REPOSICION-PS-00019-2013

1/14 Procedimiento nº.: PS/00019/2013 ASUNTO: Recurso de Reposición Nº RR/00633/2013 Examinado el recurso de reposición interpuesto por la entidad VODAFONE ESPAÑA, S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00019/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 28 de junio de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00019/2013 , en virtud de la cual se imponía a la entidad VODAFONE ESPAÑA, S.A.U., una sanción de 50.000 €, por la vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 4 de julio de 2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00019/2013, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS <<1. El denunciante fue cliente de la entidad VODAFONE, con la que tuvo contratada una línea de telefonía móvil. 2. VODAFONE ha manifestado que el denunciante acumula una deuda por importe de 117,02 euros, por el impago de las facturas correspondientes a los meses de mayo, junio y julio de 2011. 3. Con fecha 07/09/2011, el denunciante formuló una reclamación ante la SETSI, por disconformidad con los cargos recogidos en las facturas reseñadas en el Hecho Probado Segundo. 4. En los sistemas de información de VODAFONE consta una anotación de 20/09/2011, que registra la entrada de un correo electrónico remitido desde la dirección de correo reclamacionesdgtti@mityc.es, que informa a VODAFONE sobre la reclamación formulada por el denunciante ante la SETSI, por disconformidad con los importes facturados. En relación con este apunte, en los sistemas de información de VODAFONE consta una anotación de 26/09/2011 según la cual, dicha entidad, tras comprobar que la facturación objeto de la reclamación citada anteriormente y los servicios facturados, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 notifica a la SETSI mediante carta que “estos servicios es necesario que el cliente se de de baja enviando la palabra baja al número que recibe los sms especiales”. 5. Con fecha 02/10/2011, la entidad VODAFONE instó el registro de los datos personales del denunciante en el fichero de solvencia patrimonial y crédito “Badexcug” por una deuda por importe de 117,02 euros. 6. El denunciante solicitó a la entidad responsable del fichero Badexcug la cancelación de sus datos personales registrados en dicho fichero. Mediante escrito de fecha 25/10/2011, dicha entidad informó al mismo sobre la cancelación de la anotación reseñada en el Hecho Probado Quinto. 7. Con fecha 05/02/2012, la entidad VODAFONE instó el registro de los datos personales del denunciante en el fichero de solvencia patrimonial y crédito “Badexcug” por una deuda por importe de 117,02 euros. 8. Con fecha 10/02/2012, la entidad VODAFONE instó el registro de los datos personales del denunciante en el fichero de solvencia patrimonial y crédito “Asnef” por una deuda por importe de 117,02 euros. >> TERCERO: Con fecha 22 de julio de 2013, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad VODAFONE ESPAÑA, S.A.U. (en lo sucesivo la recurrente), recibido en esta Agencia Española de Protección de Datos en la misma fecha, en el que solicita de nuevo el archivo de las actuaciones o, subsidiariamente, la imposición de una multa por el importe previsto para las infracciones leves, considerando las mismas circunstancias ya expuestas en sus escritos anteriores. En su recurso, VODAFONE reproduce casi literalmente las alegaciones efectuadas a la apertura del procedimiento y a la propuesta de resolución, que constan reseñadas en la Resolución impugnada con el siguiente detalle: En relación con las alegaciones al acuerdo de inicio de procedimiento, en la Resolución impugnada se reseña lo siguiente: << VODAFONE, por su parte, presentó escrito en el que solicitó el archivo de las actuaciones por ausencia de infracción y, subsidiariamente, la imposición de una sanción por el importe previsto para las infracciones leves en su cuantía mínima. En relación con los hechos imputados, manifiesta que la denunciante acumuló una deuda por importe de 117,02 euros, resultado del impago de tres facturas en las que se incluyeron cargos por servicios que fueron activados por el cliente. Añade que el denunciante interpuso ante la SETSI una reclamación el 07/09/2011, recibida por VODAFONE el 20/09/2011, y que fue respondida por la entidad informando al citado organismo sobre los cargos efectuados. En dicho escrito de alegaciones se indica: “Que sin perjuicio de lo anterior, y ante la continuidad del impago, Vodafone procedió a incluir los datos del… (el denunciante) en los ficheros de solvencia negativa Asnef y Badexcug, ficheros en los que no se encuentran actualmente los datos del Sr… (el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 denunciante)…”. Señala que VODAFONE no ha infringido el principio de calidad de datos, ya que la deuda generada asociada al denunciante era cierta, líquida, vencida y exigible, derivada del impago de la factura antes reseñada, que fue requerida de pago. Subsidiariamente, solicita la imposición de una sanción en la cuantía correspondiente a las infracciones leves, de acuerdo con lo previsto en el artículo 45.5 de la LOPD, teniendo en cuenta la falta de culpabilidad de VODAFONE. Asimismo, ha de considerarse lo dispuesto en el artículo 45.4 de la LOPD, por las siguientes razones 1) carácter continuado de la infracción; 2) volumen de los tratamientos efectuados (datos asociados a un único cliente); 3) vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (VODAFONE es una empresa que continuamente trata los datos personales de sus clientes y vela por el cumplimiento de la legislación vigente en materia de protección de datos); 4) Volumen de negocio o actividad del infractor y, especialmente, el volumen de deuda general que maneja; 5) beneficios obtenido (VODAFONE no ha obtenido beneficio alguno); 6) ausencia de intencionalidad; 7) no ha habido reincidencia; 8) ausencia de daños o perjuicios a la persona afectada; 9) VODAFONE tiene implantados procedimientos para la recogida de datos y tratamientos de los datos, requerir deudas y procesos de inclusión y exclusión en ficheros de solvencia.>>. En relación con las alegaciones a la propuesta, en la Resolución impugnada se reseña lo siguiente: << Notificada la citada propuesta, se recibió escrito de alegaciones de la entidad VODAFONE en el que reproduce literalmente sus manifestaciones anteriores y la solicitud de aplicación de lo dispuesto en los artículos 45.4 y 5 de la LOPD. En relación con la aplicación de los citados preceptos, considera VODAFONE que ha de considerarse la conducta del propio afectado, que no abonó una cantidad que respondía a la contratación por él mismo de servicios Premium con un tercero, siendo VODAFONE un mero intermediario; que se regularizó la situación de manera diligente nada más conocer la apertura de un procedimiento por un organismo oficial, cancelando la parte proporcional correspondiente al cargo por incumplimiento (penalización); y que el registro de los datos personales del denunciante en ficheros de solvencia es anterior al inicio del procedimiento arbitral. Por otra parte, y en contra de lo indicado anteriormente, señala que se tenga en cuenta para la ponderación prevista en el artículo 45.4 que la anotación de los datos se produce casi cinco meses después de la iniciación del procedimiento ante la SETSI, próximo a la finalización del mismo que tiene una duración de seis meses, sin que conste a esa parte que se haya emitido resolución en ese plazo.>>. En su recurso, VODAFONE insiste en que el escrito de la SETSI fue recibido en septiembre de 2011 y los datos del denunciante fueron incluidos en los ficheros de solvencia casi seis meses después de dicha notificación y sin existir resolución al respecto, añadiendo que los datos del afectado fueron excluidos de los ficheros de solvencia patrimonial y crédito a raíz de la iniciación del expediente de información de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 AEPD en diciembre de 2012, sin existir aún resolución de la reclamación. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la entidad recurrente, que reproducen, básicamente, las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a V de la Resolución recurrida, R/01571/2013, de 28/06/2013, en los que se considera que la citada entidad incumplió lo dispuesto en el artículo 4.3 de la LOPD, y se detallaba suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. En dichos Fundamentos de Derecho se indica lo siguiente: <<II Se imputa a VODAFONE, en el presente procedimiento, la comisión de una infracción del artículo 4.3 de la LOPD, que señala lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el creedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Asimismo, el Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:

1. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. (…)
2. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
3. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. 1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es él el que conoce si la deuda realmente existe o si ha sido saldada o no, siendo las entidades informantes las que deciden a quién dan de alta o de baja. Además, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999, implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. La exigencia de que la deuda sea “cierta”, (artículo 38.1.
4. a)del R.D. 1720/2007) responde al principio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 calidad de los datos plasmado en el artículo 4.3 de la LOPD. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar a ficheros comunes datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias, siempre que la información registrada en los ficheros de esta naturaleza respete el principio de veracidad y exactitud. Por otra parte, resulta necesario hacer una breve referencia a la STS de 15 de julio de 2010, que declara la nulidad, por ser disconforme a Derecho, del inciso último del artículo 38.1.
5. a)del R.D. 1720/2007. El Fundamento de Derecho decimocuarto de la Sentencia, en el que se examina y valora la impugnación del citado precepto, precisa cuáles son los términos de la controversia planteada en relación a éste. Manifiesta la STS que “procede indicar que la exigencia al inicio del apartado 1
6. a)del artículo 38 de que la deuda sea “cierta” responde al principio de veracidad y exactitud recogido en el artículo 4.3 de la Ley 15/1999(…) Siendo el adjetivo <cierto> sinónimo de irrefutable, incontestable, indiscutible, etc,.. el tema de debate se circunscribe a si es posible sostener con éxito que, en aquellos casos en que se hubiera entablado con respecto a la deuda un procedimiento de los expresados en el artículo 1 a), puede hablarse de una deuda cierta antes de que recaiga resolución firme o se emita, en los supuestos previstos en el Reglamento de los Comisionados, el informe correspondiente”. La Sala Tercera del TS contesta a esta pregunta indicando que lo relevante es “decidir si el apartado 1
7. a)del artículo responde a la previsión legal del artículo 4.3, y la respuesta debe ser negativa en atención a la defectuosa redacción del precepto reglamentario por una inconcreción en su texto no sólo de aquellos procedimientos que justifican la no inclusión en los ficheros de las deuda a que aquellos se refieren, sino también porque esa vaguedad permite considerar que incluso cuando la reclamación se formule por el acreedor exista la imposibilidad de inclusión de los datos en el fichero”. Termina manifestando que el conflicto de intereses debe resolverse “exigiendo una mayor concreción en el precepto reglamentario que pondere los intereses en presencia en atención a las circunstancias concretas”. Del tenor literal de los fragmentos de la STS de 15 de julio de 2010 que se reproducen se evidencia, por una parte, que es la inconcreción de que adolece la redacción del último inciso del artículo 38.1.
8. a)del R.D. 1720/2007 lo que justifica su anulación y por otra, que el Tribunal estima ajustada a Derecho la exigencia del artículo 38.1.
9. a)del RLOPD de que la deuda sea “cierta”, adjetivo que es sinónimo de irrefutable e indiscutible y que es consecuencia del principio de veracidad y exactitud que consagra el artículo 4.3 de la Ley Orgánica 15/1999. A tenor de las consideraciones precedentes cabe concluir que la impugnación de una deuda cuestionando su existencia o certeza ante órganos administrativos, arbitrales o judiciales, competentes para declarar la existencia o inexistencia de la misma a través de resoluciones de obligado cumplimiento para las partes, impedirá que pueda hablarse de una deuda cierta hasta que recaiga resolución firme; y por tanto, impedirá igualmente la inclusión de la misma en los ficheros de solvencia patrimonial y crédito. En el caso que nos ocupa, la conducta infractora versa sobre el incumplimiento por parte de VODAFONE de los requisitos relativos a la inclusión y mantenimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 los datos personales en ficheros de solvencia patrimonial y crédito. Según se detalla en los Hechos Probados, consta que el denunciante fue cliente de VODAFONE y que esta entidad imputa a aquél una deuda por el impago de los servicios contratados hasta un total de 117,02 euros, por la que instó la anotación de los datos personales del mismo en ficheros de solvencia patrimonial y crédito (con fechas de alta el 02/10/2011 y 05/02/2012 en el fichero Badexcug, y fecha de alta el 12/02/2012 en el fichero Asnef). Asimismo, consta que el denunciante impugnó dicha deuda ante la SETSI y que esta reclamación fue conocida por VODAFONE en fecha 20/09/2011. En relación con esta reclamación, en los sistemas de información de la entidad consta una anotación efectuada en la fecha indicada, que registra la entrada de un correo electrónico remitido desde la dirección de correo reclamacionesdgtti@mityc.es, por el que se informa a la VODAFONE entidad sobre una reclamación formulada por el denunciante, por disconformidad con los importes facturados. Posteriormente, con fecha 26/09/2011, VODAFONE remitió al organismo citado un escrito de respuesta confirmando la deuda reclamada al denunciante. A tenor de los hechos declarados probados, se comprueba que VODAFONE conoció que el denunciante había entablado una reclamación relacionada con la deuda que se le imputa doce días antes de haber informado al fichero Badexcug los datos del misma por primera vez, y más de cuatro meses antes de instar nuevamente la anotación de la deuda en el mismo fichero (la anotación había sido cancelada por la entidad responsable del mismo a instancia del denunciante) y en el fichero denominado Asnef. La reclamación formulada ante la SETSI por el denunciante se trata de un procedimiento que resuelve la existencia o no de deuda y con fuerza vinculante para las partes, por lo que su formulación incide en la posibilidad de anotar la deuda de que se trate en los ficheros de solvencia, patrimonial y crédito. Así resulta considerando, según se indicó anteriormente, que la impugnación de una deuda cuestionando su existencia o certeza debe llevarse a cabo ante órganos competentes para declarar la existencia o inexistencia de la misma a través de resoluciones de obligado cumplimiento para las partes, circunstancia que concurre en este caso. Así, teniendo en cuenta las normas expuestas, y en consideración a lo declarado por el Tribunal Supremo en la Sentencia antes citada, interesa que la reclamación se formuló ante la SETSI y que VODAFONE tuvo conocimiento de la misma el 20/09/2011, según ha reconocido la propia entidad, de modo que incide en la inclusión o mantenimiento de los datos personales del denunciante en los ficheros de solvencia patrimonial y crédito. A este respecto, la Audiencia Nacional, en Sentencia de 13/07/2012, en un supuesto similar en el que se promovió igualmente un expediente arbitral, declara lo siguiente: “La existencia de tal procedimiento resulta ser un principio de prueba no sólo de la discusión de la deuda sino de que la misma sea cierta y exigible, pese a lo cual la recurrente no adoptó medida alguna”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 Estas circunstancias pudieron ser evitadas por VODAFONE si hubiese establecido los controles pertinentes, que hubiesen evitado el alta de los datos en los ficheros de solvencia. Por tanto, los hechos expuestos son contrarios al principio de calidad de datos, pues VODAFONE, en calidad de acreedor, comunicó a las entidades responsable de los ficheros “Asnef” y “Badexcug” los datos del denunciante, asignándole una deuda que había sido impugnada ante un órgano administrativo competente para declarar la existencia o inexistencia de la misma a través de resoluciones de obligado cumplimiento para las partes. En definitiva, VODAFONE instó el alta de los datos del denunciante en ficheros de solvencia sin que existiera una deuda cierta, vencida y exigible, y sin haber cumplido los requisitos establecidos, de modo que la citada entidad es responsable de la infracción del artículo 4.3 de la LOPD. III Consta acreditado en esta Agencia que las entidades asociadas a ficheros de morosidad suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de la denunciante son datos que figuran en sus propios ficheros automatizados. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
10. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
11. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 por VODAFONE puede subsumirse o no en tales definiciones legales. Y ello tanto es así, puesto que VODAFONE trató automatizadamente los datos relativos al denunciante y a la presunta deuda (el denunciante no está conforme con su certeza, “no demostrada” – folio 3) en sus propios ficheros; datos de los que es responsable conforme al artículo 3.
12. d)citado. Adicionalmente, decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación a unos ficheros comunes de solvencia patrimonial y crédito. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implicaba un tratamiento automatizado de datos cuyo destino era, a su vez, un tratamiento automatizado por parte de los responsables de los ficheros de solvencia, siendo dados de alta al culminar el proceso descrito. De lo expuesto se deduce que VODAFONE ha sido responsable del tratamiento de datos del denunciante en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa a la denunciante no responda a los principios de calidad de datos recogidos en el artículo 4.3 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Conforme a lo expuesto, VODAFONE no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). Todo ello, sin que los datos mantenidos en los ficheros ASNEF y BADEXCUG respondieran a la situación actual del denunciante, supone una vulneración del principio de calidad de dato de la que debe responder VODAFONE por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en el fichero de solvencia patrimonial y crédito. La conclusión, que se desprende de los hechos y fundamentos de derecho expuestos, es que VODAFONE es responsable de la infracción del principio de calidad de dato, recogido en el artículo 4.3, en relación con el 29.4, ambos de la LOPD, y en los términos del artículo 43, en relación con el artículo 3, apartados
13. c)y d), también de la citada norma. IV Actualmente, la vulneración de lo dispuesto en el artículo 4.3 de la LOPD aparece tipificada en el artículo 44.3.
14. c)de la LOPD, según la redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, que igualmente considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: “Son infracciones graves:
15. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. La Agencia Española de Protección de Datos como ya se ha indicado más arriba ha resuelto numerosos procedimientos sancionadores por incumplimiento de calidad de datos en relación con ficheros de morosidad. En relación a este tipo de infracción, la Audiencia Nacional, por su parte, en Sentencia de 27/10/2004, ha declarado: “Sucede así que, como ya dijimos en la Sentencia de 8 de octubre de 2003 (recurso 1.821/01) el mencionado artículo 44.3
16. d)de la Ley Orgánica 15/1999, aun no siendo, ciertamente, un modelo a seguir en lo que se refiere a claridad y precisión a la hora de tipificar una conducta infractora, no alberga una formulación genérica y carente de contenido como afirma la demandante. La definición de la conducta típica mediante la expresión “tratar los datos de carácter personal...” no puede ser tachada de falta de contenido pues nos remite directamente a cualquiera de las concretas actividades que el artículo 3.
17. d)de la propia Ley incluye en la definición de “tratamiento de datos” (recogida, grabación, conservación, elaboración... de datos de carácter personal). Y tampoco cabe tachar de excesivamente genérico o impreciso el inciso relativo a que el tratamiento o uso de los datos se realice “... con conculcación de los principios y garantías establecidos en la presente Ley...”, pues tales principios y garantías debidamente acotados en el Título II del propio texto legal bajo las rúbricas de Principios de la Protección de Datos (artículos 4 a 12) y Derechos de las Personas (artículos 13 a 19)”. El cumplimiento de las exigencias previstas, antes de incluir los datos de los afectados en ficheros de información sobre solvencia y crédito, viene determinada por la importancia de la inclusión y mantenimiento de los datos personales en dichos ficheros, cuestión que ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así, en la Sentencia de fecha 16 de febrero de 2001 se indica: “Vista la conducta de la hoy actora, cabe apreciar que ha hecho uso de unos datos relativos a la insolvencia de una persona, conculcando los principios y garantías establecidas en la Ley (…) concretamente el de la certeza de los datos, que deben ser exactos, de forma que respondan con veracidad a la situación real del afectado, como exige su artículo 4.3 (…) ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón de ello, ha de extremarse la diligencia para que los posibles errores no se produzcan”. No olvidemos que se trata de algo muy importante: fichar a ciudadanos como morosos. Es criterio compartido, por consiguiente, que aquél que utiliza un medio extraordinario de cobro, como es el de inclusión en registros de morosos, debe garantizar el cumplimiento de todos los requisitos materiales y formales ya vistos, y así permitir el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar estas exigencias supondría, por lo contrario, utilizar este medio de presión al ciudadano sin las suficientes garantías mínimas para los titulares de los datos personales objeto de anotación en los ficheros de solvencia patrimonial y crédito. El principio de calidad de dato, por lo tanto, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas sentencias de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 Audiencia Nacional, que excusa cita. En este caso, VODAFONE ha incurrido en la infracción el artículo 4.3 de la LOPD, tipificada en el artículo 44.3.
18. c)de la misma norma, pues tratar datos inexactos en sus sistemas de información asociados a la denunciante y comunicar tales datos inexactos a los ficheros “Asnef” y “Badexcug” supone una vulneración del principio de calidad de datos establecido en la citada Ley Orgánica. V El artículo 45.2, 4 y 5 LOPD dispone lo siguiente: “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
19. a)El carácter continuado de la infracción.
20. b)El volumen de los tratamientos efectuados.
21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
22. d)El volumen de negocio o actividad del infractor.
23. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
24. f)El grado de intencionalidad.
25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
29. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
30. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
31. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
32. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
33. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante. Además, según señala la Audiencia Nacional en la Sentencia citada de 16/02/2005, “a la antijuridicidad no obsta la intención de infringir las normas jurídicas -STS de 4 de junio de 1999-; y ya hemos razonado que... sí existe lesión del derecho protegido por la Ley”. Por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas del referido artículo y, por otro, la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). La falta de diligencia es aún más evidente considerando que la anotación de los datos del denunciante en el fichero Badexcug se efectuó en dos ocasiones. La primera de ellas, también posterior al momento en que VODAFONE conoce el procedimiento de arbitraje, fue cancelada previa solicitud del denunciante y esta circunstancia tampoco dio lugar a una revisión de la incidencia por parte de la imputada, que instó la anotación de los datos en aquel fichero por segunda vez. Una actuación diligente por parte de VODAFONE, atendiendo las reclamaciones que fueron formuladas por el denunciante, especialmente la planteada ante la SETSI, de la que VODAFONE tuvo conocimiento con anterioridad a la inclusión de los datos personales de aquél en los ficheros de solvencia, hubiese impedido que fuera tratado como deudor por una deuda que no era cierta, vencida y exigible, conforme ha quedado expuesto en los fundamentos anteriores. En cuanto a la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan,...”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 Por tanto, se considera que no concurran las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45.5 de la LOPD. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de grave. En el presente caso, teniendo en cuenta los criterios de graduación de las sanciones ya señalados, y en particular, el volumen de tratamientos efectuados, y considerando especialmente las circunstancias antes valoradas, es decir, considerando el hecho de que los datos personales del denunciante fueron registrados en los ficheros de solvencia, patrimonial y crédito cuatro meses después de conocer la reclamación formulada por el mismo, en aplicación del principio de proporcionalidad, procede imponer una multa por importe de 50.000 euros, conforme a lo dispuesto en el artículo 45.2, por el incumplimiento del artículo 4.3 de la citada Ley Orgánica, por haber considerado al denunciante como deudor de una cantidad no justificada, que tiene su origen en una deuda que había sido reclamada con anterioridad a la inclusión de los datos del mismo en ficheros de solvencia patrimonial y crédito o que fue mantenida en dichos ficheros a pesar de la reclamación.>> III En el recurso interpuesto, VODAFONE reitera lo ya manifestado durante el procedimiento que dio lugar a la Resolución sin considerar la fundamentación y circunstancias de hecho recogidas en la misma, en la que claramente se acredita la falta de diligencia mostrada por la recurrente en el tratamiento de los datos del denunciante asociados a una deuda objeto de reclamación ante la SETSI, ya que con posterioridad al día 20/09/2011, fecha en que consta conoció de la existencia de tal reclamación, la recurrente instó en tres ocasiones el alta de los datos del afectado en los ficheros Badexcug (02/10/2011 y 05/02/2012) y Asnef (12/02/2012) asociados a un importe deudor cuya certeza estaba en cuestión, todas ellas dentro del plazo de los seis a contar desde la interposición con fecha 07/09/2011 de dicha reclamación por el denunciante ante la SETSI. Ya consta en la propia resolución el criterio mantenido al respecto por la Audiencia Nacional, que en Sentencia de 13/07/2012, dictada en un supuesto similar, si bien referido a un expediente arbitral, declaró lo siguiente: “La existencia de tal procedimiento resulta ser un principio de prueba no sólo de la discusión de la deuda sino de que la misma sea cierta y exigible, pese a lo cual la recurrente no adoptó medida alguna. Posteriormente, en el laudo arbitral se redujo la cuantía de la deuda lo que viene a confirmar que la misma no era cierta ni exigible pues aún cuando en el citado laudo solamente se redujo la cuantía, la deuda debe entenderse como una unidad resultando indiferente que la modificación de la cuantía sea en mayor o menor cantidad”. En relación con la graduación de la multa, se consideran adecuadas las circunstancias de hecho apreciadas en el Fundamento de Derecho V de la Resolución impugnada. En el recurso interpuesto, por tanto, VODAFONE no ha aportado nuevos hechos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procediendo la desestimación del recurso. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por VODAFONE ESPAÑA, S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de junio de 2013, en el procedimiento sancionador PS/00019/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad VODAFONE ESPAÑA, S.A.U. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es