PS-00677-2014

1/8 Procedimiento Nº PS/00677/2014 RESOLUCIÓN: R/01367/2015 En el procedimiento sancionador PS/00677/2014, instruido por la Agencia Española de Protección de Datos a la entidad TELEFÓNICA MÓVILES ESPAÑA SAU, vista la denuncia presentada por B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 4/12/2013 tuvo entrada en esta Agencia una denuncia de B.B.B. en el que declara: “Que tras quedar impagada la factura C.C.C. de agosto de 2013 sobre el móvil D.D.D. con TME, el operador le remite escrito de fecha 14/11/2013 reclamando dicho pago y fijando un periodo de pago que concluye a fecha 26/11/2013. Que sin que haya vencido el periodo indicado en el requerimiento anterior, en fecha de 21/11/2013 recibe sendos escritos remitidos por EXPERIAN y ASNEF EQUIFAX, notificándole la inclusión de sus datos en los respectivos ficheros de morosidad BADEXCUG y ASNEF. La fecha de alta en el fichero BADEXCUG es a 20/11/2013 y en el fichero ASNEF a fecha 18/11/2013. Junto a su denuncia aporta los siguientes documentos:  Escrito de fecha 14/11/2013 remitido por MOVISTAR/ MOVIL reclamando el pago de la factura C.C.C. de agosto de 2013 sobre el móvil D.D.D., con importe de 229, 90 €, “periodo de pago” hasta el 26/11/2013.  Escrito de fecha 21/11/2013 remitido por EXPERIAN, notificándole la inclusión de sus datos en el fichero de morosidad BADEXCUG a fecha de 20/11/2013 por una deuda de 229,90 € con TME.  Escrito de fecha 21/11/2013 remitido por ASNEF EQUIFAX, notificándole la inclusión de sus datos en el fichero de morosidad ASNEF a fecha de 18/11/2013 por una deuda de 229,90 € con TME. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información A) EQUIFAX, responsable del fichero ASNEF el 24/10/2014 manifiesta momento no consta información respecto del denunciante. o que a ese Respecto del fichero de NOTIFICACIONES: Consta una notificación emitida a nombre de Dª. B.B.B., con fecha de emisión 21/11/2013, por un producto de TELECOMUNICACIONES, por un importe de 229,90 € y siendo la entidad informante TME. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 o Respecto del fichero de BAJAS: Consta una baja asociada a la notificación citada en el apartado anterior para una operación con fecha de alta y baja en ASNEF de 18/11/2013 - 17/12/2013 por importe de 229,90 €. B) EXPERIAN BUREAU DE CREDITO, SA informa el 29/10/2014 que a ese momento no consta información respecto del denunciante. o Respecto del fichero de NOTIFICACIONES: Consta una notificación enviada a Dª. B.B.B. como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad TME. La notificación fue emitida con fecha 21/11/2013, por deuda de 229,90 €. o Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. Consta una operación impagada informada por TME con fecha de alta de 20/11/2013 y fecha de baja de 18/12/2013. Mediante escrito con registro de salida de fecha 17/10/2014 se solicitó información a TME. Mediante correo electrónico 18/11/2014 le fue reiterada dicha solicitud que no fue contestada. TERCERO: Con fecha 2/12/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a A.A.A., por presunta infracción del artículo 4.3 la LOPD, tipificada como grave en el artículo 44.3.

1. c)de dicha norma. CUARTO: Notificado el acuerdo de inicio, A.A.A. mediante escrito de fecha 30/12/2012 formuló alegaciones, significando: 1) Que la denunciante adeudaba 222,90 euros en relación con la línea D.D.D. por una factura emitida el 1/08/2013. 2) Aporta copia de sus sistemas en los que se aprecia que la factura figura devuelta por no conforme el 13/11/2013, y el 14/11/2013 como “factura con aviso de pago emitido”. 3) Aporta copia de documentos emitidos por KEY SA (prestador de servicios de notificaciones) con el que tiene contratados los envíos de los requerimientos, certificando que el 15/11/2013 se puso en Correos como parte de un fichero, el requerimiento de pago, así como copia de Correos de que el fichero se entregó el 15/11/2013. 4) Manifiesta que la denunciante abonó la factura el 11/12/2013, así que como abonó la factura 15 días después, sus datos hubieran entrado en los ficheros de solvencia en cualquier caso. Aporta copia de sus sistemas en el que se aprecia en la pantalla COBROS 11/12/2013, sin que se visualice la cantidad. Sin embargo añade que tras recibir la reclamación presentada ante la Junta Arbitral de Consumo de Burgos, se confirma por la denunciada la compensación de la factura objeto de la denuncia. Aporta copia en la que en su respuesta a la Junta de 20/12/2013 informó que “hemos procedido a la anulación de la factura resultante de la rectificación de la factura de agosto emitida por un total de 4,60 euros.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 5) Manifiesta que ordenó la exclusión de ficheros el 13/12/2013, aportando copia de sus sistemas en los que consta dicho apunte con fechas notificación ficheros el 14 y el 15/11/2013. 6) Agrega que los datos incluidos en el fichero eran ciertos y veraces, respondiendo a una deuda cierta, veraz y exigible. El hecho de incluir antes del periodo otorgado para el pago no supone infracción alguna, aportando copia en tal sentido de la sentencia 28/10/2011 recurso 83/2011, de la Audiencia Nacional, sala de lo contencioso, añadiendo que el requerimiento de pago no tiene como finalidad dar un plazo para hacer efectivo el pago. QUINTO: Con fecha 13/04/2015, se emitió propuesta de resolución con el literal: “Que por el Director de la Agencia Española de Protección de Datos se sancione a A.A.A. con multa de 50.000 €, por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
2. c)de dicha norma.” HECHOS PROBADOS 1) La denunciante adeudaba a la denunciada la factura C.C.C. de agosto de 2013, de 229,90 euros, sobre la línea móvil D.D.D., y se acredita por la copia del documento de MOVISTAR MOVIL emitido el 14/11/2013, que en el apartado “período de pago” hacía constar “hasta el 26/11/2013”, cuando se acredita que la denunciante fue incluida en los ficheros EXPERIAN y ASNEF a instancia de la denunciada con fecha de alta 20 y 18/11/2013 respectivamente, y por la misma cantidad (1,4,5, 6, 57). 2) La denunciada acredita que puso en el servicio de correos la notificación del requerimiento previo de pago a la denunciante el 15/11/2013 (66 a 72). 3) Los datos de la denunciante han figurado incluidos en el fichero ASNEF según certifica su responsable a instancia de la denunciada por una cuantía de 222.90 euros, desde 18/11/2013 hasta 17/12/2013 (21, 25). 4) Los datos de la denunciante han figurado incluidos en el fichero BADEXCUG según certifica su responsable a instancia de la denunciada por una cuantía de 222.90 euros, desde 20/11/2013 hasta 18/12/2013 (30, 33 a 35). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Se imputa a TELEFONICA una infracción del artículo 4.3 en relación con el 29.4 de la LOPD. El artículo 4.3 de la citada Ley dispone lo siguiente: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Estos ficheros se caracterizan porque no necesitan del consentimiento del afectado para la obtención y tratamiento de sus datos, lo que supone una excepción a los principios rectores de la LOPD (entre ellos el del consentimiento del afectado en el tratamiento y cesión de sus datos de carácter personal). No obstante, frente a esta excepción, la propia norma articula una serie de contrapesos, como es su limitación a un caso concreto (cumplimiento o incumplimiento de obligaciones dinerarias) y la obligación de notificar a los afectados el hecho de que se han registrado sus datos de carácter personal. El artículo 38 del Reglamento de desarrollo de la LOPD, “Requisitos para la inclusión de datos” dispone lo siguiente: 1. “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
4. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
5. b)(…).
6. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. 2. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 que se refiere el artículo siguiente” Y el art. 39 del citado RLOPD, a su vez, dispone: "El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
7. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término prevenido para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias" . Es decir, para la inclusión de los datos en ficheros de información sobre solvencia patrimonial y crédito, se requiere que la deuda sea cierta (al inicio del apartado 1.
8. a)del art. 38, y que haya sido previamente requerida de pago. La exigencia de requerimiento previo de pago para proceder a la inclusión de los datos del acreedor moroso en los ficheros correspondientes, tiene como objeto que el "deudor" o la persona obligada, conozca la existencia de la deuda vencida y exigible y la posibilidad de ser incluido en un fichero de morosos en el supuesto de no hacerla efectiva, ya que como se ha dicho, no se necesita el consentimiento del afectado para su inclusión en esta clase de ficheros, tratando así de salvaguardar la veracidad y exactitud de los datos que se van a incluir en dichos ficheros. Es el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Además, aquél que utiliza un medio extraordinario de cobro, como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud del dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. Y ello dado que el no aplicar esta exigencia supondría utilizar este medio de presión sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en tales registros de solvencia patrimonial y crédito. Se observa analizando el requerimiento previo de pago, la fecha en que fue emitido, 15/11/2013, que dirigido y recibido por la denunciante, este otorgaba un plazo de pago hasta el día 26 del mismo mes, sin embargo, los datos de la denunciante se incluyen por orden de la denunciada, enviados con fecha 15/11/2013, apareciendo en los ficheros de alta el 18 y el 20 del citado mes. Es doctrina consolidada por la Audiencia Nacional, y de ello es muestra su sentencia de la Sala de lo Contencioso-Administrativo, Sección 1ª de 9/12/2013, recurso 50/2012, fundamento de derecho V que ello: “supone en la práctica la omisión del requisito del requerimiento previo de pago -al privar de toda eficacia el requerimiento-. A la misma conclusión llegó esta Sala en un supuesto semejante, en que la parte recurrente era la misma, en la Sentencia de 11/03/2013 (recurso nº. 688/2011 –“. Por tanto, se acredite la ineficacia del requerimiento previo de pago, derivándose la comisión de la infracción del artículo 4.3 de la LOPD por no ajustarse a lo previsto en el Reglamento de la LOPD que desarrolla las previsiones de la LOPD. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 El art. 44.3.
9. c)de la LOPD tipifica como infracción grave: "Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave" . IV Infracción del principio de calidad del dato que, por otra parte, es conforme con el principio de culpabilidad, por cuanto una actuación diligente de la denunciada habría exigido el tomar en consideración y respetar la fecha otorgada para su abono antes de enviar los datos a los ficheros de solvencia. La actuación no exhaustiva que supone la no comprobación de los plazos otorgados para el abono supone una actuación incompatible con el mínimo de prudencia que se debe exigir a estas empresas antes de anotar en los registros de morosidad incidencias. V El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
10. a)El carácter continuado de la infracción.
11. b)El volumen de los tratamientos efectuados.
12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
13. d)El volumen de negocio o actividad del infractor.
14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
15. f)El grado de intencionalidad.
16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Si bien la denunciada no ha solicitado la aplicación del artículo 45.5 de la LOPD, relacionado con el principio de proporcionalidad, la Sentencia de 21/01/2004 de la Audiencia Nacional dijo que dicho precepto “…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión <especialmente cualificada>) y concretos”. En el presente supuesto, las inclusiones de datos permanecieron solo un mes, de 18/11/2013 a 17/12/2013, y en cuanto se produjo el abono de la deuda, la denunciada dio de baja los datos de los ficheros en la siguiente actualización, circunstancias que permiten aplicar el artículo 45.5 de la LOPD. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD y, en especial, que la veracidad y exactitud de la deuda no estaban puestas en duda, y que la denunciada es una entidad con dedicación habitual al tratamiento de datos, siéndole exigible el conocimiento en la materia, se impone una sanción de 20.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad A.A.A., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
25. c)de dicha norma, una multa de 20.000 € de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a B.B.B.. TERCERO:CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES000000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es