← España

PS-00702-2014

1/9 Procedimiento Nº PS/00702/2014 RESOLUCIÓN: R/01483/2015 En el procedimiento sancionador PS/00702/2014, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA SAU, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 18/12/2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: <<El pasado 24/11/2013 al ponerme en contacto con mi banco por un asunto que no viene al caso descubro que estoy en un listado de morosidad por presunta deuda con compañía telefónica. Mi sorpresa viene cuando descubro que esa deuda es con VODAFONE, compañía con la que yo nunca he tenido contrato. Lo mejor del asunto es que desde VODAFONE le han vendido mi deuda a una empresa de recobros. Si yo nunca he tenido nada con VODAFONE, ¿cómo pueden meterme en un fichero de morosidad? No he presentado denuncia anterior ante esta Agencia, pero sí denuncia en la comisaría, el juzgado de guardia y reclamación ante la secretaría de estado de telecomunicaciones. Denuncio un tratamiento de mis datos sin mi consentimiento y cesión de los mismos a un tercero, puesto que no existe la supuesta deuda que dicen que tengo con ellos. >> Aporta copia de la siguiente documentación: - Denuncia presentada en fecha 25/11/2013 ante la Policía Nacional por la contratación de la línea telefónica ***TEL.1 con VODAFONE (en lo sucesivo VF) por una tercera persona distinta de la denunciante, así como su inclusión en el fichero de solvencia ASNEF. - Denuncia presentada en fecha 25/11/2013 ante el Juzgado de Instrucción nº 18 de Madrid por los mismos hechos. - Reclamación fechada el 26/11/2013 presentada por la denunciante ante VF por los mismos hechos, adjuntando la denuncia presentada en la Policía Nacional y en el Juzgado de Guardia. Aporta reporte del envió por fax. - Escrito con registro de entrada de fecha 26/11/2013 por el cual la denunciante presenta una reclamación ante la SETSI por los mismos hechos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información A) EQUIFAX IBERICA, S.L., el 28/03/2014 informa respecto del fichero ASNEF: No consta información respecto del denunciante a fecha de respuesta de EQUIFAX. - Respecto del fichero de NOTIFICACIONES: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 Consta una notificación emitida a nombre de la denunciante con fecha de emisión 14/01/2012, siendo la entidad informante VODAFONE por importe de 162,92 €. Consta como dirección de la deudora mayor, 48 1 D - 30158 los garres (MURCIA), distinta de la consignada en la denuncia. Consta una notificación emitida a nombre de la denunciante con fecha de emisión 28/09/2013, por un importe de 242,92 € y siendo la entidad informante SALUS INVERSIONES. El código de la operación es el mismo en ambas operaciones, de VF y SALUS por lo que se trata de una subrogación del acreedor. (folios 28-29) - Respecto del fichero de BAJAS: Consta un alta asociada a la notificación citada en el apartado anterior para una operación con fecha de alta en ASNEF el 12/01/2012, por parte de VODAFONE no constando fecha de baja, con importe de 162,92 €. Consta una baja asociada a la notificación citada en el apartado anterior (12/01/2012) para una operación informada por SALUS con fecha de alta y baja en ASNEF de 26/09/2013 - 21/01/2014. El importe es de 242,92 €. En “Consulta bajas” (folio 42) figura: Operación: Telecomunicaciones (SALUS) Fecha de alta: alta 12/01/2012 Visualización: 12/11/2012, baja: 31/10/2012. Se deduce que el alta de VODAFONE no ha sido objeto de una baja por VODAFONE sino de una subrogación en la anotación del fichero B) Con fecha 10/04/2014 EXPERIAN BUREAU DE CREDITO, SA informa: - Respecto del fichero BADEXCUG: No consta información a 10/04/2014. - Respecto del fichero de NOTIFICACIONES: Consta una notificación enviada a la denunciante como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad VODAFONE. La notificación fue emitida con fecha 02/08/2011, por deuda de 162.92 €. - Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. Consta una operación impagada informada por VODAFONE con fecha de alta de 31/07/2011 y fecha de baja de 14/10/2012. C) Con fecha 20/3/2014 se solicita a VODAFONE información relativa a la denunciante. La entidad no responde a los datos solicitados, respondiendo en su lugar que la denunciante solicitó el bloqueo de sus datos personales de acuerdo al artículo 15 de la LOPD. Aporta la entidad copia de la carta remitida a la denunciante en respuesta a la solicitud de cancelación, fechada el 3/1/2014, por el que se accede a la solicitud recibida. TERCERO: Con fecha 11/12/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE ESPAÑA SAU por una infracción del artículo 11.1 en relación con el 6.1, y otra del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.

  1. k)y 44.3.
  2. c)de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha C/ Jorge Juan, 6 28001 – Madrid 2/01/2015 la www.agpd.es sedeagpd.gob.es 3/9 denunciada alega: 1) La denunciante es titular del servicio ***TEL.1 de VODAFONE aunque no reconoce la contratación. Ante el impago de las facturas se generó una deuda de 242,92 € que VODAFONE comenzó a reclamar para su recobro enviando los requerimientos previos de pago para su posterior inclusión en ficheros de solvencia patrimonial. Posteriormente la deuda fue vendida a SALUS el 1/10/2012 para ser recomprada el 16/01/2014 y posteriormente cancelados sus datos personales en los sistemas de VODAFONE bajo petición de la propia denunciante. El hecho de la cesión habría de considerarse prescrito por haber transcurrido más de dos años desde ello. No aporta copia de impresión de los datos en sus sistemas ni copia de las facturas emitidas y adeudadas 2) La denunciante no estaba de acuerdo ni con la contratación ni con la deuda por lo que presentó una reclamación ante la SETSI. 3) Ante la imposibilidad de acreditar la contratación del servicio al no haber sido posible localizar el contrato y, por ende, al no poder acreditar el consentimiento se considera que ha existido una cesión de deuda ilegítima y reconoce su responsabilidad para que le sea de aplicación el artículo 45.5.
  3. d)de dicha LOPD. 4) En cuanto a la infracción del artículo 4.3 de la LOPD, también reconoce su responsabilidad. QUINTO: Con fecha 14/04/2014 se inicia un periodo de pruebas, incorporando la de las actuaciones previas y las presentadas al acuerdo de inicio. Adicionalmente, se solicitan: 1) A la denunciante, en relación con la SETSI: copia de la presentación de su reclamación y copia de la resolución de la SETSI. Se contestó que no disponía de la resolución y la había solicitado a la SETSI sin haberla recibido. 2) A la denunciante, copia de respuestas, si las hay, de las reclamaciones efectuadas contra la denunciante. No se recibió respuesta. 3) A la denunciada, fechas de alta y baja (motivo de esta) de la línea dada de alta con titularidad de la denunciante. Medio usado por el que se solicitó el alta de la línea. Con fecha 29/04/2015, aportando copia de sus sistemas indica que la fecha de alta de la línea ***TEL.1 fue 25/12/2010 y de la baja el 8/08/2011 por no pago, efectuándose el alta por “Canal de venta tienda online”. Aporta copia de las facturas emitidas desde 1/01/2011 a 1/09/2011, todas sin abonar, siendo las impagadas tres, las de 1/01/2011 a 1/03/2011 por importe de 26,62 €, 127,88 € y 8,42 €. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 4) A la denunciada, copia de documento que acredite la recompra de la deuda de la denunciante. Aporta impresión de sus sistemas en los que en una aplicación llamada Venta de carteras, consulta, figura el NIF de la denunciante y fecha recompra 16/01/2014. Añade que se hacía cuando existía reclamación por parte del cliente ante VODAFONE o el comprador. 5) A la denunciada, copia del contrato de cesión a SALUS. La denunciada indica que se remiten al procedimiento PS/570/2013 del que forma parte. El Instructor accede a las actuaciones previas E/00264/2013, acta de Inspección a VODAFONE y se imprimen los cuatro primeros folios en los que se informó que la cesión a SALUS fue formalizada en contrato de cesión de créditos el 28/09/2012, circunstancia que se reitera en el acta de Inspección a SALUS de la que se incorporan dos folios, quedando incorporados al expediente. También se contiene el modo de comunicar la cesión a los clientes, precisándose que se diseñaron dos modelos de carta a enviar, en función de si la deuda ya había sido o no informada en ASNEF-BADEXCUG por VODAFONE. En el caso de que existiera tal inclusión, con carácter previo al traspaso de los créditos, VODAFONE se encargaría de gestionar su baja y sería el comprador el encargado de realizar la inclusión. “El responsable de realizar la comunicación de cesión de cartera era el comprador de la misma tal y como se acordó contractualmente.” 6) A la denunciada, fechas en que se comunicaron, se renovaron y se dieron de baja los datos de la denunciante al fichero de solvencia ASNEF. Indica que desde noviembre 2014 ASNEF no presta servicios a VODAFONE, pero manifiesta que desde ASNEF se ha comunicado que la fecha de alta tuvo lugar el 12/01/2012, y la baja el 26/09/2012 por la venta a SALUS de dicha deuda. 7) A EQUIFAX, responsable de fichero ASNEF, de la documentación que ya obra y esa entidad ya remitió en previas, se conoce como 12/01/2012 la fecha de alta de los datos de A.A.A. DNI ***DNI.1, a instancia de VODAFONE, si bien en su información no aportan la fecha de baja de estos datos por esta entidad. Se le solicita que lo aporten, el motivo por el que no la aportaron. Al respecto se le advierte que en las anotaciones proporcionadas en previas figura la entidad a la que VODAFONE vendió la deuda el 1/10/2012 (SALUS INVERSIONES) con referencias anotadas a periodos anteriores en que la entidad aún no había comprado la deuda y los datos (folio 29: fecha ultimo vencimiento: 11/03/2011 o folio 39 en que se relaciona con el primer vencimiento: 11/01/2011). Informen si superponen periodos, retrotrayendo la entidad adquirente con movimientos anteriores de los datos o el modo de actuación en casos como estas cesiones. No se recibió respuesta. SEXTO: Con fecha 13/05/2013 se emitió propuesta de resolución el literal: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 “PRIMERO: IMPONER a VODAFONE ESPAÑA SAU por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  4. c)de dicha LOPD, una sanción de 20.000 euros, de conformidad con el artículo 45.1, 2, 4 y 5 de dicha LOPD. SEGUNDO: DECLARAR el ARCHIVO de la infracción del artículo 11.1 en relación con el 6.1 de la LOPD imputada, tipificada como grave en el artículo 44.3.
  5. k)de dicha LOPD” Contra la citada propuesta en el plazo establecido no se recibieron alegaciones. HECHOS PROBADOS 1. La denunciante denuncia que se apercibió el 24/11/2013 que sus datos estaban incluidos en un fichero de solvencia a instancia de VODAFONE con la que no tenía relación alguna (1, 4) habiendo sido cedidos a otra entidad. 2. VODAFONE disponía de los datos de la denunciada por el alta de la línea ***TEL.1 de 25/12/2010 a 8/08/2011-baja por no pago- efectuándose el alta por “Canal de venta tienda online”. VODAFONE no acredita el consentimiento de la denunciada para el tratamiento de sus datos asociado a dicha línea. (81, 83). 3. VODAFONE emitió con los datos de la denunciante facturas desde 1/01/2011 a 1/09/2011, todas sin abonar, siendo las impagadas tres: de 1/01/2011 a 1/03/2011 por importe de 26,62 €, 127,88 € y 8,42 €. 4. VODAFONE informó los datos de la denunciante al fichero ASNEF el 12/01/2012 por impago de 162,92 euros (26, 28) código operación ***OPERACIÓN.1, según se desprende de lo aportado por EQUIFAX. 5. VODAFONE informó los datos de la denunciante al fichero BADEXCUG por impago de 162,92 euros desde 31/07/2011 a 14/10/2012 (49,50, 53 a 56). 6. La deuda titularidad de VODAFONE por la línea ***TEL.1 a nombre de la denunciante fue cedida a SALUS en contrato de 28/09/2012 e incluida por esta en el fichero de solvencia de 26/09/2013 a 21/01/2014 y cuantía de 242,92 euros (29, 39) código de operación ***OPERACIÓN.1 (28,29) según se desprende de lo aportado por EQUIFAX. En el menú de Consulta de bajas de EQUIFAX consta “Operación: Telecomunicaciones (SALUS)” Fecha de alta: 12/01/2012, Visualización 12/11/2012, Baja: 31/10/2012. No consta formalmente la fecha de baja de la operación informada inicialmente por VODAFONE el 12/01/2012 ya que EQUIFAX efectúa en la anotación del fichero ASNEF una subrogación de deudor en la operación de cesión, determinando la fecha a partir de la que es visible el nuevo acreedor, que en este caso estaba prevista para 12/11/2012 si bien se dio de baja el dato antes, el 31/10/2012.

(42)2. La denunciante presentó reclamación ante la SETSI el 26/11/2013
(9)aunque no aportó en pruebas copia de la resolución, se produce tras la fecha de la cesión, 28/09/2012. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II Se imputa a VODAFONE una infracción del artículo 4.3 en relación con el 29.4 de la LOPD por la inclusión del dato del DNI y nombre de la denunciante en un fichero de solvencia. En este fichero de solvencia se trataron los datos no exactos ni correctos hasta el momento de su desaparición. El artículo 4.3 de la citada Ley dispone lo siguiente: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.” La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Estos ficheros se caracterizan porque no necesitan del consentimiento del afectado para la obtención y tratamiento de sus datos, lo que supone una excepción a los principios rectores de la LOPD (entre ellos el del consentimiento del afectado en el tratamiento y cesión de sus datos de carácter personal). No obstante, frente a esta excepción, la propia norma articula una serie de contrapesos, como es su limitación a un caso concreto (cumplimiento o incumplimiento de obligaciones dinerarias) y la obligación de notificar a los afectados el hecho de que se han registrado sus datos de carácter personal El artículo 38 del Reglamento de desarrollo de la LOPD, “Requisitos para la inclusión de datos” dispone lo siguiente: 1. “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  2. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
  3. b)(…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9
  4. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente” Es el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. En este caso, se produjeron dos inclusiones de los datos de la denunciante en ficheros de solvencia, en BADEXCUG fue baja el 14/10/2012. En el fichero ASNEF no existe baja de la operación sino anotación en el fichero de la misma operación que cambia de titular a SALUS indicándose una fecha de visualización a partir de la que aparece el nuevo acreedor, que en este caso es 12/11/2012, si bien causa baja antes, el 31/10/2012. Ello teniendo en cuenta que la fecha de la cesión de deuda a SALUS fue 9/2012. De conformidad con los apuntes del fichero ASNEF, la baja de la operación por parte de VODAFONE no va más allá de 31/10/2012. Ciertamente, el sistema de anotaciones en el fichero ASNEF en caso de cesiones de datos por venta de deuda es confuso al atribuir por ejemplo a la cesionaria el alta de la deuda en un periodo en que no era titular, o la fecha de visualización de los efectos de la anotación. Teniendo en cuenta que las infracciones graves prescriben a los dos años de su comisión, desde la fecha de la baja de la anotación en el fichero ASNEF, 31/10/2012 o BADEXCUG: 14/10/2012, a la de la notificación del acuerdo de inicio, 15/12/2014 no resulta exigible la responsabilidad a la denunciada. III Se imputa a la denunciada la infracción del artículo 11 en relación con el 6.1 por cuanto efectuó un tratamiento cualificado como es la cesión a un tercero, sin consentimiento del afectado. La fecha en que se concreta dicha cesión de datos sería en principio la de escritura de la cesión, 28/09/2012, aunque se aprecia que incluso tras esa fecha los datos permanecieron incluidos en el fichero de solvencia BADEXCUG el 14/10/2012. El artículo 11 de la LOPD indica: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  5. a)Cuando la cesión está autorizada en una Ley.
  6. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  7. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique... 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores”. El artículo 3.i de la LOPD define cesión como: ”Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado.” La infracción consistente en la cesión de datos presupone la comisión de la infracción en una fecha concreta y especifica que como indicativa sería la de la fecha de la escritura de cesión 28/09/2012. La fecha de notificación del acuerdo de inicio fue 15/12/2014. En el presente supuesto, la infracción de cesión se perfecciona en un momento dado y concreto, la de la cesión de datos que se plasma en el contrato de cesión de 28/09/2012. La fecha de referencia a partir de la que se ha de contar la prescripción sería esa. Así, desde 28/09/2012 a la fecha de notificación del acuerdo de inicio, transcurrió el plazo en el que la infracción es perseguible, (dos años, artículo 47 LOPD) considerando pues la infracción prescrita. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Declarar el ARCHIVO de la infracción del artículo 4.3 imputada a VODAFONE ESPAÑA SAU, tipificada como grave en el artículo 44.3.
  8. c)de dicha norma. SEGUNDO: Declarar el ARCHIVO de la infracción del artículo 11.1 en relación con el 6.1 de la LOPD imputada a VODAFONE ESPAÑA SAU, tipificada como grave en el artículo 44.3.k de dicha LOPD. TERCERO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA SAU y a A.A.A.. CUARTO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.