← España

REPOSICION-PS-00022-2013

1/15 Procedimiento nº.: PS/00022/2013 ASUNTO: Recurso de Reposición Nº RR/00605/2013 Examinado el recurso de reposición interpuesto por la entidad VODAFONE ESPAÑA, S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00022/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 28 de junio de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00022/2013, en virtud de la cual se imponía a la entidad VODAFONE ESPAÑA, S.A.U., una sanción de 50.000 euros (cincuenta mil euros), por la vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 04/07/2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00022/2013, quedó constancia de los siguientes: <<1. El denunciante fue cliente de la entidad VODAFONE, con la que tuvo contratada la línea de telefonía móvil número A.A.A., con fecha de alta el 26/04/2011 y baja el 07/09/2011. 2. Por la línea de telefonía móvil reseñada en el Hecho Probado Primero, la entidad VODAFONE emitió facturas mensuales por de alta de la línea (facturas de mayo a octubre de 2011). La suma del importe total correspondiente a las facturas emitidas en los meses de agosto, septiembre y octubre de 2011 asciende a 432,77 euros. 3. Con fecha 20/11/2011, la entidad VODAFONE instó el registro de los datos personales de la denunciante en el fichero de solvencia patrimonial y crédito “Badexcug” por una deuda por importe de 432,76 euros. En dicho fichero consta una anotación relativa a la denunciante, a instancia de VODAFONE, con fecha de alta 20/11/2011 y fecha de baja de 18/04/2012, por importe inicial de 432,76 euros, modificado a 78,76 euros en fecha 04/03/2012. 4. Con fecha 24/11/2011, la Junta Arbitral Regional de Consumo, de la Comunidad de Madrid remitió una comunicación a la denunciante informándole sobre la admisión a trámite de una solicitud de arbitraje presentada por la misma contra VODAFONE. 5. En los sistemas de información de VODAFONE consta una anotación de 07/12/2011, que registra la entrada de un correo electrónico remitido desde la dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 jac.arbitraje@madrid.org, por el que se informa a la citada entidad sobre una reclamación formulada por la denunciante, por disconformidad con los importes facturados. En relación con este apunte, en los sistemas de información de VODAFONE consta una anotación de 09/12/2011 según la cual, dicha entidad, tras comprobar que la deuda reclamada es cierta conforme a los productos y servicios contratados y al incumplimiento del compromiso de permanencia, notifica tales circunstancias al organismo que tramita la reclamación indicada anteriormente. 6. Con fecha 14/12/2011, una empresa de recobro, en nombre de VODAFONE, remitió a la denunciante una carta en la que se reclamaba el pago de una deuda por importe de 432,76 euros. 7. Mediante escrito de fecha 16/12/2011, la entidad VODAFONE confirmo a la Junta Arbitral Regional de Consumo de la Comunidad de Madrid, en respuesta a una comunicación de esta Junta de 07/12/2011, que la deuda pendiente y reclamada a la denunciante es correcta. 8. Con fecha 12/01/2012, la entidad VODAFONE instó el registro de los datos personales de la denunciante en el fichero de solvencia patrimonial y crédito “Asnef”” por una deuda por importe de 432,76 euros. En dicho fichero consta una anotación relativa a la denunciante, a instancia de VODAFONE, con fecha de alta 12/01/2012 y fecha de baja de 20/04/2012, por importe inicial de 432,76 euros, modificado a 78,76 euros en marzo de 2012. Como vencimientos impagados primero y último constan las fechas 10 de agosto de 2011 – 23 de febrero de 2012. 9. En los sistemas de información de VODAFONE consta una anotación de fecha 17/02/2012 con la indicación “adjuntan carta respuesta a las alegaciones enviadas desde el caso JAC”. 10. En los sistemas de información de VODAFONE consta una anotación de fecha 22/02/2012 relativa a la entrada, en fecha 03/02/2012, de una citación de la Junta Arbitral Regional de Consumo de la Comunidad de Madrid, en relación con el expediente seguido a instancia de la denunciante. En esta misma fecha se registra la indicación “…se observa que efectivamente hubo incidencias con el servicio. resolvemos abonar penalización como gesto comercial por las incidencias técnicas”. La cantidad abonada asciende a 354 euros. 11. En los sistemas de información de VODAFONE consta una anotación de 12/03/2012 que registra la notificación efectuada a dicha entidad VODAFONE por la Junta Arbitral Regional de Consumo de la Comunidad de Madrid del Laudo que estima la reclamación de la denunciante y ordena anular el cargo por incumplimiento del compromiso de permanencia y fija la deuda en 78,76 euros. En esta anotación se añade lo siguiente: “Escribo carta a la Junta Arbitral informando del abono el 23 de febrero y de la deuda de 78,76 euros que tiene y que una vez saldada quedará excluida de ficheros”. 12. Con fecha 13/03/2012, VODAFONE remitió un escrito a la denunciante, en cumplimiento del Laudo Arbitral emitido, en el que se le notifica a la misma el abono y la deuda pendiente (78,76 euros). En este escrito se indica: “Una vez satisfecha dicha cantidad, sus datos serán excluidos de cualquier fichero de solvencia patrimonial”>>. TERCERO: Con fecha 22/07/2013, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad VODAFONE ESPAÑA, S.A.U. (en lo sucesivo la recurrente), recibido en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 esta Agencia Española de Protección de Datos en la misma fecha, en el que solicita de nuevo el archivo de las actuaciones o, subsidiariamente, la imposición de una multa por el importe previsto para las infracciones leves, considerando las mismas circunstancias ya expuestas en sus escritos anteriores. En su recurso, VODAFONE reproduce casi literalmente las alegaciones efectuadas a la apertura del procedimiento y a la propuesta de resolución, que constan reseñadas en la Resolución impugnada con el siguiente detalle: <<En relación con los hechos imputados, manifiesta que la denunciante contrató una línea de telefonía con VODAFONE en fecha 26/04/2011, que estuvo activa hasta el 074/09/2011, habiendo abonado todas las facturas emitidas excepto la última, que incluyó la penalización por incumplimiento del compromiso de permanencia y una cargo por baja del servicio. Se trata, por tanto, de una deuda cierta, vencida y exigible, que fue requerida de pago, y que determinó la inclusión de los datos personales de la denunciante en los ficheros de solvencia BADEXCUG, el 20/11/2011, y ASNEF, el 12/01/2012. El primer contacto que tuvo la entidad en relación con dicha deuda fue una comunicación de la OMIC, de 07/12/2011, a la que confirmó la deuda. Posteriormente, en fecha 17/02/2012, tuvo conocimiento de la reclamación formulada ante la Junta Arbitral de Consumo (“JAC”), a la que informó sobre el abono realizado. Añade que solicitó la cancelación de los datos registrados en ficheros de solvencia con anterioridad al inicio de las actuaciones previas de investigación. 2. VODAFONE no ha infringido el principio de calidad de datos, ya que la deuda generada asociada al denunciante era cierta, líquida, vencida y exigible, derivada del impago de la factura antes reseñada, que fue requerida de pago. 3. Subsidiariamente, en el caso de no aceptarse las alegaciones anteriores, considera que debería imponerse la sanción en la cuantía correspondiente a las infracciones leves, de acuerdo con lo previsto en el artículo 45.5 de la LOPD, teniendo en cuenta la falta de culpabilidad y buena fe de VODAFONE. 4. Aplicación del artículo 45.4 de la LOPD, por las siguientes razones 1) carácter continuado de la infracción; 2) volumen de los tratamientos efectuados (datos asociados a un único cliente); 3) vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (VODAFONE es una empresa que continuamente trata los datos personales de sus clientes y vela por el cumplimiento de la legislación vigente en materia de protección de datos); 4) Volumen de negocio o actividad del infractor (VODAFONE es una empresa que presta servicios de comunicaciones móviles, siendo conocidos los volúmenes de actividad; 5) beneficios obtenido (VODAFONE no ha obtenido beneficio alguno); 6) ausencia de intencionalidad; 7) no ha habido reincidencia; 8) ausencia de daños o perjuicios a la persona afectada; 9) VODAFONE tiene implantados procedimientos para la recogida de datos y tratamientos de los datos, requerir deudas y procesos de inclusión y exclusión de Badexcug>>. En relación con las alegaciones a la propuesta, en la Resolución impugnada se reseña lo siguiente: <<Únicamente, después de reconocer que los datos de la denunciante estuvieron registrados en ficheros de solvencia durante el desarrollo del proceso arbitral, añade que esa circunstancia fue consecuencia de una descoordinación entre los equipos que gestionan la deuda y los de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 recobro, que ha sido analizada para mejorar tales procesos y evitar estas incidencias>>. En su recurso, VODAFONE insiste en que la denunciante interpuso una reclamación ante la OMIC y que la misma no tiene fuerza vinculante, de modo que la entidad podía mantener los datos en los ficheros de solvencia. En cuanto a la reclamación arbitral, señala que la propia Junta reconoció que la denunciante tenía una deuda derivada del consumo generado en el servicio. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la entidad recurrente, que reproducen, básicamente, las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a V de la Resolución recurrida, R/01558/2013, de 28/06/2013, en los que se considera que la citada entidad incumplió lo dispuesto en el artículo 4.3 de la LOPD, y se detallaba suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. En dichos Fundamentos de Derecho se indica lo siguiente: <<II Se imputa a VODAFONE, en el presente procedimiento, la comisión de una infracción del artículo 4.3 de la LOPD, que señala lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el creedor o por quien actúe por su cuenta o interés. En C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Asimismo, el Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:

  1. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. (…)
  2. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  3. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. 1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es él el que conoce si la deuda realmente existe o si ha sido saldada o no, siendo las entidades informantes las que deciden a quién dan de alta o de baja. Asimismo, conforme a las normas expuestas, con carácter previo a la inclusión en un fichero de solvencia, se establece la obligación de requerir el pago de la deuda y de informar al deudor que en caso de no producirse el pago en plazo, los datos podrán ser comunicados a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 ficheros de solvencia. No basta, por tanto, con un requerimiento de pago genérico sino que ha de llamarse la atención sobre los efectos que derivarán del impago. Además, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999, implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. La exigencia de que la deuda sea “cierta”, (artículo 38.1.
  4. a)del R.D. 1720/2007) responde al principio de calidad de los datos plasmado en el artículo 4.3 de la LOPD. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar a ficheros comunes datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias, siempre que la información registrada en los ficheros de esta naturaleza respete el principio de veracidad y exactitud. Por otra parte, resulta necesario hacer una breve referencia a la STS de 15 de julio de 2010, que declara la nulidad, por ser disconforme a Derecho, del inciso último del artículo 38.1.
  5. a)del R.D. 1720/2007. El Fundamento de Derecho decimocuarto de la Sentencia, en el que se examina y valora la impugnación del citado precepto, precisa cuáles son los términos de la controversia planteada en relación a éste. Manifiesta la STS que “procede indicar que la exigencia al inicio del apartado 1
  6. a)del artículo 38 de que la deuda sea “cierta” responde al principio de veracidad y exactitud recogido en el artículo 4.3 de la Ley 15/1999(…) Siendo el adjetivo <cierto> sinónimo de irrefutable, incontestable, indiscutible, etc,.. el tema de debate se circunscribe a si es posible sostener con éxito que, en aquellos casos en que se hubiera entablado con respecto a la deuda un procedimiento de los expresados en el artículo 1 a), puede hablarse de una deuda cierta antes de que recaiga resolución firme o se emita, en los supuestos previstos en el Reglamento de los Comisionados, el informe correspondiente”. La Sala Tercera del TS contesta a esta pregunta indicando que lo relevante es “decidir si el apartado 1
  7. a)del artículo responde a la previsión legal del artículo 4.3, y la respuesta debe ser negativa en atención a la defectuosa redacción del precepto reglamentario por una inconcreción en su texto no sólo de aquellos procedimientos que justifican la no inclusión en los ficheros de las deuda a que aquellos se refieren, sino también porque esa vaguedad permite considerar que incluso cuando la reclamación se formule por el acreedor exista la imposibilidad de inclusión de los datos en el fichero”. Termina manifestando que el conflicto de intereses debe resolverse “exigiendo una mayor concreción en el precepto reglamentario que pondere los intereses en presencia en atención a las circunstancias concretas”. Del tenor literal de los fragmentos de la STS de 15 de julio de 2010 que se reproducen se evidencia, por una parte, que es la inconcreción de que adolece la redacción del último inciso del artículo 38.1.
  8. a)del R.D. 1720/2007 lo que justifica su anulación y por otra, que el Tribunal estima ajustada a Derecho la exigencia del artículo 38.1.
  9. a)del RLOPD de que la deuda sea “cierta”, adjetivo que es sinónimo de irrefutable e indiscutible y que es consecuencia del principio de veracidad y exactitud que consagra el artículo 4.3 de la Ley Orgánica 15/1999. A tenor de las consideraciones precedentes cabe concluir que la impugnación de una deuda cuestionando su existencia o certeza ante órganos administrativos, arbitrales o judiciales, competentes para declarar la existencia o inexistencia de la misma a través de resoluciones de obligado cumplimiento para las partes, impedirá que pueda hablarse de una deuda cierta hasta que recaiga resolución firme; y por tanto, impedirá igualmente la inclusión de la misma en los ficheros de solvencia patrimonial y crédito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 En el caso que nos ocupa, la conducta infractora versa sobre el incumplimiento por parte de VODAFONE de los requisitos relativos a la inclusión y mantenimiento de los datos personales en ficheros de solvencia patrimonial y crédito. Según se detalla en los Hechos Probados, consta que la denunciante fue cliente de VODAFONE y que esta entidad imputa a aquélla una deuda por el impago de los servicios contratados hasta un total de 432,76 euros, por la que instó la anotación de los datos personales de la denunciante en ficheros de solvencia patrimonial y crédito (con fecha de alta el 20/11/2011 en el fichero Badexcug, y fecha de alta el 12/01/2012 en el fichero Asnef). Asimismo, consta que la denunciante impugnó dicha deuda ante la Junta Arbitral Regional de Consumo, de la Comunidad de Madrid, y que esta solicitud de arbitraje fue conocida por VODAFONE en fecha 07/12/2011. En relación con esta solicitud de arbitraje, en los sistemas de información de la entidad consta una anotación efectuada en la fecha indicada, que registra la entrada de un correo electrónico remitido desde la dirección de correo jac.arbitraje@madrid.org, por el que se informa a VODAFONE sobre una reclamación formulada por la denunciante, por disconformidad con los importes facturados. Posteriormente, con fecha 16/12/2011, VODAFONE remitió a la citada Junta Arbitral un escrito de respuesta confirmando la deuda reclamada a la denunciante. A tenor de los hechos declarados probados, se comprueba que VODAFONE conoció que la denunciante había entablado una reclamación arbitral relacionada con la deuda que se reclama un mes antes de haber informado al fichero Asnef los datos de la misma, y unas semanas después de instar la anotación de la deuda en Badexcug, que no fue cancelada cautelarmente hasta la resolución del expediente por la Junta Arbitral Regional de Consumo de la Comunidad de Madrid. La solicitud de arbitraje formulada por la denunciante se trata de un procedimiento que resuelve la existencia o no de deuda y con fuerza vinculante para las partes, por lo que su formulación incide en la posibilidad de anotar la deuda de que se trate en los ficheros de solvencia, patrimonial y crédito. Así resulta considerando, según se indicó anteriormente, que la impugnación de una deuda cuestionando su existencia o certeza debe llevarse a cabo ante órganos competentes para declarar la existencia o inexistencia de la misma a través de resoluciones de obligado cumplimiento para las partes, circunstancia que concurre en este caso. Así, teniendo en cuenta las normas expuestas, y en consideración a lo declarado por el Tribunal Supremo en la Sentencia antes citada, interesa que la reclamación se formuló ante la Junta Arbitral y que VODAFONE tuvo conocimiento de la misma el 07/12/2011, de modo que incide en la inclusión o mantenimiento de los datos personales de la denunciante en los ficheros de solvencia patrimonial y crédito. Además, la citada solicitud de arbitraje se resolvió en sentido favorable a las pretensiones del denunciante, modificando el importe de la deuda, de modo que la deuda anotada no cumplió los requisitos de certeza y exigibilidad establecidos. A este respecto, la Audiencia Nacional, en Sentencia de 13/07/2012, en un supuesto similar en el que se promovió igualmente un expediente arbitral, declara lo siguiente: “La existencia de tal procedimiento resulta ser un principio de prueba no sólo de la discusión de la deuda sino de que la misma sea cierta y exigible, pese a lo cual la recurrente no adoptó medida alguna. Posteriormente, en el laudo arbitral se redujo la cuantía de la deuda lo que viene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 a confirmar que la misma no era cierta ni exigible pues aún cuando en el citado laudo solamente se redujo la cuantía, la deuda debe entenderse como una unidad resultando indiferente que la modificación de la cuantía sea en mayor o menor cantidad”. Estas circunstancias pudieron ser evitadas por VODAFONE si hubiese establecido los controles pertinentes, que hubiesen evitado el alta y la permanencia de los datos en los ficheros de solvencia. VODAFONE ha manifestado al respecto que el primer contacto que tuvo la entidad en relación con dicha deuda fue una comunicación de la OMIC, de 07/12/2011, a la que confirmó la deuda y que, posteriormente, en fecha 17/02/2012, tuvo conocimiento de la reclamación formulada ante la Junta Arbitral de Consumo (“JAC”), a la que informó sobre el abono realizado. Sin embargo, según ha quedado expuesto, VODAFONE tuvo conocimiento el 07/12/2011 de la reclamación planteada por el denunciante ante la Junta Arbitral y no de ninguna actuación ante la OMIC. Por otra parte, en relación con la anotación en Badexcug reseñada, que tuvo lugar el 20/11/2011, VODAFONE no ha aportado a esta Agencia Española de Protección de Datos documentación suficiente que acredite que hubiese requerido de pago a la denunciante por las deudas anotadas, con carácter previo a la comunicación de los datos personales de la misma a la entidad responsable del citado fichero de solvencia patrimonial y crédito. Únicamente consta en las actuaciones un requerimiento efectuado por una empresa de recobro en fecha 14/12/2011, posterior a la comunicación de los datos al fichero común. Por tanto, los hechos expuestos son contrarios al principio de calidad de datos, pues VODAFONE, en calidad de acreedor, comunicó a las entidades responsable de los ficheros “Asnef” y “Badexcug” los datos de la denunciante, asignándole una deuda que había sido impugnada ante un órgano arbitral competente para declarar la existencia o inexistencia de la misma a través de resoluciones de obligado cumplimiento para las partes, que finalmente dictó laudo arbitral declarando la inexistencia de la deuda. Además, el registro de los datos de la denunciante en aquellos ficheros a instancia de VODAFONE se lleva a cabo sin que esta entidad hubiese requerido previamente el pago de la supuesta deuda. En definitiva, VODAFONE instó el alta de los datos del denunciante en ficheros de solvencia sin que existiera una deuda cierta, vencida y exigible, y sin haber cumplido los requisitos establecidos, de modo que la citada entidad es responsable de la infracción del artículo 4.3 de la LOPD. III Consta acreditado en esta Agencia que las entidades asociadas a ficheros de morosidad suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de la denunciante son datos que figuran en sus propios ficheros automatizados. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  10. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  11. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por VODAFONE puede subsumirse o no en tales definiciones legales. Y ello tanto es así, puesto que VODAFONE trató automatizadamente los datos relativos al denunciante y a la presunta deuda (el denunciante no está conforme con su certeza, “no demostrada” – folio 3) en sus propios ficheros; datos de los que es responsable conforme al artículo 3.
  12. d)citado. Adicionalmente, decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación a unos ficheros comunes de solvencia patrimonial y crédito. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implicaba un tratamiento automatizado de datos cuyo destino era, a su vez, un tratamiento automatizado por parte de los responsables de los ficheros de solvencia, siendo dados de alta al culminar el proceso descrito. De lo expuesto se deduce que VODAFONE ha sido responsable del tratamiento de datos de la denunciante en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa a la denunciante no responda a los principios de calidad de datos recogidos en el artículo 4.3 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Conforme a lo expuesto, VODAFONE no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). Todo ello, sin que los datos mantenidos en los ficheros ASNEF y BADEXCUG respondieran a la situación actual de la denunciante, en el sentido de que la inclusión se llevó a cabo sin requerimiento previo de pago, ello supone una vulneración del principio de calidad de dato de la que debe responder VODAFONE por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 fichero de solvencia patrimonial y crédito. La conclusión, que se desprende de los hechos y fundamentos de derecho expuestos, es que VODAFONE es responsable de la infracción del principio de calidad de dato, recogido en el artículo 4.3, en relación con el 29.4, ambos de la LOPD, y en los términos del artículo 43, en relación con el artículo 3, apartados
  13. c)y d), también de la citada norma. IV Actualmente, la vulneración de lo dispuesto en el artículo 4.3 de la LOPD aparece tipificada en el artículo 44.3.
  14. c)de la LOPD, según la redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, que igualmente considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: “Son infracciones graves:
  15. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. La Agencia Española de Protección de Datos como ya se ha indicado más arriba ha resuelto numerosos procedimientos sancionadores por incumplimiento de calidad de datos en relación con ficheros de morosidad, tanto por alta improcedente por ser una deuda incierta o por mantener los mismos una vez abonada la deuda (requisito material: exactitud del dato) o por una deuda no requerida previamente de pago por el acreedor al deudor (requisito formal: requerimiento previo). En relación a este tipo de infracción, la Audiencia Nacional, por su parte, en Sentencia de 27/10/2004, ha declarado: “Sucede así que, como ya dijimos en la Sentencia de 8 de octubre de 2003 (recurso 1.821/01) el mencionado artículo 44.3
  16. d)de la Ley Orgánica 15/1999, aun no siendo, ciertamente, un modelo a seguir en lo que se refiere a claridad y precisión a la hora de tipificar una conducta infractora, no alberga una formulación genérica y carente de contenido como afirma la demandante. La definición de la conducta típica mediante la expresión “tratar los datos de carácter personal...” no puede ser tachada de falta de contenido pues nos remite directamente a cualquiera de las concretas actividades que el artículo 3.
  17. d)de la propia Ley incluye en la definición de “tratamiento de datos” (recogida, grabación, conservación, elaboración... de datos de carácter personal). Y tampoco cabe tachar de excesivamente genérico o impreciso el inciso relativo a que el tratamiento o uso de los datos se realice “... con conculcación de los principios y garantías establecidos en la presente Ley...”, pues tales principios y garantías debidamente acotados en el Título II del propio texto legal bajo las rúbricas de Principios de la Protección de Datos (artículos 4 a 12) y Derechos de las Personas (artículos 13 a 19)”. El cumplimiento de las exigencias previstas, antes de incluir los datos de los afectados en ficheros de información sobre solvencia y crédito, viene determinada por la importancia de la inclusión y mantenimiento de los datos personales en dichos ficheros, cuestión que ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así, en la Sentencia de fecha 16 de febrero de 2001 se indica: “Vista la conducta de la hoy actora, cabe apreciar que ha hecho uso de unos datos relativos a la insolvencia de una persona, conculcando los principios y garantías establecidas en la Ley (…) concretamente el de la certeza de los datos, que deben ser exactos, de forma que respondan con veracidad a la situación real del afectado, como exige su artículo 4.3 (…) ha de decirse que la inclusión equivocada o errónea de una persona en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón de ello, ha de extremarse la diligencia para que los posibles errores no se produzcan”. No olvidemos que se trata de algo muy importante: fichar a ciudadanos como morosos. Es criterio compartido, por consiguiente, que aquél que utiliza un medio extraordinario de cobro, como es el de inclusión en registros de morosos, debe garantizar el cumplimiento de todos los requisitos materiales y formales ya vistos, y así permitir el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar estas exigencias supondría, por lo contrario, utilizar este medio de presión al ciudadano sin las suficientes garantías mínimas para los titulares de los datos personales objeto de anotación en los ficheros de solvencia patrimonial y crédito. El principio de calidad de dato, por lo tanto, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas sentencias de la Audiencia Nacional, que excusa cita. En este caso, VODAFONE ha incurrido en la infracción el artículo 4.3 de la LOPD, tipificada en el artículo 44.3.
  18. c)de la misma norma, pues tratar datos inexactos en sus sistemas de información asociados a la denunciante y comunicar tales datos inexactos a los ficheros “Asnef” y “Badexcug” supone una vulneración del principio de calidad de datos establecido en la citada Ley Orgánica. V El artículo 45.2, 4 y 5 LOPD dispone lo siguiente: “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  19. a)El carácter continuado de la infracción.
  20. b)El volumen de los tratamientos efectuados.
  21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  22. d)El volumen de negocio o actividad del infractor.
  23. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  24. f)El grado de intencionalidad.
  25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  29. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15
  30. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  31. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  32. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  33. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante. Además, según señala la Audiencia Nacional en la Sentencia citada de 16/02/2005, “a la antijuridicidad no obsta la intención de infringir las normas jurídicas -STS de 4 de junio de 1999-; y ya hemos razonado que... sí existe lesión del derecho protegido por la Ley”. Por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas del referido artículo y, por otro, la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). Una actuación diligente por parte de VODAFONE, atendiendo las reclamaciones que le fueron formuladas por la denunciante y considerando la solicitud de arbitraje planteada por la mismo, de la que VODAFONE tuvo conocimiento con anterioridad a la inclusión de los datos personales de aquél en el fichero de solvencia, hubiese impedido que ésta fuera tratada como deudora por una deuda que no era cierta, vencida y exigible, conforme ha quedado expuesto en los fundamentos anteriores. En cuanto a la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan,...”. Por tanto, no se considera que concurran las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45.5 de la LOPD. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de grave. En el presente caso, teniendo en cuenta los criterios de graduación de las sanciones ya señalados, y en particular, el volumen de tratamientos efectuados, y considerando especialmente las circunstancias antes valoradas, es decir, considerando el hecho de que los datos personales de la denunciante permanecieron registrados en los ficheros de solvencia, patrimonial y crédito durante más de cuatro meses (uno de estos meses, incluso, posterior a la fecha en que VODAFONE conoció el laudo dictado por la Junta Arbitral), en los que nunca debieron registrarse, en aplicación del principio de proporcionalidad, procede imponer una multa por importe de 50.000 euros, conforme a lo dispuesto en el artículo 45.2, por el incumplimiento del artículo 4.3 de la citada Ley Orgánica, por haber considerado al denunciante como deudor de una cantidad no justificada, que tiene su origen en una deuda que había sido reclamada con anterioridad a la inclusión de los datos del mismo en ficheros de solvencia patrimonial y crédito o que fue mantenida en dichos ficheros a pesar de la reclamación>>. III En el recurso interpuesto, VODAFONE reitera lo ya manifestado durante el procedimiento que dio lugar a la Resolución sin considerar la fundamentación y circunstancias de hecho recogidas en la misma, en la que claramente se acredita la falta de diligencia mostrada por la recurrente en el tratamiento de los datos del denunciante asociados a una deuda que había sido recurrida ante un órgano arbitral y que, a pesar de ello, tales datos permanecieron registrados en ficheros de solvencia patrimonial y crédito Badexcug y fueron dados de alta en el fichero Asnef. Incluso, consta en las actuaciones que la citada entidad reconoció que “esa circunstancia fue consecuencia de una descoordinación entre los equipos que gestionan la deuda y los de recobro”. VODAFONE ha señalado nuevamente que la denunciante interpuso una reclamación ante la OMIC y que la misma no tiene fuerza vinculante, de modo que la entidad podía mantener los datos en los ficheros de solvencia. Sin embargo, según se indica en la resolución impugnada, consta acreditado en las actuaciones “que la denunciante impugnó dicha deuda ante la Junta Arbitral Regional de Consumo, de la Comunidad de Madrid, y que esta solicitud de arbitraje fue conocida por VODAFONE en fecha 07/12/2011. En relación con esta solicitud de arbitraje, en los sistemas de información de la entidad consta una anotación efectuada en la fecha indicada, que registra la entrada de un correo electrónico remitido desde la dirección de correo jac.arbitraje@madrid.org, por el que se informa a VODAFONE sobre una reclamación formulada por la denunciante, por disconformidad con los importes facturados. Posteriormente, con fecha 16/12/2011, VODAFONE remitió a la citada Junta Arbitral un escrito de respuesta confirmando la deuda reclamada a la denunciante”. Por otra parte, advierte la recurrente que el laudo dictado reconoció que la denunciante tenía una deuda derivada del consumo generado en el servicio. El Laudo dictado por la Junta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 Arbitral Regional de Consumo de la Comunidad de Madrid estimó la reclamación de la denunciante y ordenó anular el cargo por incumplimiento del compromiso de permanencia, fijando la la deuda en 78,76 euros y no en los 432,76 euros que reclamó la recurrente, lo que no modifica la conclusión adoptada en la resolución recurrida sobre la existencia de infracción. Ya consta en la propia resolución el criterio mantenido al respecto por la Audiencia Nacional, que en Sentencia de 13/07/2012, dictada en un supuesto similar en el que se promovió igualmente un expediente arbitral, declaró lo siguiente: “La existencia de tal procedimiento resulta ser un principio de prueba no sólo de la discusión de la deuda sino de que la misma sea cierta y exigible, pese a lo cual la recurrente no adoptó medida alguna. Posteriormente, en el laudo arbitral se redujo la cuantía de la deuda lo que viene a confirmar que la misma no era cierta ni exigible pues aún cuando en el citado laudo solamente se redujo la cuantía, la deuda debe entenderse como una unidad resultando indiferente que la modificación de la cuantía sea en mayor o menor cantidad”. En relación con la graduación de la multa, se consideran adecuadas las circunstancias de hecho apreciadas en la Resolución: “…en particular, el volumen de tratamientos efectuados, y considerando especialmente las circunstancias antes valoradas, es decir, considerando el hecho de que los datos personales de la denunciante permanecieron registrados en los ficheros de solvencia, patrimonial y crédito durante más de cuatro meses (uno de estos meses, incluso, posterior a la fecha en que VODAFONE conoció el laudo dictado por la Junta Arbitral), en los que nunca debieron registrarse, en aplicación del principio de proporcionalidad, procede imponer una multa por importe de 50.000 euros, conforme a lo dispuesto en el artículo 45.2, por el incumplimiento del artículo 4.3 de la citada Ley Orgánica, por haber considerado al denunciante como deudor de una cantidad no justificada, que tiene su origen en una deuda que había sido reclamada con anterioridad a la inclusión de los datos del mismo en ficheros de solvencia patrimonial y crédito o que fue mantenida en dichos ficheros a pesar de la reclamación”. En el recurso interpuesto, por tanto, VODAFONE no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procediendo la desestimación del recurso. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por VODAFONE ESPAÑA, S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de junio de 2013, en el procedimiento sancionador PS/00022/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad VODAFONE ESPAÑA, S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.