ha sido contraria al precepto mencionado, puesto que los datos personales de Don A.A.A. se han visto afectados por la revelación de los mismos a otro cliente. Es decir, se pusieron de manifiesto a un tercero después de que éste (el denunciante) accediese a su propio perfil web de cliente de VODAFONE con su DNI y clave de usuario. Se recuerda que dicha empresa tenía respecto de tal información personal obrante en sus ficheros una obligación de custodia, la cual requiere el correcto funcionamiento de la herramienta a través de la cual se vuelcan los resultados de la información personal asociada a las consultas efectuadas por los clientes que utilizan el sitio web www.vodafone.es. IV La Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por su parte, el artículo 3
10. d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En consecuencia, VODAFONE, en su condición del responsable del fichero al que se incorporaron los datos personales de Don A.A.A. que fueron revelados al denunciante es responsable de la infracción del artículo 10 de la LOPD que se le imputa, tipificada como infracción grave en el artículo 44.3.
11. d)de dicha norma al establecer que “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. Teniendo en cuenta que es responsabilidad de VODAFONE la custodia de los datos que se incorporan a sus ficheros, y dado que de lo actuado resulta incuestionable que el denunciante tuvo perfecto conocimiento de datos personales de un tercero en noviembre de 2012, también cliente de esa compañía, se concluye que la citada entidad incurrió en la infracción del artículo 10 de la LOPD al vulnerar el deber de secreto que le era exigible. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 1. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 2. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
12. a)El carácter continuado de la infracción.
13. b)El volumen de los tratamientos efectuados.
14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
15. d)El volumen de negocio o actividad del infractor.
16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
17. f)El grado de intencionalidad.
18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias se dan en el presente caso, lo que permite apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5 de la LOPD, en concreto su apartado a), al apreciarse la concurrencia significativa de varios de los criterios recogidos en el apartado 4 de dicho artículo, debiendo hacerse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 especial hincapié en el hecho de que la revelación de datos personales de un tercero al denunciante por parte de VODAFONE se produjo de forma aislada y puntual como fruto de un único acceso a Mi Vodafone. De tal modo que los inspectores actuantes de esta Agencia pudieron constatar con posterioridad que en los ficheros de la entidad los datos personales registrados del denunciante y del citado tercero no presentaban ningún tipo de conexión y eran correctos. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 900 € y 40.001 €, al tener la infracción imputada la calificación de grave, pero sancionarse con las multas establecidas en el artículo 45.1 para las infracciones leves. No obstante, recordar que las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.5.a), en relación con el apartado 4 del mismo artículo, en particular, el carácter puntual y no continuado de la infracción, el volumen de negocio de la misma, la ausencia de beneficios obtenidos por VODAFONE como consecuencia de la comisión de la infracción, la falta de perjuicios para el denunciante y tercero, la ausencia de intencionalidad, se estima procedente imponer una multa de 20.000 € por la infracción del artículo 10 de la LOPD, tipificada como infracción grave en el artículo 44.3.
27. d)de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
28. d)de dicha norma, una multa de 20.000 € (Veinte mil euros), de conformidad con lo establecido en los apartados 1, 4 y 5 del artículo 45 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. y a Don D.D.D.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es