REPOSICION-PS-00072-2013

1/12 Procedimiento nº: PS/00072/2013 ASUNTO: Recurso de Reposición Nº RR/00597/2013 Examinado el recurso de reposición interpuesto por la entidad VODAFONE ESPAÑA, S.A.. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00072/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 18 de junio de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00072/2013 , en virtud de la cual se imponía a la entidad VODAFONE ESPAÑA, S.A.., una sanción de 50.000 €, por la vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 20/06/2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00072/2013, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. En fecha 02/03/2012, tiene entrada en esta Agencia escrito del denunciante manifestando que existiendo un laudo arbitral dictado por la JJAA de Consumo de Burgos, en el que se anula un cargo de 118 euros, así como dar de baja al denunciante en ficheros de solvencia patrimonial y de crédito, VODAFONE, haciendo caso omiso de lo señalado en el mismo, ha instado la inclusión de los datos personales del denunciante en los citados ficheros (folio 1). SEGUNDO. Consta el DNI del denunciante nº E.E.E., con domicilio en A.A.A., 09002-Burgos, coincidente con el que figura en el escrito de denuncia (folio). TERCERO. ASNEF-EQUIFAX, en e-mail de fecha 25/01/2013, ha informado que en el fichero ASNEF consta una incidencia asociada al identificador E.E.E. correspondiente al denunciante, informada por VODAFONE, por operación telecomunicaciones, con fechas de alta y baja respectivamente 12/01/2012 y 13/04/2012, como consecuencia de un importe impagado de 118,00 euros. La citada incidencia fue notificada a C/ A.A.A. (folios 29 y 34). CUARTO. VODAFONE en escrito de fecha 25/02/2013, ha señalado que “…el D.D.D. interpuso una reclamación ante la Junta Arbitral de Consumo de Burgos, algo de lo que Vodafone no tuvo constancia. Posteriormente y en el marco de dicho proceso arbitral el D.D.D. efectuó una pago de 25,80 € de forma voluntaria quedando aún un abono por hacer de 118 €, cantidad por la que, y desconociendo esta parte la existencia del laudo, Vodafone incluyo los datos del D.D.D. en el fichero de solvencia Asnef el 12 de enero de 2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Posteriormente, y una vez que tuvo conocimiento del laudo el 13 de abril de 2012, ese mismo día procedió a excluir sus datos del fichero de solvencia Asnef” (folio 49 y 52). QUINTO. Consta emitida por VODAFONE factura nº C.C.C., de fecha 05/03/2011, por importe de 143,80 euros (que incluye 100 euros + IVA en concepto de cancelación contrato permanencia y consumo por importe de 21,86 euros+ IVA) (folios 17 a 19). SEXTO. El 27/07/2011 el denunciante a presentó solicitud de arbitraje frente a VODAFONE, ante la JJAA de Burgos (folios 63 y 64); siendo admitida a trámite y notificado a las partes, dandose traslado a VODAFONE a efectos de alegaciones (folios 73 a 75). Iniciado el procedimiento arbitral, en el Acta de Audiencia a las Partes, consta que “El Secretario del Colegio Arbitral, deja constancia de que la reclamada no comparece lo que, al haber sido convenientemente citada, no impide que se celebre audiencia en aplicación de los dispuesto en el art. 46 del R.D. 231/2008” (folio 76). En fecha 25/10/2011 se dicto Laudo nº F.F.F., expte nº ******/11, en cuyos Antecedentes se señala que “Según escrito de reclamación, en resumen el denunciante contrato servicio con VODAFONE en diciembre/10 sin adquirir móvil ni suscribir permanencia, recibiendo al realizar portabilidad de la línea, cargo por aquel concepto por importe de 100€+IVA que entiende incorrecto, por lo que solicito vía arbitral la anulación del cargo y la baja en ficheros de solvencia patrimonial y de crédito. De adverso la mercantil no formulo alegaciones”. Resolviendo el Colegio arbitral en el sentido de “Estimar la reclamación formulada por el denunciante frente a VODAFONE y en su virtud declarar que esta mercantil deberá anular de inmediato el cargo de 100 €+IVA reclamado, con baja, en su caso, en ficheros de solvencia patrimonial y de crédito. El presente laudo se adopta por unanimidad del Colegio Arbitral” (folios 78 y 79). SEPTIMO. El laudo fue notificado a las partes (folio 80), señalándose, además, que “En relación con la solicitud de arbitraje formulado con fecha 27/07/2011, por el denunciante frente a VODAFONE, se le comunica su resolución mediante el laudo dictado por el colegio arbitral que tienen carácter vinculante y ejecutivo y es eficaz y de obligado complimiento desde el día de su notificación” (folio 81). TERCERO: VODAFONE ESPAÑA, S.A.. (en lo sucesivo el recurrente), ha presentado en fecha 19/07/2013, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones ya formuladas en el procedimiento sancionador: que el denunciante en el momento de darse de baja debía la cantidad de 143,80 € y, como consta en la última factura emitida, la citada cantidad estaba formada tanto por consumo como por la penalización por incumplimiento de la permanencia. Que dicha factura no fue abonada en su totalidad por el denunciante (abonando la parte relativa al consumo, 25,80 €), lo que ocasiono el inicio del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 procedimiento de recobro y, en el transcurso de dichas gestiones el denunciante interpuso reclamación ante la JJAA ; que VODAFONE no tuvo constancia de la existencia del procedimiento de arbitraje, lo que le llevo a continuar con el recobro de la deuda por importe de 118 euros, importe correspondiente al incumplimiento de la permanencia; que posteriormente se dicto laudo ordenando a VODAFONE anular la cantidad adeudada; sin embargo, VODAFONE desconocía la existencia del laudo dictado, circunstancia que ocasiono que se incluyeran los datos del denunciante en el fichero ASNEF; no obstante, una vez que tuvo constancia del laudo procedió de manera inmediata a cancelar la deuda; que VODAFONE ha actuado en todo momento siguiendo el procedimiento que exige la legislación española en materia de protección de datos de forma, no siendo posible imputar a su representada la infracción del artículo 4.3 de la LOPD; que subsidiariamente, únicamente en el improbable caso de que se entienda que existe infracción de la LOPD, se aplique subsidiariamente el artículo 45.4 y 5 de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: II Se imputa a VODAFONE la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” El artículo 38.1 del Reglamento de desarrollo de la LOPD, aprobado por R.D. 1720/2007, de 21 de diciembre, señala que: “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan en todo momento a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Es objeto de estudio en el presente procedimiento, y por tanto cuestión a dilucidar en el mismo, si la inclusión de los datos del denunciante en los ficheros de morosidad se realizó conforme determina la normativa de protección de datos. En el presente caso, ha quedado acreditado que los datos personales del denunciante fueron informados por VODAFONE para su inclusión en el fichero ASNEF, con fechas de alta y baja, respectivamente: 12/01/2012 y 13/04/2012, como consecuencia de una deuda de 118,00 euros; deuda que no era cierta, ni respondía a la situación del denunciante, puesto que éste no mantenía deuda alguna con la entidad, en virtud del laudo dictado el 25/10/2011 por la Junta Arbitral de Consumo de Burgos, que señalaba se procediera por VODAFONE a “anular de inmediato el cargo de 100 €+IVA reclamado, con baja, en su caso, en ficheros de solvencia patrimonial y de crédito”. VODAFONE como acreedor e informante de dichos datos a los ficheros de solvencia, debió extremar su diligencia y responsabilidad en el momento de facilitar una información de esa naturaleza, tal y como exige el artículo 4 de la LOPD; es decir, VODAFONE debió haberse asegurado que los datos de carácter personal eran exactos y respondían con veracidad a la situación del afectado, antes de instar la inclusión en los ficheros de obligaciones dinerarias, dada las repercusiones personales que conlleva estar incluido y permanecer en ese tipo de ficheros. Todos estos hechos son contrarios al principio de calidad de datos y, por tanto, contravienen lo dispuesto en el artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma Ley, tipificada en el artículo 43.3.

1. c)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 III Consta acreditado en esta Agencia que las entidades asociadas a los ficheros ASNEF y BADEXCUG suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes a través de cinta magnética para que tales actualizaciones queden registradas en el mismo, siendo las entidades informantes quienes deciden sobre el alta o la cancelación de los datos de sus clientes en el fichero de morosidad. Los datos personales de los denunciantes son datos que figuran en los propios ficheros automatizados de la entidad informante, en este caso VODAFONE. Adicionalmente son comunicados al responsable del fichero de solvencia a través de cintas magnéticas que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. Es criterio reiteradamente mantenido por la Audiencia Nacional que el principio de calidad de datos, proclamado por el artículo 4.3 de la LOPD, es de exigencia a quien comunica datos de carácter personal a un fichero de esta naturaleza. La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43.1), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este último precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al que lo es del tratamiento de datos personales. Conforme a dicha definición del artículo 3.
2. d)el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El artículo 2.
3. d)de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, define al responsable del tratamiento como “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales” y añade que “en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario”. En cuanto al concepto de tratamiento de datos, éste se delimita en el artículo 3.
4. c)de la LOPD, que incluye en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que, a tenor de los artículos transcritos, <<se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales, por lo que tal figura del responsable se conecta en la Ley con el poder de decisión sobre la finalidad, contenido y uso del tratamiento. Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específico. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento.>> El Tribunal Supremo, en su Sentencia de 26/01/2005, confirma el criterio anteriormente expuesto al señalar que “junto al responsable del fichero –que era en la Ley 5/1992- quien estaba sujeto al régimen sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas veces- el responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
5. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos.” En este mismo sentido se pronuncia la Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su Sentencia de 18/01/2006, al señalar que <<el tipo sancionador previsto en el artículo 44.3.
6. d)de la Ley Orgánica 15/1999, castiga “tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidas en la presente Ley”, como el previsto en el artículo 4.3 de la citada Ley que impone la veracidad y exactitud de los datos de carácter personal. Acorde con este principio se establecen una serie de obligaciones, tendentes a alcanzar esa veracidad y exactitud de los datos de carácter personal que se encuentran en el fichero, y cuyo incumplimiento es digno de reproche y configura una infracción administrativa por la que se impone la sanción que se recurre. Dicho de otra forma, el medio de conseguir que los principios en que se inspira esta regulación sobre la protección de datos –al amparo del artículo 18.4, más allá del contenido del artículo 18.1 de la CE, como un derecho fundamental autónomo tras la STC 292/2000 –sean efectivos es mediante la acción sancionadora, es decir, tipificando las conductas que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 impidan el cumplimiento de los expresados principios. El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a estos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
7. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992. y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
8. d)y g), respectivamente, de la Ley Orgánica 15/1999.>> Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por VODAFONE puede subsumirse o no en tales definiciones legales. VODAFONE incorporó a sus ficheros los datos del denunciante. En consecuencia, trató automatizadamente los datos relativos a una supuesta deuda del denunciante en sus propios ficheros, de los que es responsable conforme el artículo 3.
9. d)citado. Adicionalmente, decidió sobre la finalidad, contenido y uso del tratamiento y resolvió su incorporación al fichero ASNEF. Dicha comunicación se realizó, mediante un procedimiento que implica un tratamiento automatizado de datos cuyo destino es, también, ser tratado automatizadamente por el responsable del fichero de solvencia. Conforme a lo expuesto, VODAFONE ha decidido, sobre la finalidad del tratamiento (la calificación del denunciante como deudor), el contenido de la información (los datos relativos a la deuda y al deudor asociados al denunciante), y el uso del tratamiento (la incorporación de los datos del denunciante a un fichero común de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo), por lo que es responsable de que la información suministrada no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Además, todo lo anterior lo ha realizado sin que los datos comunicados y mantenidos en el fichero fueran exactos, pues la deuda informada y asociada al denunciante no le correspondía, pues éste no era deudor al quedar acreditada la anulación de la deuda por importe de 100 euros +IVA y, en su caso, la baja de los ficheros de solvencia patrimonial y de crédito en virtud del Laudo dictado por la JJAA de Consumo de Burgos. Ello supone una clara vulneración del principio de calidad de datos, de la que debe responder VODAFONE por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 incluyan y mantengan en los ficheros de solvencia patrimonial y crédito. La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que VODAFONE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD en los términos del artículo 43, en relación con la definición del articulo 3.
10. d)y
11. c)de la citada Ley Orgánica. IV En el presente caso, en el expediente arbitral, en el documento Acta de Audiencia a las Partes consta que la parte reclamada, VODAFONE, no comparece y, además: “La Presidenta del Colegio, otorga el uso de la palabra a la parte reclamante que tras ratificarse en los hechos contenidos en su reclamación, reitera los mismos y añade: Que tras la formulación de la reclamación, le llamó un abogado de Barcelona que le propuso el pago de los 25 € de consumo, más IVA, dejando de pagar los 100 €, más IVA, que el propio abogado reconocía como un error. Por tanto concreta su pretensión en la anulación de los 100 € más IVA” (folio 76). Asimismo, en el Laudo dictado en fecha 25/10/2011, en sus Antecedentes, consta que: “Según escrito de reclamación, en resumen el denunciante contrato servicio con VODAFONE en diciembre/10 sin adquirir móvil ni suscribir permanencia, recibiendo al realizar portabilidad de la línea, cargo por aquel concepto por importe de 100€+IVA que entiende incorrecto, por lo que solicito vía arbitral la anulación del cargo y la baja en ficheros de solvencia patrimonial y de crédito. De adverso la mercantil no formulo alegaciones” (folio 78). Y en su Resuelve: “Estimar la reclamación formulada por el denunciante frente a VODAFONE ESPAÑA ,S.A. y en su virtud declarar que esta mercantil deberá anular de inmediato el cargo de 100 €+IVA reclamado, con baja, en su caso, en ficheros de solvencia patrimonial y de crédito. Sin embargo, VODAFONE instó la inclusión en el fichero ASNEF, de los datos del denunciante, en virtud de una operación de telecomunicaciones, en su condición de titular, asociados a una deuda por un importe de 118 euros, con fecha 12/01/2012, es decir, con posterioridad al laudo dictado e incumpliendo lo señalado en el mismo. La representación de VODAFONE ha alegado que su representada no tuvo constancia de tal arbitraje, lo que le llevó a continuar con el recobro de la deuda acumulada por parte del denunciante, con excepción del importe de 25,80 €; abono realizado por aquél, quedando pendiente 118 € correspondiente al incumplimiento de la permanencia. Sin embargo tal alegato no puede admitirse: en primer lugar, porque como así consta probado, la admisión a trámite de la reclamación, el inicio del procedimiento arbitral, la designación de los miembros del Colegio arbitral, así como el señalamiento de la vista oral, fueron notificados a VODAFONE (folios 74 y 75); en segundo lugar, la propia denunciada no compareció en el acto de audiencia, a pesar de estar notificada, de lo que dejó constancia el Secretario del Colegio en el Acta y, por último, el laudo dictado también fue notificado a VODAFONE, como así figura en el acuse de recibo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 04/11/2011. A mayor abundamiento, se le comunicó que el laudo dictado “tiene carácter vinculante y ejecutivo y es eficaz y de obligado cumplimiento desde el día de su notificación”, salvo que frente al mismo se hubiera interpuesto solicitud de corrección o acción de anulación, que no es el caso. Todo este comportamiento, supone por parte de VODAFONE una vulneración del principio de calidad del dato, recogido en el artículo 4.3 de la LOPD, del que debe responder. V De acuerdo con las previsiones de la LOPD, según redacción dada por la Ley 21/2011, el artículo 44.3.
12. c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. En el supuesto que nos ocupa, la conducta de VODAFONE ha vulnerado el principio de calidad del dato, artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma Ley, infracción que se encuentran tipificada, respectivamente, en el artículo 44.3.
13. c)de la Ley Orgánica 15/1999. VODAFONE ha incurrido en la infracción descrita ya que ha vulnerado dicho principio, consagrado en el artículo 4.3 de la LOPD, cuando informó al fichero ASNEF los datos del denunciante asociados a una deuda que no era cierta, vencida ni exigible en virtud del laudo dictado que anulaba el cargo de la penalización y la baja, en su caso, en ficheros de solvencia patrimonial y de crédito, que encuentra su tipificación en el artículo 44.3.
14. c)de la citada Ley Orgánica. VI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
15. a)El carácter continuado de la infracción.
16. b)El volumen de los tratamientos efectuados.
17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
18. d)El volumen de negocio o actividad del infractor.
19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
20. f)El grado de intencionalidad.
21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12
23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el supuesto examinado, VODAFONE ha solicitado la aplicación subsidiaria del artículo 45.4 y 5 de la LOPD, teniendo en cuenta las especiales circunstancias que se han producido en el presente caso, reduciendo la cuantía de la sanción a aplicar. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados b, c),
30. d)y
31. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 de 2008). Además, tampoco se aprecia una diligencia razonable de la denunciada a la hora de tratar de subsanar las irregularidades cometidas, como lo demuestra el hecho de que a pesar de que se le había notificado el laudo dictado, como así consta en el acuse de recibo de 04/11/2011, e incluso, informándole que el mismo “tiene carácter vinculante y ejecutivo y es eficaz y de obligado cumplimiento desde el día de su notificación”, VODAFONE instó los datos del denunciante en el fichero ASNEF, asociados a una deuda por un importe de 118 euros, con fecha 12/01/2012, es decir, con posterioridad al laudo dictado e incumpliendo lo señalado en el mismo. Por otra parte, en aras a graduar la sanción que corresponde imponer, se advierten otras circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las agravantes previstas en el artículo 45.4, apartados
32. a)El carácter continuado de la infracción, porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a VODAFONE, tiene naturaleza de infracción continuada o permanente (STAN de 24 de junio de 2010, Rec. 539/2007),
33. c)“la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros y el apartado
34. d)“volumen de negocio” toda vez que se trata de una de las mayores operadoras de telefonía del país, por cuota de mercado. Por tanto, en el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, en particular el carácter continuado de la infracción (apartado a), la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal (apartado b), el volumen de negocio del infractor (apartado d), procede la imposición de dos multas de 50.000 € cada una por la infracción del artículo 4.3 de la LOPD de las que VODAFONE debe responder. III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, reiterando las alegaciones vertidas a lo largo del procedimiento. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por VODAFONE ESPAÑA, S.A.. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 18 de junio de 2013, en el procedimiento sancionador PS/00072/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad VODAFONE ESPAÑA, S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es