1/15 Procedimiento nº.: PS/00005/2017 ASUNTO: Recurso de Reposición Nº RR/00683/2017 Examinado el recurso de reposición interpuesto por la entidad XFERA MÓVILES, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00005/2017, y en base a los siguientes, HECHOS PRIMERO: Con fecha 14 de julio de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00005/2017 , en virtud de la cual se imponía a la entidad XFERA MÓVILES, S.A., una sanción de 5.000 €, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.
- b)de dicha norma, de conformidad con lo establecido en los apartados 2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 20 de julio de 2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00005/2017, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBADOS PRIMERO: Con fecha 15 de febrero de 2016 el denunciante presentó escrito, ampliado con fechas 6 de junio y 11 de julio de 2016, poniendo de manifiesto la cesión inconsentida de sus datos de carácter personal por parte de TELEFÓNICA DE ESPAÑA, SAU (operador de servicios de comunicaciones fijas, y en adelante, TDE) a XFERA MÓVILES, S.A. (operador de servicios de comunicaciones móviles, y en lo sucesivo, YOIGO), toda vez que última le ha remitido dos correos electrónicos a su cuenta de correo conteniendo los resúmenes de facturación de los meses de diciembre de 2015 y enero 2016 del servicio de telefonía que tiene contratado con TELEFÓNICA DE ESPAÑA, SAU y del servicio “Fusión a lo Yoigo” de YOIGO, empresa con la que no nunca ha mantenido relación contractual ni contactos comerciales. (folios 1 al 6, 16 al 25 ). SEGUNDO: En los sistemas de información de TDE el denunciante figura como cliente de esa compañía desde el 9 de marzo de 2015, fecha también citada por el denunciante como de contratación de la línea fija nº ***TEL.1. (folios 16, 38 al 42) Según TDE, el alta en el servicio ADSL Base se produce tras un contacto comercial C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 realizado el 3 de marzo de 2015 por la plataforma que atiende las contrataciones que se realizan a través del canal on line. TERCERO: El denunciante ha aportado la factura correspondiente al mes de diciembre de 2015 emitida por TDE a su nombre con 16 de enero de 2016, correspondiente a la cuota mensual “Movistar ADSL Base Fijo-Móvil (8 Dic. A 31 Dic.), servicio que aparece asociado a la línea de teléfono fija nº ***TEL.1. (folio 3). CUARTO: El denunciante no es ni ha sido cliente de YOIGO, no figurando ningún dato del mismo en los Sistemas de Información de esa compañía. (folios 51, 123, 124) QUINTO: Con fechas 11 de enero de 2016 y 10 de febrero de 2016 YOIGO remitió desde la dirección de correo eléctronico <no.reply@facturayoigo.com> a la cuenta del denunciante <***EMAIL.1> dos envíos con Asunto: “Resumen de tu factura de Fusión a lo Yoigo” correspondiente a los meses de diciembre 2015 y enero 2016, respectivamente. (folios 20 al 23) SEXTO: El texto del correo electrónico remitido por YOIGO al denunciante con fecha 11 de enero de 2016 es el siguiente: (folios 20 al 21) “HOLA, YA ESTÁ LA FACTURA DE DICIEMBRE 2015 El resumen de tu producto Fusión a lo Yoigo de este mes ya está listo para que le eches un vistazo. Puedes acceder haciendo clik aquí. (…)”, siendo el texto subrayado un enlace al resumen de la facturación, documento en el que YOIGO informa: “Este es el resumen de tu factura de Fusión a lo Yoigo diciembre 2015. La tarifa que tienes contratada es: Cuota mensual fijo e internet de Movistar (36,76€) y cuota mensual móvil de Yoigo (14,72€). (…) CUOTA MENSUAL FUSIÓN A LO YOIGO 51,48 € . Te llegaran al banco dos recibos distintos el día 16 de cada mes. (…).” SÉPTIMO: El texto del correo electrónico remitido por YOIGO al denunciante con fecha 10 de febrero de 2016 es el siguiente: (folios 22 al 23) “HOLA, YA ESTÁ LA FACTURA DE ENERO 2016 El resumen de tu producto Fusión a lo Yoigo de este mes ya está listo para que le eches un vistazo. Puedes acceder haciendo clik aquí. (…)”, siendo el texto subrayado un enlace al resumen de la facturación, documento en el que YOIGO informa: “Este es el resumen de tu factura de Fusión a lo Yoigo enero 2016. La tarifa que tienes contratada es FUSIÓN INFINITA A LO YOIGO: Cuota mensual fijo e internet de Movistar (36,76€) y cuota mensual móvil de Yoigo (14,72€).(…) CUOTA MENSUAL FUSIÓN A LO YOIGO 51,48 € . Te llegaran al banco dos recibos distintos el día 16 de cada mes”. OCTAVO: Con fecha 31 de julio de 2013, TELEFONICA DE ESPAÑA, S.A.U. y XFERA MÓVILES, S.A. suscribieron, “Contrato de Agencia entre Telefónica y YOIGO” (folios 55 al 83) , el cual tenía por objeto “determinar las condiciones de comercialización por las cuales YOIGO podrá promover la contratación, (…) en nombre y por cuenta de TELEFÓNICA, de ciertos servicios fijos prestados por TELEFÓNICA”, así como regular las condiciones que permitían a YOIGO “presentar al mercado minorista una “oferta convergente”, el Producto Conjunto, que incluya en un solo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 empaquetamiento comercial dos servicios: - El servicio telefónico móvil y de banda ancha móvil prestado por YOIGO; - El servicio telefónico fijo y de banda ancha fija (Servicios Fijos) de TELEFÓNICA.” En cuanto a la comercialización del producto conjunto, y a pesar de la comercialización por YOIGO de dicha oferta conjunta o producto conjunto como un empaquetamiento, en el contrato figura que “el cliente debía contratar formalmente tanto con TELEFÓNICA como con YOIGO el servicio minorista de cada uno de los servicios integrados con el paquete convergente, para sí poder disfrutar del producto fijo y del producto móvil respetivamente.”, de tal modo que el cliente contrataba con TELEFONICA los servicios de telecomunicaciones fijas y con YOIGO los servicios de telecomunicaciones móviles, manteniendo relaciones contractuales independientes con éstas. En cuanto a la facturación se estipula que para que los clientes finales del producto conjunto ofertado tuvieran una experiencia de producto único, y con independencia de que recibieran dos facturas independientes y separadas emitidas por cada una de las partes por los servicios fijos o móviles prestados, “coincidiendo con cada período de facturación, Yoigo remitirá un correo electrónico a cada cliente de dicho Producto Conjunto en el que detallará: El importe del Producto Conjunto, resultante de la suma de los conceptos incluidos en dicho paquete facturables por ambas partes, La información relativa al importe total de las facturas que el cliente recibirá de cada Parte, con una referencia a los conceptos adicionales al Producto Conjunto a los que se refiere. ” NOVENO: El documento denominado “Requerimientos para la composición y gestión de documento informativo integrador de facturas Movistar y Yoigo”, de fecha 29 de octubre de 2013, que contiene la siguiente información: (folios 84 al 90) Las funciones a desarrollar por el operador móvil serán: Validación de Datos; Elaboración de documento resumen: Envío por email; Detección de discrepancias/errores en los envíos del operador fijo, principalmente diferencias emails y NIFs; Devolución de los ficheros con el resultado de su proceso Para ello en el punto 2 del documento se establece que: “La operadora fija enviará al operador móvil un fichero con los datos necesarios para la elaboración del documento resumen, (…)” fijándose como datos básicos del fichero: Titular, NIF, email, numeración fija y los conceptos facturados al cliente. Los datos reflejados en el apartado de descripción del fichero a ser suministrador por el operador fijo. . En el punto 3 se determina que el operador móvil validará el NIF, email e idioma con anterioridad a la elaboración del documento resumen, y actuará conforme al siguiente protocolo en función del resultado de dichas comprobaciones: Respecto del resultado validación de NIF: a. Si el NIF coincide, se enviará el email resumen con la parte fija y la parte móvil, concretándose que en caso de discrepancias con el email se usará el del operador móvil. b. Si el NIF existe sólo en la parte fija, C/ Jorge Juan, 6 28001 – Madrid se enviará email www.agpd.es sedeagpd.gob.es 4/15 resumen solo con la parte fija, concretándose que se enviará resumen a la dirección de email facilitada por el operador fijo. c. Si el NIF existe sólo en la parte móvil, se enviará email resumen solo con la parte móvil. Se señala que se enviará resumen a la dirección de email facilitada por el operador móvil Los modelos de documentos resumen a enviar tendrán diferentes presentaciones en función del resultado de la validación (documento conjunto con datos de fijo y móvil, documento sólo con datos de fijo, documento sólo con datos de móvil). Respecto del resultado de la validación del email, se enviarán los emails a los clientes con independencia de que sean coincidentes o se detecten discrepancias, determinándose que: “en el caso de discrepancias en emails y resto de datos coincidentes, el email que se utilizará para el envío será el de la operadora móvil.” , realizándose por la operadora móvil “ una gestión posterior con el cliente para corrección de emails discrepantes, actualizando las bases de datos de ambas operadoras. Cuando el fichero con datos de fijo no contenga email del cliente, el operador móvil elaborará documento resumen con las dos partes, usando el email registrado en la pare móvil. En cuanto al Documento Resumen se fija que: “El operador móvil enviará un email a los clientes con un resumen de los cargos asociados a los servicios prestados por los operadores, distinguiendo entre la fija y la móvil,(…). También se incluirán los link correspondientes a las webs de los Operadores para posibles consultas a su factura. (…) DÉCIMO: YOIGO ha manifestado que la tarifa “Fusión Infinita a lo Yoigo” dejó de comercializarse en febrero de 2016 (folios 125 y 150 )>> TERCERO: Con fecha 24 de agosto de 2017 se registra de entrada en esta Agencia Española de Protección de Datos, (en lo sucesivo AEPD), recurso de reposición presentado en la Sociedad Estatal Correos y Telégrafos, S.A. con fecha 21 de agosto de 2017 por la representación de la sociedad XFERA MÓVILES, S.A., en adelante YOIGO o la recurrente, en el que dicha entidad solicita el archivo de las actuaciones practicadas manteniendo que no ha efectuado ningún tratamiento inconsentido con los datos personales del denunciante. Según la recurrente, su conducta ha respondido al cumplimiento de lo previsto en las cláusulas 2.2 y 2.3 del contrato suscrito entre Telefónica de España, SAU y YOIGO con fecha 31/07/2013, y el uso de los datos de afectado se realizó con arreglo al documento “Requerimientos para la composición y gestión de documento informativo integrador de facturas Movistar y Yoigo”. A fin de justificar su falta de responsabilidad en la comisión de la infracción al artículo 6.1 de la LOPD descrita, indica que el denunciante “no tiene ni tenía relación alguna con Yoigo y así lo afirma él mismo en su denuncia. Es Telefónica la quedó curso en sus sistemas a una contratación no solicitada y que una vez que identificó en sus sistemas al sr. A.A.A. como cliente de producto Fusión, -aun cuando no había firmado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 ningún contrato con Yoigo- lo incluyó en el fichero de clientes que remitía mensualmente a Yoigo para que ésta enviará el correo electrónico con el resumen de la factura. En cumplimiento del contrato suscrito con Telefónica, Yoigo remitió el correo electrónico al listado de clientes incluidos en el fichero remitido por Telefónica, en el que se encontraba el sr. A.A.A..” Subsidiariamente, solicita la minoración del importe de la sanción impuesta reiterando que resultan de aplicación los atenuantes previstos en los apartados
- a)y
- e)del artículo 45.5 dela LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por XFERA MÓVILES, S.A., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho III al VII, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<III En el presente procedimiento se imputa a YOIGO la presunta vulneración del artículo 6.1 de la LOPD que dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” Ese precepto ha de integrarse con las siguiente definición recogida en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 apartado
- h)el artículo 3 de la LOPD que el “Consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento o autodeterminación recogido en el artículo 6.1 de la LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos de carácter personal. Derecho fundamental que en palabras del Tribunal Constitucional (STC 292/2000, Fundamento Jurídico 7) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” A su vez, el artículo 12 del RLOPD establece los siguientes “Principios generales” en cuanto a la “Obtención del consentimiento del afectado”: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. Por otra parte, el artículo 6 del ya citado Reglamento general de protección de datos, Reglamento (UE) 2016/679 establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales” (…); norma aplicable a partir del 25 de mayo de 2018, fijando en su artículo 7.1) en relación con el consentimiento del interesado que “el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. De acuerdo con los preceptos transcritos incumbe al responsable del tratamiento de los datos estar en disposición de probar que cuenta con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 consentimiento inequívoco de su titular, que media habilitación legal para ello o que se produce alguna de las excepciones al consentimiento fijadas en el apartado 2 del artículo 6 de la LOPD, o, al menos, probar que adoptó las medidas que le exige el cumplimiento diligente de la obligación impuesta por la LOPD en su artículo 6.1. En relación con esta cuestión, la sentencia de la Audiencia Nacional de 4 de marzo de 2009 señala: “Respecto al consentimiento, es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. IV El presupuesto fáctico de la infracción atribuida a YOIGO se concreta en el tratamiento del correo electrónico del denunciante sin el consentimiento inequívoco del mismo para enviarle dos resúmenes de facturación del producto “Fusión a lo Yoigo” correspondientes a los meses de diciembre de 2015 y enero de 2016, en los que junto con los importes del servicio “Movistar ADSL Base Fijo-Móvil” que el afectado tenía contratado con TDE se le imputaban los importes detallados como “Cuota mensual Móvil de Yoigo. Tarifa Móvil Fusión Infinita a lo Yoigo”, cuando el afectado no sólo no había contratado dicho servicio con YOIGO, sino que nunca ha mantenido relación contractual con dicha empresa. De hecho, esta circunstancia ha sido puesta de manifiesto tanto por el denunciante como por la propia inculpada, en cuyos sistemas de información no figura ninguna información relativa al denunciante. De esta forma, al no enmarcarse dicho tratamiento en el desarrollo de una acción necesaria para el mantenimiento o cumplimiento de una relación contractual existente entre las partes, no resulta de aplicación al presente caso la excepción recogida en el artículo 6.2 de la LOPD a la exigencia del consentimiento inequívoco del afectado determinada en el artículo 6.1 de la misma norma, habida cuenta que el afectado no es cliente de la inculpada al no mantener ningún tipo de relación contractual con YOIGO. Tampoco YOIGO, a lo largo de la instrucción del procedimiento, ha presentado prueba alguna que justificase que los mencionados envíos se habían realizado contando con el consentimiento inequívoco del afectado para tratar su correo electrónico o se amparasen en una norma legal que legitimaba el uso realizado.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 La falta de facturación real a nombre del denunciante por parte de la inculpada no implica que, de conformidad con las definiciones contenidas en los apartados a), c),
- e)y
- h)del artículo 3 de la LOPD, dicha empresa no resulte responsable de la conculcación del principio del consentimiento al haber usado el dato del uso del dato del correo electrónico del denunciante en las fechas y con la finalidad anteriormente descritas, conducta en la que se materializa el tratamiento sin consentimiento llevado a cabo por YOIGO. Así, consta probado en el expediente que ese operador móvil envió al denunciante con fechas 11 de enero y 10 de febrero de 2016 los dos correos electrónicos con asunto: ”Resumen de tu factura de Fusión a lo Yoigo” reseñados en los Hechos Probados 5) al 7). Cabe decir por tanto que, ante la falta de acreditación por parte de la entidad imputada del consentimiento inequívoco del denunciante para el tratamiento de sus datos personales, y ante la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, ya que YOIGO ha reconocido que el denunciante no es cliente ni ha sido se estima vulnerado por la entidad imputada el artículo 6.1 de la LOPD. V YOIGO pretende exonerarse de la responsabilidad en la que ha incurrido aduciendo que los reseñados envíos traen causa del contrato suscrito entre TDE y esa empresa con fecha 31 de julio de 2013. Según la inculpada, TDE es la verdadera responsable del tratamiento, por haber dado de alta indebidamente en sus sistemas al denunciante como cliente de un producto sin constar que hubiera sido contratado por el afectado a través de los canales de distribución de YOIGO, procediendo posteriormente a comunicar los datos del afectado a YOIGO a través de los ficheros enviados para la remisión de los correos electrónicos con el resumen de las facturas de la tarifa “Fusión a lo Yoigo”, envíos que YOIGO realizó en cumplimiento del mencionado contrato. Con independencia de que TDE haya reconocido, tan pronto como se le notificó el acuerdo de inicio del PS/00004/2017, su responsabilidad en la cesión inconsentida de los datos del denunciante a YOIGO para la remisión al afectado, vía correo electrónico, de los reseñados resúmenes de facturación, esta Agencia entiende que, en el supuesto analizado, YOIGO resulta responsable de la comisión de la infracción al principio del consentimiento a título de culpa, puesto que trató los datos del denunciante en la forma y con la finalidad descritas sin asegurarse, previamente a la realización de tales envíos, que el titular de la cuenta de correo electrónico a la que remitía los resúmenes era cliente de YOIGO. Téngase en cuenta que la remisión de dichos resúmenes de facturación por YOIGO respondía, según se desprende de la documentación contractual obrante en el procedimiento, al interés de dotar de una apariencia de producto conjunto al empaquetamiento comercial de los servicios de telefonía móvil y de telefonía fija comprendidos en la tarifa “Fusión a lo Yoigo”, aunque los servicios comprendidos en la misma se contrataban separadamente por el cliente con YOIGO y con TDE, prestando y facturando la primera los servicio de telefonía móvil y la segunda los servicios de telefonía fija. En este marco el denunciante recibió dos correos electrónicos remitidos por YOIGO comunicándole unos resúmenes de facturación asociados a un producto conjunto en el que se incluía la cuota mensual del servicio contratado a TDE y otra cuota mensual de un servicio Móvil de YOIGO que el afectado no había contratado, circunstancia que la inculpada tenía obligación de conocer ya que el denunciante no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 era cliente de YOIGO, no debiendo, por tanto, de haber tratado el correo electrónico del afectado para enviarle información referente a un producto que no había contratado, tal y como le constaba en sus propios sistemas. Para poder exigirse a YOIGO responsabilidad administrativa sancionadora resulta condición esencial la presencia del elemento subjetivo o elemento culpabilístico de la infracción. Así lo ha reconocido el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. La Ley 40/2015 del Régimen Jurídico del Sector Público se refiere a este requisito en su artículo 28 que dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” En relación con esta cuestión, YOIGO alega que actuó conforme al procedimiento establecido en el contrato de Agencia suscrito con TDE y en el documento ”Requerimiento para la composición y gestión de documento informativo integrador de facturas Movistar y Yoigo” puesto que al recibir un NIF que sólo existía en la parte fija, le envío tal y como estaba obligada en todos los casos, el email con el resumen de factura, y la validación con email se hace a posteriori y una vez enviado el email en todos los casos. A este respecto, consta que: se señala que en la introducción del mencionado documento “Movistar va a crear tres productos específicos en su línea de negocio fija de voz e internet con capacidad de crear paquetes con la línea móvil de otro operador. Los productos de la línea fija podrán ser contratados por clientes de Movistar, sin contratar la parte móvil, en cuyo caso, no formarán parte de este requerimiento.” A tenor de lo cual, la elaboración de los resúmenes de facturación que integran facturas Movistar (entiéndase TDE) y YOIGO así como su envío requiere que el cliente en cuestión haya contratado con TDE y con YOIGO, en forma separada, los productos asociados a la Tarifa “Fusión a lo Yoigo”. De hecho el propio nombre del documento (“Requerimiento para la composición y gestión de documento informativo integrador de facturas Movistar y Yoigo”) resulta ilustrativo a los efectos que nos ocupan. Es decir, las instrucciones de los elementos a validar (NIF, email e idioma), deben situarse en ese contexto, utilizándose el email de los clientes obrante en la parte fija o en la parte móvil para el envío del documento resumen a los mismos en función del resultado de las comprobaciones efectuadas en el fichero facilitado por TDE y en los sistemas de YOIGO y con arreglo a las situaciones señaladas en el documento, pero siempre partiendo de que el tratamiento a realizar afecta sólo a los clientes de TDE y de YOIGO que han contratado la mencionada tarifa. Confirma esta interpretación el propio contenido del documento, en el que constan las siguientes instrucciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 En el punto 3.1 del reseñado documento, relativos al resultado validación de NIF y del email se señala: “La operadora móvil realizará una gestión posterior con el cliente para corrección de emais discrepantes, actualizando las bases de datos de ambas operadoras.” En el punto 3.2 del reseñado documento, relativo al resultado de la validación email se señala: que sean o no coincidentes los emails comprobados “En ambos casos se enviarán los emails a los cliente, pero en el caso de discrepancias, en emails y resto de datos coincidentes, el email que se utilizará (…) La operadora móvil realizará una gestión posterior con el cliente para corrección de emais discrepantes, actualizando las bases de datos de ambas operadoras.” Puede darse la posibilidad de que el fichero condatos de fij no contenga email del cliente. (…) “ Asimismo, en el apartado 4 del citado documento, relativo al Documento Resumen, se indica que: “El operador móvil enviará un email a los clientes con un resumen de los cargos asociados a los servicios prestados por los operadores (…) Se debe tener la posibilidad de emitir un documento ( en el mismo idioma que se comunica el operador origen con el cliente (…) Los documentos se enviarán a los clientes vía email con el protocolo de seguridad acordado con los operadores(…)” La interpretación alegada por la inculpada conlleva usar los datos de los afectados aunque no sean clientes de YOIGO, dando lugar a un tratamiento que desde la perspectiva de la normativa de protección vulnera el principio del consentimiento recogido en la misma. Teniendo en cuenta las consideraciones precedentes, esta Agencia entiende que a raíz de las comprobaciones que YOIGO debió efectuar antes de enviar los correos electrónicos, tuvo conocimiento de que el NIF y el email del denunciante titular de los datos incluidos en los ficheros facilitados por TDE no se correspondían con los datos personales de ningún cliente de YOIGO registrado en sus propios ficheros. De esta forma, YOIGO debería haberse abstenido de usar el correo electrónico del denunciante para remitirle los dos resúmenes de facturación denunciados, los cuales incluían datos de facturación de un servicio que la inculpada debía conocer que el afectado no había contratado, por lo que, aunque los datos del denunciante figurasen incluidos en los ficheros facilitados por TDE, podía haber evitado el tratamiento sin consentimiento que realizó al haber constatado la existencia del error a través de las validaciones del NIF y del email. Sobre este particular, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (SSTS de fecha 23 de octubre de 2006 y 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Así, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Por otro lado, no debe olvidarse la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 cuando, como ocurre con YOIGO el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, por todas, sentencia de 29 de abril de 2010, R.771/2009). En definitiva, YOIGO, en su condición de responsable del tratamiento de los datos personales del denunciante analizado, no mostró la diligencia y deber de cuidado que le resultaban exigibles como empresa habituada en el desarrollo de su actividad al tratamiento de datos de carácter personal de sus clientes, y de terceros, para adecuar su conducta a las exigencias del principio del consentimiento, motivo por el cual resulta responsable, a título de culpa, de la comisión de una infracción al artículo 6.1 de la LOPD y se rechazan sus alegaciones. VI El artículo 44.3.
- b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el presente caso, YOIGO ha tratado los datos personales del denunciante sin su consentimiento, resultando responsable, a título de culpa, de la vulneración del principio del consentimiento recogido en el artículo 6.1 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
- b)de dicha norma. VII El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. YOIGO afirma que en el presente supuesto concurren, a los efectos de la minoración cualificada de la sanción, los supuestos contemplados en los apartados
- e)y
- a)del artículo 45.5 de la LOPD. En relación con la aplicación concurrente de varios de los supuestos previstos en este apartado 5, hay que reseñar la sentencia de la Audiencia Nacional de fecha 28 de abril de 2015, que dice al respecto: “Una vez que se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra y otras de dichas circunstancias puesto que la reducción ya se ha producido”.” Por otra parte, se considera que en el presente supuesto no se produce la circunstancia establecida en el artículo 45.5.
- e)de la LOPD, conforme prueba la “Escritura de Protocolización de Acuerdos Sociales y Declaración de Adquisición de Unipersonalidad Sobrevenida” de fecha 5 de octubre de 2016, cuya copia ha aportado la inculpada. Dicha pretensión debe rechazarse por los siguientes motivos:
- a)el documento aportado no refleja que se haya producido un ningún proceso de fusión por absorción a raíz del cual la inculpada haya sido absorbida por otra empresa. Dicha escritura se limita a recoger que como consecuencia de la transmisión de la totalidad de las acciones que integran el capital social de XFERA MÓVILES, S.A., el accionista único de la misma ha pasado a ser la entidad mercantil C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 denominada MASMOVIL PHONE&INTERNET, S.A., UNIPERSONAL, al adquirir ésta la totalidad de las acciones que conforman el íntegro capital social de aquélla. De hecho, todos los escritos presentados durante la tramitación de las actuaciones previas E/01680/2016 y del procedimiento sancionador que nos ocupa se han formulado por la representación de XFERA MÓVILES, S.A. con posterioridad al 5 de octubre de 2016, a lo que hay que sumar que dicha empresa ha continuado desarrollando su actividad mercantil bajo dicha denominación social. Asimismo, en la mencionada Escritura de Protocolización consta que el Administrador único de la inculpada manifiesta que “subsisten las entidades a las que representa y que no han variado las circunstancias identificativas de las mismas, especialmente, las relativas a su objeto social y domicilio.”
- b)el tratamiento inconsentido de los datos del denunciante descrito tuvo lugar en diciembre de 2015 y enero de 2016, es decir, con anterioridad a la formalización de la escritura presentada. Ahora bien, lo anterior no es óbice para que esta Agencia considere que en este caso opera el supuesto
- a)del artículo 45.5 de la LOPD, al apreciarse una cualificada disminución de la culpabilidad de YOIGO como consecuencia de la concurrencia significativa de los siguientes criterios del apartado 4 del artículo 45 de dicha norma: el volumen de tratamientos efectuados por YOIGO con los datos de carácter personal del denunciante se limitó al uso de su cuenta de correo electrónico para remitirle dos resúmenes de facturación (criterio 4.
- b); no consta que la inculpada haya obtenido beneficios como consecuencia de la comisión de la infracción, ya que la facturación no llegó a generarse (criterio 4.e); y la falta de constancia de que el tratamiento analizado haya causado perjuicios al denunciante o a terceras personas. (criterio 4.
- h)Motivo por el cual cabe la imposición de una sanción en la cuantía de 900 a € a 40.000 €, al tener la infracción cometida por YOIGO la calificación de grave, pero poder sancionarse conforme a las multas establecidas para las infracciones leves. A los efectos de graduación de la sanción a imponer, se entiende que en este supuesto operan como agravantes: La vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), teniendo en cuenta que la actividad empresarial desarrollada por la inculpada en el sector de las telecomunicaciones exige un constante y abundante manejo de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva de los principios y garantías de los titulares de los datos recogidas en la LOPD y su normativa de desarrollo; E l volumen de negocio (apartado 4.d), toda vez que estamos ante uno de los principales operadores de telefonía móvil del país; En relación con el grado de intencionalidad (apartado 4.f), si bien es cierto que no es posible sostener en el presente caso que la entidad hubiera actuado intencionadamente o con dolo, no cabe ninguna duda de que incurrió en una grave falta de diligencia al no haber adoptado mecanismos de control para asegurarse, con anterioridad al tratamiento de los datos de carácter personal del denunciante, que éste había contratado la “Tarifa Fusión Infinita a lo Yoigo”, que de haberse producido, habría evitado los hechos denunciados. Asimismo, se considera operan como atenuantes que el tratamiento realizado tiene su origen en la inclusión errónea de los datos personales del denunciante en los dos ficheros remitidos por TDE a la inculpada para la remisión de los correos electrónicos con el resumen de facturación de la “Tarifa Fusión a lo Yoigo” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 correspondiente a los dos meses indicados, dejado de ser comercializado. (criterio 4.
- j)producto conjunto que, además, ha Por lo que, de acuerdo con los criterios de graduación de las sanciones previstos en los apartados 4 y 5 del artículo 45 de la LOPD anteriormente citados, se estima adecuado a la gravedad de los hechos imponer a la inculpada una sanción en la cuantía de 5.000 euros.>> III Por lo tanto, en el presente recurso de reposición, XFERA MÓVILES, S.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. En relación con este particular, se señala que en los fundamentos de derecho de la mencionada resolución aparecen pormenorizadamente descritos los motivos por los que se ha considerado a dicho operador responsable de la comisión de los hechos objeto del tratamiento inconsentido de los datos personales del denunciante. En cuanto a la aplicación del principio de proporcionalidad, la resolución justifica los criterios valorados para apreciar una cualificada disminución de la culpabilidad de la recurrente en aplicación del supuesto
- a)del artículo 45.5 de la LOPD, rechaza que, en este caso, concurra el supuesto
- e)del mismo precepto por la causa invocada y, asimismo, detalla los criterios del artículo 45.4 de la LOPD que se han ponderado como atenuantes o agravantes para fijar la cuantía de la multa finalmente impuesta. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por XFERA MÓVILES, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 14 de julio de 2017, en el procedimiento sancionador PS/00005/2017. SEGUNDO: NOTIFICAR la presente resolución a la entidad XFERA MÓVILES, S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es