1/19 Procedimiento Nº PS/00678/2013 RESOLUCIÓN: R/00875/2014 En el procedimiento sancionador PS/00678/2013, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A.U., vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 10 de enero de 2012 tiene entrada en esta Agencia un escrito de Don A.A.A., (en lo sucesivo el/la denunciante), en el que declara que VODAFONE ESPAÑA, S.A.U. (en lo sucesivo VODAFONE) le ha incluido en el fichero de solvencia patrimonial y crédito BADEXCUG a pesar de haber pagado la deuda reclamada antes de que venciera el plazo de un mes concedido para ello por la operadora en el requerimiento de pago que le fue enviado. 1. El denunciante aporta copia de la siguiente documentación: - Requerimiento de pago de fecha 10/12/2011 en el que VODAFONE concede al denunciante un mes para el abono del saldo pendiente de pago de 201,84 €, transcurrido el cual se solicitaría la inclusión de sus datos en los ficheros de solvencia patrimonial y crédito. El denunciante señala que recibió dicho documento el 15/12/2011. - Impresión de una consulta según la cual el denunciante ha realizado en fecha 16/12/2011 desde CatalunyaCaixa una transferencia por importe de 201,84 € a favor de VODAFONE. - Comunicación bancaria de la realización de la operación aludida en el punto anterior, así como reporte de fax de fecha 20/12/2011 según el cual habría sido enviada dicha comunicación. - - Requerimiento de pago de fecha 17/12/2011 de una deuda por importe de 201,84 € remitido al denunciante por parte GSS Leading Customer Services en nombre de VODAFONE. Escrito de fecha 20/12/2011 por el que se comunica al denunciante su inclusión en el fichero BADEXCUG en fecha 18/12/2011 por una deuda de 201,84 € a instancias de VODAFONE. SEGUNDO: Con fecha 27/04/2012 se comunica al denunciante el inicio de actuaciones previas de inspección con referencia C.C.C., procediéndose por los Servicios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 Inspección de esta Agencia, a la vista de los hechos denunciados, a solicitar información a VODAFONE y a EXPERIAN BUREAU DE CRÉDITO S.A. relativa a los hechos denunciados. A) De la información facilitada por VODAFONE con fecha 27 de junio de 2012 se desprende que: - Respecto a las causas que han motivado la inclusión de los datos personales del afectado en el fichero de morosidad, a pesar del pago efectuado por el denunciante, la entidad manifiesta que :<<… el motivo que originó la inclusión de los datos del Sr. A.A.A. en el fichero de solvencia patrimonial y crédito Badexcug es la existencia de una deuda que tenía pendiente el Sr. A.A.A. con Vodafone por importe de 210,84€, relativa a las facturas impagadas de los meses de Agosto y Septiembre de 2011, cantidad adeudada en relación con un servicio contratado por el mismo. >> - Respecto a la petición de toda la documentación que pueda acreditar las informaciones de deuda comunicadas al fichero, así como relación y copia de las facturas pendientes de pago que se han comunicado a la entidad responsable del fichero de solvencia patrimonial, la entidad manifiesta que: <<… Vodafone comunica semanalmente un fichero actualizado con los datos de las personas que tienen deuda pendiente con Vodafone y, tras las comunicaciones previas establecidas como establece la normativa en protección de datos, se incluyen en dicho fichero para luego remitirlo al fichero de solvencia patrimonial y de crédito. A este respecto indicar que dicho fichero varía semanalmente, por lo que no se tiene registrado en sistemas cada uno de los envíos que se remiten a la semana al fichero de solvencia patrimonial.>> - Se aporta copia de las facturas que generaron la deuda, respecto de las que manifiesta que: <<la cual fue finalmente cancelada por mi representada, por lo que actualmente el Sr. A.A.A. no tiene facturas pendientes de pago.>> - Respecto a los motivos por los que, en su caso, se ha solicitado la exclusión de los datos del afectado del citado fichero así como la fecha de baja, la entidad manifiesta que: <<… que el día 19 de diciembre de 2011, esta parte procedió a excluir los datos del Sr. A.A.A. del fichero de solvencia patrimonial y de crédito Badexcug, por haber procedido éste al pago en el mismo momento, y por lo tanto quedando la deuda cancelada.>> B) De la información facilitada por EXPERIAN BUREAU DE CRÉDITO S.A. mediante correo electrónico de fecha 07/12/2011 se desprende que la deuda informada por VODAFONE el 18/12/2011 asociada a los datos del denunciante fue dada de baja con fecha 25/12/2011. TERCERO: Con fecha 21 de febrero de 2013 el Director de la Agencia Española de Protección de Datos acuerda proceder al archivo por caducidad de las actuaciones de inspección de referencia C.C.C. y requiere a la Inspección de Datos para que con objeto de dar respuesta a la reclamación presentada, inicie las actuaciones previas de inspección con referencia E/00742/2013. En el informe de actuaciones previas de inspección E/00742/2013 se hacen constar las siguientes conclusiones: - C/ Jorge Juan, 6 28001 – Madrid El denunciante recibe un requerimiento previo de pago de VODAFONE de fecha 10/12/2011 concediéndole el plazo de un mes antes de la www.agpd.es sedeagpd.gob.es 3/19 comunicación de sus datos a ficheros de solvencia. - La deuda fue pagada el 16/12/2011, seis días después de la recepción del citado requerimiento previo de pago. - Con fecha 18/12/2011 se dan de alta por VODAFONE los datos del afectado en el fichero BADEXCUG asociados a una deuda de 201,84 € sin respetar el plazo de un mes. - Con fecha 19/12/2011 VODAFONE solicita la exclusión de los datos del afectado del citado fichero de solvencia, produciéndose la baja de la incidencia el 25/12/2011 CUARTO: Con fecha 28 de noviembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE ESPAÑA, S.A.U., por presunta infracción del artículo 4.3 en relación con el 29.4 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- c)de dicha norma, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, la representación de VODAFONE mediante escrito registrado con fecha 20 de diciembre de 2013 ha formulado las siguientes alegaciones solicitando el archivo del expediente con fundamento, sustancialmente, en los siguientes argumentos: - Caducidad de las actuaciones previas de inspección. - De no estimarse, se invoca la inexistencia de responsabilidad por parte de VODAFONE al haber cumplido con todos los requisitos legales fijados en los artículos 38.1.
- c)y 39 del Real Decreto 1720/2012, de 21 de diciembre, a los efectos de la inclusión de datos adversos en ficheros de solvencia patrimonial y crédito. SEXTO: Con fecha de enero de 2014, se acordó por la Instructora del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta por el denunciante y su documentación adjunta, los documentos obtenidos y generados por los Servicios de Inspección ante VODAFONE y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00742/2013, las alegaciones al acuerdo de inicio PS/00678/2013 presentadas por la entidad imputada y la documentación que a ellas acompaña. Asimismo, con esa misma fecha se acordó solicitar a VODAFONE contestación a una serie de extremos directamente relacionados con los hechos objeto de imputación. También, con esa misma fecha, se acordó solicitar al BANCO SANTANDER, S.A. indicación de la fecha exacta en que se hizo efectiva la transferencia de 201,84 € en la cuenta de abono B.B.B.. Igualmente, se acordó solicitar a EXPERIAN BUREAU DE CREDITO, S.A. (en adelante EXPERIAN) la siguiente información: 1) copia impresa de los datos del denunciante que figuran en sus ficheros en relación con deudas informadas por VODAFONE; 2) Copia de toda la documentación incluida en los expedientes asociados al afectado, incluyendo, en su caso, impresión de los resultados de las consultas efectuadas por el ejercicio de sus derechos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 Con fecha 14 de enero de 2014 se registra de entrada escrito del BANCO SANTANDER, S.A. adjuntando detalle de la operación requerida, en el que consta que el denunciante ordenó el pago de 201,84 € a VODAFONE con fecha 16/12/2011. Con fecha 20 de enero de 2014 se registra de entrada contestación de EXPERIAN señalando que en sus ficheros ha figurado una operación impagada asociada al NIF del denunciante por un importe de 201,84 €, informada por VODAFONE, con fecha de alta de 18/12/2011 y de baja el 25/12/2011 por proceso automático de actualización semanal de datos. Con fecha 21 de enero de 2014 se registra de entrada contestación de VODAFONE a las pruebas requeridas indicando lo siguiente: 1) En los sistemas no tienen constancia de la fecha exacta en que el denunciante recibió el requerimiento de pago de VODAFONE de fecha 10/12/2011 en el que se le informaba de que “en caso de no producirse en el plazo de un mes la liquidación de dicho débito” se solicitaría la inclusión de los datos de la deuda en los ficheros de acceso público de información de créditos, aunque por los procedimientos habituales debió ser bien el mismo día 10 de diciembre o el día siguiente; 2) En cuanto a la causa por la que, a pesar del plazo de un mes concedido para el abono del importe adeudado, en el documento anteriormente citado se hace constar como fecha límite de pago el 20/12/2011, así como respecto del motivo por el que se comunicó la información adversa sobre el denunciante al fichero BADEXCUG con anterioridad a dicha fecha, se responde que “la inclusión de los clientes en los ficheros tiene lugar 90 días después de que la deuda se generé, en este caso el origen de la deuda del cliente es de septiembre por o que en diciembre se le incluyó en los ficheros” ; 3) A los efectos de acreditar documentalmente que VODAFONE tuvo conocimiento del pago por transferencia del importe de 201,81 € con fecha 19 de diciembre de 2011 remiten impresión de captura de un pantallazo; 4) Se aporta copia de las facturas de los meses de agosto y septiembre de 2011 emitidas a nombre del denunciante; 5) Informan que la cancelación de la deuda tuvo lugar el 19 de diciembre de 2011, con motivo del abono realizado por el cliente el 19 de diciembre de 2011, cuyo importe quedó tras la factura rectificativa remitida por VODAFONE el 16 de septiembre de 2011 cuya copia se adjunta. SÉPTIMO: Con fecha 17 de marzo de 2014 se formuló propuesta de resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U. con multa de 40.001 € (Cuarenta mil un euros) por la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma. Notificada la citada propuesta de resolución, con fecha 4 de abril de 2014 se registra de entrada en esta Agencia escrito de alegaciones de la representación de VODAFONE reiterando los mismos argumentos que fueron invocados con anterioridad para solicitar el archivo del procedimiento sancionador. Asimismo, se manifiesta la disconformidad de la entidad con la sanción propuesta por entender que resulta desproporcionada ante la inexistencia de una conducta que resulte sancionable. En cuanto a los hechos se defiende que el tratamiento de datos asociado a la gestión de recobro de la cantidad impagada por el denunciante se ha ajustado a la normativa de protección de datos al tratarse de una deuda, cierta, líquida, vencida y exigible al denunciante originada en el impago de un servicio de telefonía correctamente prestado al mismo, la cual fue requerida de pago al afectado mediante envío remitido el 10/12/2011, que éste indica haber recibido el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 15/12/2011. Es decir, el requerimiento de pago se realizó con anterioridad tanto a la inclusión de los datos del denunciante en el fichero de solvencia patrimonial y de crédito BADEXCUG el día 18/12/2011 como antes de recibir vía fax la comunicación del pago el día 20/12/2011, procediéndose por VODAFONE tan pronto como se tuvo constancia del pago a la exclusión de los datos del denunciante del citado fichero el 25/12/2011. A la vista de dicha cronología se defiende que el afectado contó con tres días desde que recibió el requerimiento de pago para hacer efectivo el mismo antes de la inclusión de sus datos en el fichero ASNEF, ello sin perjuicio de que pudo haber abonado las cantidades adeudadas durante los meses de agosto, septiembre, octubre, noviembre e incluso hasta el día 10/12/2011, llegando a afirmar que nada le hubiera impedido abonar la deuda el mismo día 15/12/2011 en que recibió el requerimiento previo de pago y comunicarlo con esa misma fecha y no el día 20/12/2011. Respecto de la infracción imputada VODAFONE alega desconocer en qué momento se pone en duda la veracidad o certeza de la deuda originada en el impago de un servicio correctamente prestado y comunicada al citado fichero después de haber sido requerida de pago, ya que dicho tratamiento de datos se ajustó a los requisitos establecidos en el artículo 4.3 de la LOPD y en el artículo 38.1 del RDLOPD. En lo referente a la cuestión del plazo incluido en el citado requerimiento previo, se insiste en que el artículo 39 del RDLOPD no impone al acreedor la obligación de dar un plazo concreto al deudor para hacer el pago desde el momento de recibir el requerimiento de pago. Finalmente, se aduce que resulta evidente que el pago de la deuda efectuado por el denunciante coincidió en el tiempo con la inclusión de sus datos en ficheros de solvencia. HECHOS PROBADOS PRIMERO: Con fecha 10 de enero de 2012 tiene entrada en esta Agencia escrito del denunciante manifestando que VODAFONE incluyó sus datos personales en el fichero BADEXCUG por un saldo impagado de 201,84 € que ya había sido abonado dentro del plazo que figuraba en el requerimiento de pago enviado por dicho operador de telefonía. Añadía que dicha inclusión se llevó a cabo antes del vencimiento del plazo de un mes ofrecido para liquidar dicho débito.(folios 1 y 2). SEGUNDO: VODAFONE ha manifestado que el importe de 201,84 € se corresponde con el impago de las facturas de los meses de agosto y septiembre de 2011 del servicio de la línea E.E.E. contratada por el denunciante. (folios 19,21 al 24 y 70 al 74) TERCERO: Con fecha 10 de diciembre de 2011 VODAFONE remitió requerimiento de pago al denunciante reclamándole el abono del saldo pendiente de pago de 201,84 €, comunicándole que “en caso de no producirse en el plazo de un mes la liquidación de dicho débito, nos veremos en la obligación de solicitar la inclusión de los datos correspondientes a la deuda con Vodafone en los FICHEROS DE ACCESO PÚBLICO DE INFORMACIÓN DE CRÉDITOS previstos al efecto.” (folio 4) CUARTO: Con fecha 16 de diciembre de 2011 el denunciante ordenó una transferencia por importe de 201,84 € a la cuenta corriente de VODAFONE en el BANCO SANTANDER CENTRAL HISPANO nº B.B.B. que aparecía indicada en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 requerimiento de pago. En el detalle de la operación correspondiente a la transferencia aparecía como concepto para el beneficiario la referencia del número de teléfono móvil al que correspondía el abono, tal y como se solicitaba en el requerimiento. (folios 6 y 7) QUINTO: Según el detalle aportado por el BANCO SANTANDER, S.A. la orden de transferencia de fecha 16 de diciembre de 2011 por importe de 201,84 € se ejecutó el día 19 de diciembre de 2011, fecha que resulta coincidente con el momento en que VODAFONE señala tuvo conocimiento del pago mediante transferencia. (folios 57 al 59, 67) SEXTO: EXPERIAN ha informado que los datos personales del denunciante estuvieron incluidos en el fichero BADEXCUG por un producto de Telecomunicaciones, a instancias de VODAFONE, en una operación impagada, la cual fue dada de alta el 18 de diciembre de 2011 y de baja el 25 de diciembre de 2011 por proceso automático de actualización semanal de datos. (folios 60, 61 y 64) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Con carácter previo al examen de las cuestiones de fondo del asunto, procede analizar el alegato relativo a la caducidad de las actuaciones previas de inspección, que de prosperar invalidaría las consideraciones de fondo o materiales. Según VODAFONE, la resolución de archivo por caducidad de las actuaciones previas de inspección nº C.C.C., seguidas con motivo de la denuncia registrada de entrada en la AEPD con fecha 10/01/2012, se acordó sin concurrir causas que justificaran la dilación existente entre la contestación efectuada por dicha compañía el 27/06/2012 a la solicitud de información de la Agencia y el archivo de fecha 21/02/2013. En relación con la cuestión planteada por VODAFONE hay que señalar que el artículo 122 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en lo sucesivo RDLOPD) establece en relación con la iniciación de las “Actuaciones Previas” de investigación, lo siguiente: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.“ En primer término, del examen de las actuaciones previas de investigación número C.C.C., en las que también figura que con fecha 7 de diciembre de 2012 se requirió información a EXPERIAN BUREU DE CRÉDITO, S.A., cabe concluir que la actuación de la AEPD se ha ajustado en todo momento al procedimiento establecido tanto en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común como en la LOPD y en el RDLOPD. Así, con fecha 21 de febrero de 2013 el Director de la AEPD resolvió, por un lado, acordar de conformidad con el citado artículo 122.4 del RDLOPD el archivo por caducidad de las actuaciones previas de investigación C.C.C. al haber transcurrido más de doce meses desde el día 10 de enero de 2012 en que se registró de entrada en esta Agencia la denuncia a raíz de la cual se desarrollaron las mismas sin dictarse acuerdo de inicio de procedimiento sancionador, y , por otro lado, resolvió también ordenar la apertura de un nuevo expediente de actuaciones previas de inspección con referencia E/00742/2013 a los efectos de que la Subdirección General de Inspección de Datos contrastase la adecuación de los hechos denunciados a la normativa en materia de protección de datos, ya que los hechos denunciados, constitutivos de posible infracción grave a la LOPD, no estaban prescritos de conformidad con lo previsto en el artículo 47 de dicha norma, tal y como se indicaba en la mencionada resolución de archivo. Incidiendo en esta última cuestión, el citado sobre “Prescripción” lo siguiente: artículo 47 de la LOPD establece “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.” Este precepto, a su vez, ha de ponerse en relación con lo dispuesto en el artículo 132.2 de la citada Ley 30/1992, de 26 de noviembre, que dispone que: “ 2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 conocimiento del interesado, del procedimiento sancionador, (…)” Establecido lo anterior, el artículo 92.3 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, establece que: "La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. En el caso que nos ocupa, los hechos denunciados podrían suponer, a la vista de la información disponible el 21/02/2013 en que se acordó la resolución de archivo por caducidad de las citadas actuaciones previas de inspección, la comisión de una infracción grave a la LOPD que se encontraba entre las denominadas infracciones de naturaleza permanente. Sobre este particular, en la Sentencia de 24 de junio de 2010 la Audiencia Nacional confirma las sanciones que la AEPD impuso a la recurrente por sendas infracciones de los artículos 6.1 y 4.3 de la LOPD, solventando la cuestión relativa a la prescripción de las infracciones que la recurrente invocaba manifestando lo siguiente: “Nos encontramos en cualquier caso en el supuesto ante las denominadas infracciones permanentes, respecto de las que esta Sala ha declarado con reiteración, ya desde la SAN, de 21 de septiembre de 2001 (Rec. 95/200) que, (…) se caracterizan porque la conducta constitutiva de un único ilícito se mantiene durante un espacio prolongado de tiempo, lo que implica que el plazo de prescripción no se inicia “al no haber cesado la situación de infracción perseguida” –STS de 18 de febrero de 1985….”. Criterio que también han seguido, entre otras , las SSAN (1ª) de 22 de febrero de 2006 (Rec. 343/2004), 21 de noviembre de 2007 (Rec. 117/2006), 11 de diciembre de 2008 (Rec. 574/2007). Concepto jurídico plenamente aplicable al supuesto litigioso, tomando en consideración que tanto el tratamiento de datos sin consentimiento como la inclusión indebida de los mismos en Asnef se mantuvo durante un periodo prolongado de tiempo, por lo que habrá que estar a la fecha de finalización, y no de inicio, para el cómputo del plazo de prescripción. Y a tal fin resulta, según se desprende de las actuaciones practicadas que los datos personales del denunciante figuraron de alta, asociados a la presunta deuda, hasta el 28 de febrero de 2005, por lo que necesariamente ha de considerarse esta fecha a efectos de comisión de la infracción…” Siguiendo el criterio mantenido por la Audiencia Nacional, el término inicial (o dies a quo) del plazo de prescripción de la infracción del artículo 4.3 de la LOPD en relación con el 29.4 de dicha norma, supuestamente imputable a VODAFONE, debía coincidir con la fecha en que “cesó la situación de infracción perseguida”, que en este caso coincidía con la fecha en que se dio de baja la incidencia anotada en el fichero BADEXCUG, es decir, el día 25 de diciembre de 2011, situándose, por lo tanto, el termino final de la prescripción el día 25 de diciembre de 2013. De lo que se infiere que los hechos objeto de denuncia, no habían prescrito cuando con fecha 21 de febrero de 2013 se acordó la resolución de archivo por caducidad de las actuaciones previas de inspección practicadas en el expediente C.C.C., la cual se notificó el 27 de febrero de 2013. Tampoco se había producido la prescripción de la infracción del artículo 4.3 de la LOPD en su relación con lo previsto en el artículo 29.4 de dicha norma, cuando con fecha 2 de diciembre de 2013 se notificó el acuerdo de inicio del PS /00678/2013 acordado con fecha 28 de noviembre de 2013 a raíz de las actuaciones de investigación previas practicadas en el expediente E/00742/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 En segundo término, respecto de la apertura de nuevas actuaciones de inspección en relación con una infracción no prescrita, conviene citar la doctrina jurisprudencial sentada al respecto por el Tribunal Supremo en Sentencia de 12 de junio de 2003, ( RJ 2003, 4602), dictada en un recurso de casación en interés de ley en la que se fijó la siguiente doctrina legal: ”La declaración de caducidad y archivo de actuaciones establecidas para los procedimientos en que la administración ejercite potestades sancionadoras, art. 44.2 LRJPAC no extinguen la acción de la administración para ejercitar las potestades aludidas en ese precepto, siéndoles plenamente aplicable el art. 92.3 de la misma ley”. Con anterioridad a esta sentencia, la jurisprudencia del alto Tribunal, se había ya mostrado decididamente partidaria de la posibilidad de reinicio de un nuevo expediente sancionador para el caso de que la infracción no hubiera prescrito (STS 16 de julio de 2001, 29 de octubre de 2001, 5 de noviembre de 2001, o 5 de diciembre de 2001. A mayor abundamiento, en este mismo sentido se expresa la Audiencia Nacional en Sentencia 3312/2013 de fecha 10 de julio de 2012, Recurso nº 323/2012, en un caso en que la supuesta infracción a la normativa de protección de datos no había prescrito con posterioridad a la adopción, por el Director de la Agencia de protección de Datos, de una resolución de archivo por caducidad de las actuaciones previas de inspección practicadas. En la reseñada Sentencia de la Audiencia Nacional 3312/2013 consta lo siguiente: “TERCERO.- Alega, en segundo lugar, la parte demandante que se produjo la caducidad de las actuaciones previas al haber transcurrido más de dos años desde la fecha de la denuncia hasta la notificación del acuerdo de iniciación del expediente sancionador, de conformidad con el artículo 122.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. De modo que presentada la denuncia con anterioridad al 21 de octubre de 2009, el archivo por caducidad de un primer procedimiento de actuaciones previas de investigación con número E/00528/2010 el 17 de noviembre de 2010, y la posterior incoación de otro procedimiento de actuaciones previas de investigación con número E/03901/2010 por los mismos hechos que dieron lugar a la incoación del procedimiento sancionador el 7 de noviembre de 2011, vulnera el principio de seguridad jurídica y el artículo 122 del Reglamento de la LOPD. Sin embargo, aunque los dos procedimientos de actuaciones previas de investigación tuvieran lugar sobre los mismos hechos, lo cierto es que se tramitaron sucesivamente, comenzando las segundas actuaciones de investigación tras declararse la caducidad de las primeras, tal y como se expuso en el Fundamento de Derecho Primero de esta sentencia, por haberse rebasado el plazo de doce meses de duración máxima que prevé el artículo 122 del Reglamento de la LOPD y en cumplimiento de lo dispuesto en el apartado cuarto de este precepto. Al respecto, el artículo 92 de la LRJPAC, al que se remite su artículo 44.2 al prever la caducidad de los procedimientos en los que la Administración ejercite potestades sancionadoras, entre otros, establece los efectos de la caducidad que, con independencia de provocar el archivo del procedimiento, “no producirá por si sola la prescripción de las acciones del particular o de la Administración pero los procedimientos caducados no interrumpirán el plazo de prescripción”. Por consiguiente, declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación, como ha sucedido en el presente caso. Recordemos que el procedimiento sancionador PS/00527/2011 trae causa de las actuaciones previas de investigación E/03901/2010, iniciadas por orden del Director de la Agencia Española de Protección de Datos, en la que dio instrucciones el 17 de noviembre de 2010 a la Subdirección General de Inspección de Datos para que procediera a realizar actuaciones de inspección, en relación con un escrito presentado por don J**** en fecha 10 de noviembre de 2009, en el que manifestaba que “F****” había incluido sus datos de carácter personal en el fichero de solvencia patrimonial y crédito ASNEF en fecha 7 de marzo de 2008 sin requerimiento de pago, practicándose diversas actuaciones para el esclarecimiento de los hechos denunciados. Practicadas las actuaciones de investigación, mediante resolución de 7 de noviembre de 2011 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador PS/00527/2011 a C**** S.A. por la posible infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y los artículos 38 y 39 del Reglamento de desarrollo de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la LOPD, siendo notificado tal acuerdo a esta entidad el 11 de noviembre siguiente. Por consiguiente, no se incurrió en caducidad en estas últimas actuaciones previas de investigación, pues no se rebasó el plazo de duración máxima de doce meses que para las mismas establece el artículo 122 del Reglamento de la LOPD Por lo expuesto, procede rechazar este motivo de impugnación” (El subrayado es de la AEPD) Por lo tanto, a la luz de la doctrina jurisprudencial señalada, y con arreglo a lo dispuesto en el artículo 122.4 del RDLOPD el alegato de caducidad de las actuaciones previas de inspección practicadas en el expediente E/00742/2013 no puede prosperar, ya que el plazo de caducidad de las mismas no se computa a partir de la fecha de presentación de la denuncia en esta Agencia, sino que el período de doce meses se computa a partir del 21 de febrero de 2013, fecha en que el Director de la AEPD acordó, junto con la citada resolución de archivo por caducidad del expediente E/00742/2013, la apertura de las actuaciones previas de inspección nº E/00742/2013. En consecuencia, no han transcurrido doce meses entre el 21 de febrero de 2013 y el día 2 de diciembre de 2013 en que se notificó a VODAFONE el acuerdo de inicio del procedimiento sancionador nº PS/00678/2013, el cual fue acordado 28 de noviembre de 2013 a raíz de las mencionadas actuaciones previas de inspección E/00742/2013. Es por ello que, a los efectos que nos ocupan, resulta irrelevante el hecho de que dicha notificación se practicara nueve meses desde que se resolvió el archivo del expediente C.C.C. y casi dos años después desde que se recibió la denuncia. III En el presente procedimiento la cuestión a dilucidar radica en establecer si la inclusión de los datos de la denunciante en el fichero BADEXCUG por parte de VODAFONE se realizó conforme determina la normativa de protección de datos. El artículo 4.3 de la LOPD, dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” Asimismo, el Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, (en adelante RDLOPD), en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. (…)
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. (El subrayado es de la AEPD) Artículo 43. Responsabilidad. 1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. El acreedor es, por tanto, responsable de que los datos cumplan los requisitos establecidos en el artículo 4.3 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o ha sido saldada. Además, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999, implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. La exigencia de que la deuda sea “cierta”, (artículo 38.1.
- a)del R.D. 1720/2007) responde al principio de calidad de los datos plasmado en el artículo 4.3 de la LOPD. Por tanto, el acreedor o quien actúe por su cuenta o interés, podrá facilitar a ficheros comunes datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias, siempre que la información registrada en los ficheros de esta naturaleza respete el principio de veracidad y exactitud de los datos personales. En el presente caso, ha quedado probado que los datos personales del denunciante se incluyeron, a instancias de VODAFONE, en el fichero de solvencia patrimonial y crédito BADEXCUG con fecha 18 de diciembre de 2011 por un saldo impagado de 201,84 €, todo ello a pesar de que la entidad imputada había enviado al afectado con fecha 10 de diciembre de 2011 un requerimiento previo de pago por el citado importe en el que se le otorgaba un plazo de un mes para liquidar dicho débito y de que el afectado, con fecha 16 de diciembre de 2011, había abonado dicha deuda. Del tenor literal del artículo 39 del RDLOPD se desprende que el “requerimiento previo de pago” al que se refiere el artículo 38.1.c del mismo Reglamento lleva implícito la concesión al deudor requerido de un plazo para pagar, ya que conforme al mismo sólo podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos del impago “ de no producirse el pago en el término previsto para ello” y siempre que, obviamente, se cumplan los restantes requisitos previstos en el artículo 38.1 del citado Reglamento. Lo que significa, a su vez, que no puede entenderse cumplido el requisito del requerimiento previo de pago del artículo 38.1.
- c)del mismo Reglamento si el acreedor requirente no respeta el plazo concedido para satisfacer la deuda, y procede, antes de dicho término, a informar los datos del deudor a los ficheros de morosidad. De todo lo cual, se deduce que la entidad imputada no podía incluir los datos del deudor en el citado fichero común hasta que hubiera transcurrido el plazo otorgado en el citado requerimiento para el abono de la deuda, y siempre y cuando no se hubiera producido dicho pago en el término previsto para ello. Trasladando estas consideraciones al supuesto que nos ocupa, y aún computando el plazo de un mes otorgado desde la fecha de envío del citado requerimiento de pago, ya que se ignora la fecha exacta en que éste se notificó al denunciante, el vencimiento del mismo no se hubiera producido hasta el 10 de enero de 2012. No obstante lo cual, los datos personales del afectado permanecieron registrados de alta a instancias de VODAFONE en el fichero BADEXCUG entre el 18 y el 25 de diciembre de 2011, es decir, antes de que se cumpliera el plazo de un mes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 concedido al deudor para hacer frente al pago, lo que, en la práctica, supone la omisión del requisito del requerimiento previo de pago al que el RDLOPD supedita, junto con otras exigencias, la legalidad de la inclusión de datos personales en ficheros de morosidad. En consecuencia, debe rechazarse el alegato mantenido por VODAFONE respecto de que “el plazo de 30 días que se indica en el requerimiento previo es un plazo orientativo pero en ningún caso impide a Vodafone incluirle en un momento anterior o posterior siempre que, en cualquier caso, se haya efectuado el requerimiento previo”. A mayor abundamiento, no hay que olvidar que la información comunicada por VODAFONE al fichero BADEXCUG no se correspondía con una deuda cierta, vencida y exigible al afectado en los términos recogidos en el artículo 38.1.
- a)del citado RDLOPD, ya que el denunciante abonó con fecha 16 de diciembre de 2011 mediante orden de transferencia bancaria la cantidad que anteriormente le había sido requerida de pago por el acreedor, es decir, el pago se efectuó con anterioridad a la inclusión de los datos del afectado en dicho fichero el día 18 de diciembre de 2011. Por lo tanto, en la fecha en que se dio de alta la operación impagada en el fichero BADEXCUG el denunciante ya no era deudor de la cantidad reclamada. VODAFONE, en su condición de acreedor e informante de dichos datos adversos, antes de instar su inclusión en un fichero de obligaciones dinerarias, dada las repercusiones personales que conlleva estar incluido y permanecer en ese tipo de ficheros, debió extremar, tal y como exige el artículo 43 del RDLOPD, su diligencia y responsabilidad en el momento de facilitar una información de esa naturaleza a un fichero común. En consecuencia, antes de comunicar tal información debió de haber comprobado no sólo que los datos de carácter personal que iban a ser informados eran exactos, estaban puestos al día y respondían con veracidad a la situación real del afectado, sino que también debió haberse asegurado de que había transcurrido íntegramente el plazo ofrecido en el requerimiento de pago para el abono de la deuda sin haberse producido el mismo. Estos hechos son contrarios al principio de calidad de datos y, por tanto, contravienen lo dispuesto en el artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y con los artículos 38.1.
- a)y
- c)y 39 del RDLOPD. IV Consta acreditado en esta Agencia que las entidades asociadas al fichero BADEXCUG suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales del denunciante son datos que figuran en los propios ficheros automatizados de VODAFONE. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados a los ficheros comunes de información sobre solvencia patrimonial, en caso de que dichos datos sean de obligados respecto de una deuda para con la entidad que insta la inclusión . La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (artículo 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por la entidad imputada puede subsumirse o no en tales definiciones legales. VODAFONE instó la incorporación al fichero BADEXCUG de los datos del denunciante en virtud de una deuda que no respondía con veracidad a la situación actual del afectado (en aquel momento), puesto que en la fecha en que la citada entidad informó sus datos al responsable del mencionado fichero el afectado ya había abonado la cantidad cuyo impago se le imputaba. Dicha comunicación se realizó mediante un procedimiento que implica un tratamiento automatizado de los datos, como es su incorporación a una cinta magnética en cuyo destino también va a ser tratada automáticamente por los responsables del fichero de solvencia. Conforme a lo expuesto, VODAFONE decidió sobre la finalidad del tratamiento (la calificación del denunciante como deudor), el contenido de la información (los datos relativos a la deuda asociados al denunciante), y el uso del tratamiento (la incorporación del denunciante a un fichero común de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo), por lo que es responsable de que la información suministrada no responda al principio de calidad de datos recogido en el artículo 4.3 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). En virtud de lo anterior, se desprende que VODAFONE ha sido la responsable del tratamiento automatizado de los datos del denunciante en sus propios ficheros y de su comunicación al fichero BADEXCUG antes de finalizar el plazo otorgado en el requerimiento previo de pago para abonar la deuda en cuestión y sin que los datos informados fueran exactos, habida cuenta que el denunciante había satisfecho el saldo de 201,84 € con fecha 16/12/2011. Ello supone una clara vulneración del principio de calidad de datos, de la que debe responder VODAFONE por ser responsable de la veracidad y exactitud de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en los ficheros de solvencia patrimonial y crédito. La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que VODAFONE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD en los términos del artículo 43, en relación con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 la definición del artículo 3.
- d)y
- c)de la citada Ley Orgánica. V El artículo 44.3.
- c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 44.3
- d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. Pues bien, en el supuesto examinado VODAFONE no actuó con la diligencia que le era exigible pues facilitó al fichero BADEXCUG los datos del denunciante con anterioridad al vencimiento del plazo para el pago de la deuda, lo que dio lugar a la inclusión de los mismos asociados a un saldo impagado que ya había sido abonado con anterioridad por el cliente. Esta falta de diligencia configura el elemento culpabilistico de la infracción administrativa y resulta imputable a la citada compañía de telefonía, sin que sea necesario que exista dolo en su actuación. La Audiencia Nacional, en un caso semejante al que ahora se analiza, entendió en Sentencia de fecha 11 de marzo de 2013, Recurso nº 688/2011, que: “En este sentido, y como esta Sala ha reiterado en numerosísimas ocasiones, resulta que aquél que utiliza un medio extraordinario de cobro, como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud del dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. Y ello dado que el no aplicar esta exigencia supondría utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en tales registros de solvencia patrimonial y crédito. Se trata, en definitiva, de que los datos personales de la afectada incluidos en el fichero Badexcug por la compañía telefónica no respondían a la situación actual de la misma, pues aquella incluyó sus datos de carácter personal en tal fichero con anterioridad a que venciera el plazo concedido para el pago de las facturas, según la carta de aviso remitida a tal afectada por la propia operadora de telefonía. Consideramos, por ello, que los hechos relatados son contrarios al principio de calidad de dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD y también con el 38 del RDLOPD. Infracción del principio de calidad del dato que, por otra parte, y contrariamente a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 lo invocado en la demanda, es conforme con el principio de culpabilidad, por cuanto una actuación diligente de Telefonía Móviles habría exigido el tomar en consideración el abono de las facturas llevado a cabo por la denunciante, con anterioridad incluir sus datos personales en tal fichero Badexcug. Comprobación no exhaustiva que supone una actuación incompatible con el mínimo de prudencia que se debe exigir a estas empresas antes de anotar en los registros de morosidad incidencias que, finalmente, resulta que no responden a la realidad de lo adeudado.” VODAFONE ha incurrido en la infracción descrita ya que ha vulnerado el principio consagrado en el artículo 4.3 de la LOPD en relación con el artículo 29.4 de dicha norma, que encuentran su tipificación en el artículo 44.3.
- c)de la citada Ley Orgánica. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En el presente supuesto no se aprecia una cualificada disminución de la culpabilidad contemplada en el supuesto
- a)del artículo 45.5 de la LOPD, ya que ha quedado probado que VODAFONE incluyó los datos personales del afectado en el fichero BADEXCUG con anterioridad a que venciera el plazo de un mes concedido en el requerimiento de pago de fecha 10/12/2011 para liquidar la deuda, y que de haber sido respetado hubiera impedido que los datos personales del mismo se asociarán en un fichero de solvencia patrimonial y de crédito a una deuda que estaba abonada desde el 16/12/2011. Por todo lo cual, se considera que la entidad imputada, como responsable de la exactitud de los datos facilitados al mencionado fichero, no se aseguró con anterioridad a su facilitación del cumplimiento de los requisitos exigidos en los artículos 38.1.
- a)y 39 del RDLOP, tal y como exige el artículo 43 del RDLOPD, conculcando con ello el principio de calidad de datos. Por otro lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados c),
- d)y
- e)del referido artículo 45.5 de la LOPD, a lo que hay que añadir el conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Sin embargo, se considera que teniendo en cuenta las especiales circunstancias que concurren en el presente caso procede apreciar la concurrencia del supuesto recogido en el apartado
- b)del artículo 45.5 de la LOPD al haber quedado acreditado que VODAFONE subsanó la situación irregular de forma diligente tan pronto como tuvo conocimiento de la misma. De este modo, de la documentación obrante en el procedimiento se evidencia que en el momento en que VODAFONE conoció con fecha 19 de diciembre de 2011 el pago de la cantidad adeudada procedió a gestionar la exclusión de los datos del afectado del fichero común a fin de subsanar la situación irregular de forma inmediata, de tal modo que con fecha 25 de diciembre de 2011 la anotación deudora ya figuraba dada de baja en el fichero BADEXCUG, por lo que los datos del denunciante permanecieron en el citado fichero un periodo de tiempo que no superó los ocho días, en concreto entre el 18/12/2011 y el 25/12/2011. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 Dichas circunstancias permiten aminorar de forma cualificada la cuantía de las sanciones a imponer por la vulneración de los principios del consentimiento y de calidad de datos, pudiendo fijarse para cada una de dichas infracciones una sanción comprendida en la escala de 900 a 40.000 euros que establece el artículo 45.1 de la LOPD para las infracciones leves. En cuanto a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD se estima lo siguiente: En lo que se refiere a la ausencia de intencionalidad, circunstancia prevista en el apartado
- f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la citada operadora hubiera actuado intencionadamente o con dolo, hay que señalar que los tipos apreciados no requieren dolo para su perfección, pudiendo ser cometidos a título de simple negligencia. En cuanto a la falta de perjuicios causados al afectado (apartado
- h)del artículo 45.4) la Audiencia Nacional ha señalado en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. En relación con la reincidencia (apartado
- g)del artículo 45.4), se trata de una circunstancia que por su propia naturaleza no puede operar como atenuante por derivar del incumplimiento de la norma, máxime si se considera la imposición de reiteradas sanciones firmes impuestas a VODAFONE por esta Agencia por vulneración de los mismos preceptos de la LOPD objeto de imputación en este expediente. En lo que respecta al importante volumen de negocio (apartado
- d)del artículo 45.4), se entiende que se trata de una empresa con un importante volumen de negocio, considerándose en lo relativo a la vinculación de su actividad con la realización de tratamientos de datos de carácter personal (apartado
- c)del artículo 45.4) que es evidente que en el desarrollo de la actividad que VODAFONE desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros. Por todo lo cual, se estima procedente imponer a VODAFONE una multa de 20.000 € por la infracción del artículo 4.3 en relación con el 29.4 de la LOPD y artículos 38.1.
- a)y
- c)y 39 del RDLOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A.U., por una infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma, una multa de 20.000 € (Veinte mil euros) de conformidad con lo establecido en los apartados 1, 4 y 5 del artículo 45 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. y a Don A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es