← España

REPOSICION-PS-00090-2018

1/21 Procedimiento nº.: PS/00090/2018 ASUNTO: Recurso de Reposición Nº RR/00685/2018 Examinado el recurso de reposición interpuesto por la entidad XFERA MÓVILES, S.A., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00090/2018 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 12 de septiembre de 2018 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00090/2018, en virtud de la cual se imponía a XFERA MÓVILES, S.A., una sanción de 50.000 € por vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 13 de septiembre de 2018, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00090/2018, se dejó constancia en la Resolución recurrida de los siguientes: <<HECHOS PROBADOS PRIMERO: A.A.A., con NIF ***NIF.1, denuncia que el operador telefónico MÁS MÓVIL (en la actualidad XFERA MÓVILES), a través de la empresa gestora de cobros GEMINI, le ha requerido el pago de una deuda tiempo después de que la Secretaría de Estado para la Sociedad de la Información y la Agenda Digital (SESIAD) se pronunciara en el expediente tramitado a su instancia en ese organismo -RC 1011752/17- declarando que la citada deuda era inexistente. (Folio 1) SEGUNDO: La resolución del procedimiento seguido ante la SESIAD, RC 1011752/17, se firmó en fecha 23/10/2017 y acordó “Estimar la reclamación, declarando esta Secretaría de Estado la inexistencia de la deuda reclamada”. Como Fundamento de la resolución, la SESIAD manifestó que “…MÁS MÓVIL TELECOM 3.0., S.L., pese a haber tenido oportunidad de ello durante el trámite de audiencia, no ha facilitado información alguna sobre las circunstancias de la deuda cuyo pago le es requerido ahora al reclamante ni ha presentado acreditación alguna que permita determinar los conceptos que se pretenden cobrar al usuario. Por consiguiente, procede estimar la reclamación, declarando la inexistencia de la deuda reclamada”. (Folio 11) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 TERCERO: Respecto a la notificación de la resolución dictada en el expediente RC 1011752/17, la documentación facilitada por la SESIAD acredita que en fecha 09/11/2017 esa Secretaría de Estado puso a disposición de la operadora reclamada la resolución dictada. Respecto a la fecha de “aceptación electrónica de la notificación” de la resolución, consta en el documento, por una parte, que en nombre del operador actúa D.ª B.B.B. con NIF ***NIF.2 y, por otra, en el lateral del documento se incluye esta leyenda: <<Aceptación firmada por (…) [B.B.B.] con fecha 17/11/2017 15:12:21, con certificado emitido por AC FNMT Usuarios,..>> Folio 99. (El subrayado es de la AEPD) CUARTO: Obra en el expediente -aportado por el denunciante- un email recibido en su dirección electrónica (***EMAIL.1) desde masmovil@geminicollections.com, de fecha 27/11/2017 a las 12:39:15 horas. Como “Asunto” figura “Masmovil”. En el correo aparece el anagrama de GEMINI y este texto: <<Distinguido Sr./Sra. A.A.A. tiene un importe pendiente de 49,66 EUR. Como paso previo al envío de su expediente a nuestra Asesoría Jurídica, le instamos a la regularización inmediata de la deuda que mantiene con nuestro cliente MASMOVIL cuyo importe asciende a: 49,66 EUR (…)>> (Folio 13) QUINTO: GEMINI y XFERA MÓVILES suscribieron el 02/01/2016 un contrato de prestación de servicios cuyo objeto (Cláusula primera) era la gestión de la deuda, para lo cual se le ofrecía un abanico de soluciones entre las que pueden citarse la “gestión de cobros”, la “gestión de deuda temprana” o la “gestión de deuda morosa”. Se aporta copia del contrato y del Anexo I que lleva el título de “Propuesta de servicio de recobro YOIGO”. (Folios 22 a 47) SEXTO: GEMINI ha manifestado que en fecha 07/07/2017 recibió de XFERA MÓVILES para que gestionara su recobro los expedientes con referencia R0055474 y MM170710469, por los importes, respectivamente, de 8 euros y 41,66 euros, de los que el denunciante era deudor, facilitándole XFERA MÓVILES su teléfono de contacto y su dirección electrónica. Afirma que realizó un “recobro telefónico consistente en llamadas a números de teléfono facilitados por XFERA MÓVILES, así como envío de SMS recordatorios de la necesidad de pago y correos electrónicos con idéntico fin. Se aporta como Documento nº2 el detalle de las gestiones realizadas por GEMINI” (Folio 20) SÉPTIMO: El documento número 2 aportado por GEMINI (folio 64) es una imagen con el resultado de la “Consulta de expedientes”.  Bajo la rúbrica “Consulta de Telecobro” en la casilla “Cliente” figura “MasMovil”; como “Tipo búsqueda” “DNI/NIF” y en la casilla “Buscar” el dato “***NIF.1”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21  Bajo la rúbrica “Expedientes” los identificados con las referencias R0055474 y MM170710469, correlativamente los importes de 8,00€ y 41,66€. Como “Fecha remesa” el “07/07/2017” y como “Fecha Baja” “28/12/2017”. (El subrayado es de la AEPD)  Bajo la rúbrica “Detalles” se ofrece información de las gestiones realizadas. En distintas columnas se facilita la “Fecha Gestión”, el “Expediente”; el “NIF”; el “Resultado”; el “Operador”; el “Contacto”; el “Teléfono” y el “texto”.  Las dos últimas gestiones efectuadas son de fecha 04/12/2017, están asociadas al expediente R0055474 y al NIF ***NIF.1 (del que es titular el denunciante) con el resultado en ambos casos de “Enviado SMS” siendo el operador “GEMINI”. OCTAVO: El documento número 3 aportado por GEMINI (folio 66) es una imagen con el resultado de la “Consulta de expedientes”.  Bajo las rúbricas “Consulta de Telecobro” y “Expedientes” se ofrece la misma información que en el documento número 2.  Bajo la rúbrica “Detalles” consta la siguiente información asociada al expediente MM170710469: La “Fecha remesa” es el “07/07/2017”; la “Cesión telecobro” es el “08/07/2017”; el “Estado” es “Cancelado”; como “Inicio deuda” costa “31/01/2017”, y como “Baja en telecobro” el “28/12/2017” (El subrayado es de la AEPD) NOVENO: GEMINI hace la siguiente afirmación en su escrito de respuesta al requerimiento de la Inspección de Datos (folio 21); “Que, en fecha 28 de diciembre de 2017, XFERA MÓVILES informó del cese en la gestión de los dos expedientes asociados al reclamante. Se observa en el Documento nº2 que en el apartado “Estado registro” consta como “baja” ambos expedientes a fecha 28/12/2017. (…)” (El subrayado es de la AEPD)>> TERCERO: XFERA MÓVILES, S.A. (en lo sucesivo, la recurrente) ha presentado en fecha 15 de octubre de 2018 en esta Agencia Española de Protección de Datos recurso de reposición. Se ha de indicar que los días 13 y 14 de octubre de 2018 eran inhábiles, por lo que el recurso se interpuso dentro del plazo fijado por la Ley. De conformidad con lo prevenido en el artículo 30.5 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) “Cuando el último día del plazo sea inhábil se entenderá prorrogado al primer día hábil siguiente”. La recurrente solicita que se “declare la nulidad de la Resolución, revocando la misma, así como la inexistencia de responsabilidad…” y que, en consecuencia, se elimine la obligación de satisfacer la sanción impuesta en virtud de aquélla. Con carácter subsidiario, para el caso de que no prospere su pretensión principal, solicita que se le imponga una sanción por infracción leve en su grado mínimo. Como fundamento de su recurso invoca, además de las alegaciones que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 formuló en el curso del procedimiento al acuerdo de inicio y a la propuesta de resolución -alegaciones que da por reproducidas- estas otras que califica como “alegaciones específicas”:

  1. a)La falta de culpabilidad de YOIGO. Estima que carece de responsabilidad administrativa en los hechos que constituyen el presupuesto fáctico de la infracción imputada puesto que, afirma, “desplegó toda aquella diligencia que le era debida a la hora de proceder a la cancelación de los datos del Denunciante, toda vez que únicamente tardó una semana desde que absorbió, tras su fusión, el patrimonio de MÁS MÓVIL TELECOM 3.0, S.A.U., y, con ello, tuvo conocimiento efectivo de que dichos datos se seguían tratando” Invoca el principio de culpabilidad que rige en nuestro Derecho Sancionador y las SSTC que proscriben la responsabilidad objetiva en por imperativo del artículo 24.2 de la Constitución Española. En particular hace estas afirmaciones: i. Que en el caso que nos ocupa estamos ante “datos de carácter personal relativos a una deuda que el Denunciante mantenía ante la sociedad MÁS MÓVIL …por el impago de las facturas emitidas por la prestación de servicios de comunicaciones electrónicas; deuda que fue completamente anulada tras la emisión de las facturas de abono”. ii. “Que la AEPD reprocha a YOIGO que no hubiese comunicado a GEMINI el cese de las acciones de recobro hasta el 28/12/2017 pese a que SESIAD dictó resolución declarando la inexistencia de la deuda el 23/10/2017” iii. Que XFERA MÓVILES no llegó a tener conocimiento de que los datos del denunciante sometidos a tratamiento eran, dice la recurrente, inexactos, hasta el “21/12/2017” porque fue en esa fecha cuando se publicó en el BORME la inscripción en el Registro Mercantil de la escritura pública de fusión por absorción, escritura que fue inscrita en el Registro Mercantil el 14/12/2017. Y que una semana después de la publicación en el BORME de la inscripción de la escritura de fusión por absorción, el 28/12/2017, procedió a comunicar a GEMINI que cancelase los datos del denunciante.
  2. b)Reitera su discrepancia - reproduce de forma casi idéntica las manifestaciones que hizo en sus escritos de alegaciones al acuerdo de inicio y la propuesta de resolución- sobre la aplicación que la Agencia hace en la resolución impugnada de las circunstancias modificativas de la responsabilidad descritas en los artículos 45.4 y 45.5 LOPD. Las objeciones de la recurrente a la aplicación que la AEPD hace de los artículos 45.4 y 45.5 LOPD son idénticas a las que invocó en el curso del procedimiento y a ellas se respondió en el Fundamento de Derecho V de la Resolución recurrida, con la única salvedad de la invocación de las atenuantes del artículo 45.4 LOPD apartados b), e), f),
  3. h)e
  4. i)de los que nada dice la resolución sancionadora recurrida. Así pues, por una parte damos por reproducido el Fundamento de Derecho V de la Resolución y por otra se da respuesta a las atenuantes de los apartados b), e), f),
  5. h)e
  6. i)del artículo 45.4 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 LOPD sobre las que no se pronunció la resolución dictada. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En respuesta a los argumentos esgrimidos por la recurrente -que se detallan en el Antecedente de Hecho tercero de esta resolución- se expone lo siguiente: A. Respecto a la invocada ausencia de responsabilidad administrativa, toda vez que la recurrente afirma que obró con la diligencia que era procedente, hemos de recordar que como se dijo en la resolución (Fundamento de Derecho III) la entidad ahora recurrente había actuado con “una grave falta de diligencia, por cuanto transcurrieron al menos 28 días desde la fecha en la que conoció fehacientemente que el dato relativo a la deuda atribuida al denunciante era inexacto y la fecha en la que, como muy pronto, procedió a la cancelación.” Se dijo también que “Esta falta de diligencia en el cumplimiento de las obligaciones que le impone la normativa de protección de datos de la que adolece la conducta de XFERA MÓVILES queda reforzada por otras circunstancias a las que se ha hecho mención. En el curso del procedimiento seguido ante la SESIAD, en el trámite de audiencia otorgado a la operadora, ésta no aportó ningún documento, prueba o evidencia de que la deuda existía, lo que significa que antes de que la SESIAD dictara su resolución sabía cuál sería el resultado. Pese a ello, fue necesario un prolongado periodo de tiempo para que XFERA MÓVILES cancelara el dato inexacto. XFERA mantuvo en sus ficheros los datos personales del afectado asociados a una deuda a la que él era ajeno durante, al menos, 28 días desde de la fecha -computada a partir de la recepción de la notificación fehaciente de la resolución dictada por la SESIAD- en la que finalizó el plazo concedido por el artículo 8.5 del RLOPD para cancelar los datos inexactos.” La recurrente alega también que “únicamente tardó una semana desde que absorbió tras su fusión, el patrimonio de MÁS MÓVIL TELECOM 3.0., S.A.U., y con ello tuvo conocimiento efectivo de que dichos datos se seguían tratando”. (El subrayado es de la AEPD) Y en la misma línea argumental sostiene que la escritura de fusión por absorción de MÁS MÓVIL TELECOM 3.0, S.A.U. por parte de XFERA MÓVILES, S.A.U., se inscribió en el Registro Mercantil el 14/12/2017 y se publicó en el BORME el 21/12/2017 y concluye de ello que “Por tanto, fue el 21/12/2017 cuando XFERA tuvo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 efectivo conocimiento de que los datos del Denunciante sometidos a tratamiento por parte de la sociedad absorbida resultaban ser inexactos…” (El subrayado es de la AEPD) Pues bien, como respuesta a tal alegato se ha de indicar que la recurrente quiere ignorar intencionadamente que, como consecuencia de la fusión por absorción de MÁS MÓVIL por XFERA, esta última se subrogó en la posición jurídica de la primera. Así, erróneamente intenta modificar la fecha en la que la responsable del fichero venía obligada a rectificar el dato inexacto negando que tal obligación surgiera en la fecha en la que conoció la inexactitud de la deuda atribuida al denunciante y pasa a situar el nacimiento de tal obligación en un momento muy posterior: la fecha en la que se produce la inscripción en el Registro Mercantil de la escritura pública de fusión por absorción. Sin embargo, no existe ningún argumento jurídico para sustentar esta pretensión. La obligación de rectificar el dato inexacto nace en el momento en el que la responsable del fichero conoce la inexactitud del dato (conocimiento fehaciente que situamos en la fecha en la que la SESIAD le notifica su resolución de 23/10/2017, el 17/11/2017). Y ello pese a que, como se advierte la resolución sancionadora recurrida MÁS MÓVIL conocía desde tiempo antes de la notificación que el dato tratado era inexacto: Nos referimos al correo electrónico que el denunciante envía el 28/08/2017 a GEMINI en el que le comunica la presentación de una reclamación contra XFERA MÓVILES ante la SESIAD motivada por la deuda que le viene requiriendo y a la que es ajeno, o el de 23/10/2017 en el que informa a XFERA de que la SESIAD ya ha dictado resolución declarando que la deuda que le reclaman es inexistente. Por idénticos motivos las facturas emitidas por MÁS MÓVIL frente al denunciante, de las que nacía la deuda que él impugnó ante la SESIAD, no podían haber sido anuladas hasta, al menos, el 28/12/2017, fecha en la que se comunica a GÉMINI el cese de las acciones de recobro. B. A propósito de los criterios de graduación de la sanción que se acogen en la resolución recurrida, la entidad reitera su discrepancia -reproduce de forma casi idéntica las manifestaciones efectuadas anteriormente, en sus escritos de alegaciones al acuerdo de inicio y la propuesta de resolución- sobre la aplicación que la Agencia hace de las circunstancias modificativas de la responsabilidad descritas en los artículos 45.4 y 45.5 LOPD. Las objeciones de la recurrente son idénticas a las que invocó en el curso del procedimiento a las que esta Agencia respondió en el Fundamento de Derecho V de la Resolución recurrida, con la única salvedad de la mención a las atenuantes del artículo 45.4 LOPD apartados b), e), f),
  7. h)e
  8. i)de los que nada dijo la resolución sancionadora. Así pues, damos por reproducido el Fundamento de Derecho V de la Resolución y se hacen las siguientes precisiones respecto a las atenuantes invocadas de los apartados b), e), f),
  9. h)e
  10. i)del artículo 45.4 LOPD: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 El apartado
  11. b)del artículo 45.4 LOPD se refiere al volumen de tratamientos efectuados. La recurrente solicita la aplicación de esta circunstancia como atenuante y afirma que se ha obviado que el “volumen de los tratamientos ha sido mínimo” pues se refieren únicamente a la persona del denunciante. Señalar que esta circunstancia, por su propia configuración, no puede operar como atenuante sino únicamente como agravante. Esto, porque necesariamente ha de existir un mínimo tratamiento de datos que sea presupuesto fáctico de la conducta infractora. De aceptarse la argumentación de la recurrente toda conducta típica consistente en la que sea objeto de tratamiento un único dato personal o los datos de una única persona llevaría implícita la aplicación de la atenuante. Sin embargo, la interpretación correcta es otra: sin ese mínimo tratamiento no existe la conducta que integra el tipo infractor, como aquí ocurre, y es a partir de entonces cuando se debe de tomar en consideración el volumen de los datos objeto de tratamiento y valorar la gravedad de la conducta. El apartado
  12. e)del artículo 45.4 LOPD se refiere a los beneficios obtenidos como consecuencia de la comisión de la infracción por lo que la recurrente estima que procede apreciarla como atenuante ya que no obtuvo ningún beneficio. Sin embargo, tampoco resulta admisible estimar la concurrencia de la atenuante solicitada. Nos remitimos por su claridad al criterio seguido por la Audiencia Nacional, Sala de lo Contencioso Administrativo, en SAN de 17/04/2018 (Rec. 254/2017) en la que rechazó la pretensión de la parte demandante, sancionada por la AEPD, de que se estimara como atenuante el artículo 45.5. e), por no haber existido beneficios, argumentando lo siguiente (Fundamento Jurídico tercero): “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. El apartado f), El grado de intencionalidad, debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. La actividad empresarial de XFERA lleva implícita el tratamiento de datos de carácter personal lo que le obliga a extremar la diligencia en el cumplimiento de la normativa de protección de datos. La Audiencia Nacional en SAN de 17/10/2007 (Rec. 63/2006), exige a aquellas entidades en las que el desarrollo de su actividad conlleve un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia y precisa que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Por último, respecto al apartado h), naturaleza de los perjuicios -a propósito del cual XFERA niega que se haya producido perjuicio alguno- y al apartado i), la acreditación de que la entidad, con anterioridad a los hechos constitutivos de la infracción, tenía implantados procedimientos adecuados en el tratamiento de los datos siendo la infracción una anomalía en el funcionamiento no debida a la falta de diligencia, señalar lo siguiente: Por una parte, que la Audiencia Nacional ha manifestado que existen perjuicios siempre que el afectado se ha visto obligado a desplegar una actividad para lograr que se respete su derecho a la protección de datos de carácter personal. Recordemos que el denunciante remitió varios emails a la encargada de tratamiento de la entidad infractora y que se vio obligado a acudir a la SESIAD, que falló a su favor, y pese a ello fue necesario presentar denuncia ante la AEPD. Por otra, con relación al apartado
  13. i)del artículo 45.4 LOPD, indicar que la entidad nada ha acreditado a esos efectos. IV En respuesta a las cuestiones planteadas por la recurrente que fueron resueltas en la Resolución recurrida damos por reproducidos los Fundamentos de Derecho I a V de la citada Resolución que se transcriben a continuación: <<I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  14. g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) dedica el Título II a los “Principios de protección de datos” y en su artículo 4, “Calidad de los datos” establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado. 4.Si los datos de carácter personal registrados resultaren ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. El principio de calidad de los datos se traduce en la exigencia de que los datos personales que se recojan en cualquier fichero sean exactos y reflejen, en todo momento, la situación actual de los afectados, correspondiendo a los responsables de los ficheros el cumplimiento de esta obligación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 Las disposiciones transcritas deben integrase con las definiciones recogidas en los artículos 3.a), 3.e), 3.
  15. c)y 3.
  16. d)de la LOPD, referentes, respectivamente, a lo que debe entenderse por “datos de carácter personal”, “afectado o interesado”, “tratamiento de datos” y “responsable del fichero o tratamiento”: “cualquier información concerniente a personas físicas identificadas o identificables”; “persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  17. c)del presente artículo”; “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. El Reglamento de Desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) en su artículo 8.5 establece: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste. Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento o un plazo específico para ello. Cuando los datos hubieran sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o cancelación efectuada, siempre que el cesionario sea conocido. En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviera el tratamiento de los datos deberá proceder a la rectificación y cancelación notificada. Esta actualización de los datos de carácter personal no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre. Lo dispuesto en este apartado se entiende sin perjuicio de las facultades que a los afectados reconoce el título III de este reglamento.” III En el expediente PS/00090/2018 que nos ocupa se atribuye a XFERA MÓVILES una infracción del principio de exactitud de los datos, manifestación del principio de calidad, concretada en haber atribuido al afectado una deuda inexistente tiempo después de haber tenido conocimiento, incluso conocimiento fehaciente, de la inexactitud del dato tratado. A. Ese extremo -la inexactitud del dato, o lo que es igual la inexistencia de la deuda que la operadora atribuía y reclamaba al denunciante- le fue notificado fehacientemente a XFERA MÓVILES por la SESIAD en fecha 17/11/2017. Sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 embargo, no será hasta el 28/12/2017 (un mes y once días después de esa notificación) cuando XFERA MÓVILES comunique a su encargada de tratamiento (GEMINI) la baja del expediente de recobro del afectado; circunstancia que demuestra que la operadora denunciada, al menos hasta esa fecha, continuó tratando en sus ficheros un dato inexacto asociado al denunciante sin haber hecho la pertinente cancelación. XFERA MÓVILES mantuvo en sus ficheros, asociados a los datos personales del afectado (nombre, apellidos y NIF), un dato inexacto -una supuesta condición de deudor- un mes y once días después de que la Secretaría de Estado -ante la que el denunciante había acudido para resolver la controversia que mantenía con la operadora, reclamación que dio lugar a la tramitación del expediente RC/1011752/17le notificara en fecha 17/11/2017 la resolución que así lo declaraba. Nos remitimos en prueba de ello a los Hechos Probados sexto, séptimo y octavo de esta resolución. Insistir en que la fecha del 17/11/2017 es aquella en la que se produce la “aceptación de la notificación” por XFERA MÓVILES dado que fue el 09/11/2017 cuando la SESIAD puso a disposición de la entidad la notificación de la resolución dictada. En el Hecho Probado sexto se reflejan las declaraciones de la encargada de tratamiento de XFERA MÓVILES, la empresa GEMINI, que le prestaba el servicio de recobro de deuda, en las que dice que el 07/07/2017 recibió de XFERA MÓVILES para la gestión del recobro dos expedientes en los que el denunciante tenía la condición de deudor: Los identificados con las referencias R0055474 y MM170710469, por sendos importes de 8 euros y 41,66 euros. El total asciende a 49,66 euros que es la cantidad que GEMINI, en nombre de XFERA MÓVILES, reclamó al denunciante. Los Hechos Probados séptimo y octavo reflejan la información que consta en los ficheros de la empresa GEMINI. En dos de las capturas de pantalla que aporta -que versan sobre el resultado de la consulta a los expedientes identificados con las referencias R0055474 y MM170710469- figura con total claridad que hasta el 28/12/2017 GEMINI no procedió a dar de baja la operación de recobro. Es más, en su respuesta al requerimiento informativo de la Inspección de Datos (folio 21) dice taxativamente y con total claridad que fue el día 28/12/2017 cuando XFERA MÓVILES le informó del cese en la gestión de los expedientes asociados al denunciante (Hecho Probado noveno). A mayor abundamiento, se ha de subrayar que nos hemos referido hasta ahora a la fecha de notificación de la resolución de la SESIAD, que nos permite afirmar que en esa fecha “fehacientemente” la denunciada conoce la inexactitud del dato personal tratado en los ficheros de los que es responsable. Sin embargo, y sin perjuicio de que tomemos como referencia la fecha en la que la SESIAD notifica a la denunciada la resolución declarando la inexistencia de la deuda reclamada por GEMINI, no pueden obviarse otros elementos de los que puede inferirse que XFERA MÓVILES, tiempo antes de esa fecha, tuvo que ser conocedora de la inexactitud del dato. Extremo que ha de conectarse con el tenor del artículo 8.5 del RLOPD que otorga diez días para rectificar el dato inexacto “desde que se conozca la inexactitud” (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 Antes de que la SESIAD dictara su resolución -lo que acontece el 23/10/2017XFERA MÓVILES era consciente de que no podía demostrar la veracidad de la deuda que imputaba al denunciante y que trataba de cobrar a través de GEMINI. Se infiere así del hecho de que en el trámite de audiencia del procedimiento RC/1011752/17 seguido ante la SESIAD, en el que se otorgó a XFERA MÓVILES la posibilidad de aportar algún documento del que pudiera inferirse la existencia de la deuda, la entidad no llega a aportar ningún documento acreditativo de la deuda que pretendía cobrar. Nos remitimos al Hecho Probado segundo en el que se transcribe un fragmento del fundamento de la resolución dictada por la SESIAD que dice que XFERA MÓVILES no ha facilitado información alguna sobre las circunstancias de la deuda cuyo pago le es requerido ni ha presentado acreditación alguna que permita determinar los conceptos que pretende cobrar al afectado. A idéntica conclusión puede llegarse a la luz de los correos electrónicos que el denunciante envió a GEMINI (encargada de tratamiento de XFERA MÓVILES) a la dirección electrónica masmovil@geminicollections.com como respuesta a los requerimientos de pago recibidos. No ya a la luz de los mensajes que envió el 13/07/2017 y 14/07/2017 -en los que el denunciante explicaba que había un error de Más Móvil y que no tenía ninguna deuda con la entidad- sino fundamentalmente a la luz del correo de 28/08/2017, en el que informa a GEMINI de la presentación de una reclamación contra XFERA MÓVILES ante la SESIAD motivada por la deuda que le viene requiriendo y a la que es ajeno, o el de 23/10/2017 en el que informa de que la SESIAD ya ha dictado resolución declarando que la deuda que le reclaman es inexistente (folios 3 a 15) Pues bien, en todo caso, a tenor del artículo 8.5 del RLOPD, una vez transcurrido el plazo de diez días desde la fecha en la que XFERA acepta la notificación de la resolución de la SESIAD, lo que aconteció el 17/11/2017, debió haber procedido de oficio a cancelar de sus ficheros el dato inexacto. Llegados a este punto se han de hacer algunas precisiones respecto a los términos inicial y final del plazo de diez días que el RLOPD, artículo 8.5, concede al responsable del fichero para que efectúe la rectificación de los datos inexactos que constan en él. El artículo 6 del RLOPD, “Cómputo de plazos”, dispone que “En los supuestos en que este reglamento señale un plazo por días se computarán únicamente los hábiles…”. Paralelamente la LPACAP -vigente cuando entra en la AEPD la denuncia de la que trae causa este expediente- en su artículo 29.2 excluye del cómputo de los días hábiles los sábados, domingos y los declarados festivos. Por lo que atañe al término inicial del cómputo del plazo de diez días se ha de tener en cuenta que el artículo 8.5 RLOPD lo sitúa en el día en que se tiene conocimiento de la inexactitud y no, a diferencia del artículo 29.3 LPACAP, “desde el día siguiente”. Resulta por ello que el término inicial del cómputo del plazo del artículo 8.5 RLOPD es el 17/11/2017 y que el plazo habría finalizado el 30/11/2017. En definitiva, ha quedado acreditado que, al menos, hasta el 28/12/2017 XFERA MÓVILES mantuvo el dato inexacto asociado al denunciante, ya que será en esa fecha cuando comunique a su encargada de tratamiento la baja de los expedientes de recobro asociados a aquél de modo que la cancelación del dato en ningún caso pudo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 haberse producido antes. Conducta que vulnera el artículo 4.3 de la LOPD. B. El nacimiento de responsabilidad sancionadora presupone la existencia de culpabilidad en cualquiera de sus manifestaciones: dolo, culpa o culpa levísima. En el ámbito del Derecho Administrativo Sancionador no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Las sanciones administrativas participan de la misma naturaleza que las penales al ser una de las manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible que este elemento esté presente como presupuesto para su imposición. (STC 76/1999). El artículo 28 de la Ley 40/2015, de Régimen Jurídico de las Administraciones Públicas, recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. La acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia, como ha reconocido reiteradamente el Tribunal Supremo. La Audiencia Nacional, Sentencia de 17/10/2007 (Rec. 63/2006), ha manifestado que “....el ilícito administrativo previsto en el artículo 44.3.
  18. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” El Tribunal Supremo, por su parte, entiende que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia a observar se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En el presente caso la denunciada obró con una grave falta de diligencia, por cuanto transcurrieron al menos 28 días desde la fecha en la que conoció fehacientemente que el dato relativo a la deuda atribuida al denunciante era inexacto y la fecha en la que, como muy pronto, procedió a la cancelación. Esta falta de diligencia en el cumplimiento de las obligaciones que le impone la normativa de protección de datos de la que adolece la conducta de XFERA MÓVILES queda reforzada por otras circunstancias a las que se ha hecho mención. En el curso del procedimiento seguido ante la SESIAD, en el trámite de audiencia otorgado a la operadora, ésta no aportó ningún documento, prueba o evidencia de que la deuda existía, lo que significa que antes de que la SESIAD dictara su resolución sabía cuál C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 sería el resultado. Pese a ello, fue necesario un prolongado periodo de tiempo para que XFERA MÓVILES cancelara el dato inexacto. XFERA mantuvo en sus ficheros los datos personales del afectado asociados a una deuda a la que él era ajeno durante, al menos, 28 días desde de la fecha -computada a partir de la recepción de la notificación fehaciente de la resolución dictada por la SESIAD- en la que finalizó el plazo concedido por el artículo 8.5 del RLOPD para cancelar los datos inexactos. Esta conducta es subsumible en el tipo sancionador del artículo 44.3.
  19. c)de la LOPD, precepto que dispone: Son infracciones graves: (..) “
  20. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. IV En sus alegaciones a la propuesta de resolución XFERA MÓVILES reitera los argumentos que había esgrimido en su escrito de alegaciones al acuerdo de inicio del expediente y, además, invoca nuevos argumentos. El escrito de alegaciones al acuerdo de inicio invocó en defensa de su pretensión de archivo del expediente que el acuerdo de inicio vulneraba el principio de tipicidad, toda vez que, según manifestó, había mantenido los datos del denunciante “exactos y puestos al día” y había respetado los artículos 4.3 LOPD y 8.5 del RLOPD. En respuesta a este alegato nos remitimos al Fundamento Jurídico precedente y a los Hechos declarados probados, a la luz de los cuales consta acreditada cumplidamente la infracción de la LOPD que se le atribuye. Argumentó también la denunciada en sus alegaciones al acuerdo de inicio que la resolución dictada por la SESIAD que declaró la inexistencia de la deuda que venía atribuyendo al denunciante “no era firme”, de modo que el pronunciamiento contenido en tal resolución podría verse anulado, bien a través del recurso de reposición bien a través del recurso contencioso administrativo que podría haber interpuesto siendo la última fecha -dice la entidad- para la interposición de este último el 17/01/2018. Llega así a la conclusión de que “la comunicación de YOIGO a GEMINI para el cese de las acciones de recobro realizada el 28/12/2017 en modo alguno se hizo de forma extemporánea y sí dentro del plazo legalmente establecido para ello”. (El subrayado es de la AEPD) Ante lo manifestado por XFERA MÓVILES hemos de subrayar que la firmeza de la resolución y la ejecutividad de la resolución son conceptos distintos y tienen también efectos jurídicos diferentes. La resolución administrativa firme es aquella contra la que no cabe recurso alguno, bien por haber agotado los otorgados por el ordenamiento jurídico bien por el transcurso del plazo concedido sin que se haya hecho uso de tal facultad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 Respecto a la ejecutividad, sin embargo, con carácter general en nuestro ordenamiento jurídico administrativo los actos son ejecutivos de inmediato (se haya o no interpuesto recurso administrativo) Pues bien, únicamente si la resolución fuese “no ejecutiva” podría afirmarse, como hace XFERA MÓVILES en sus alegaciones, que no tenía obligación de cancelar el dato inexacto. O lo que es igual, que no podría exigírsele que, notificada la resolución de la SESIAD que declaraba la inexistencia de la deuda, cancelase el dato inexacto dentro de los plazos que fija el RLOPD. La denunciada pretende atribuir a la resolución de la SESIAD el mismo efecto jurídico que si tal resolución tuviera carácter “no ejecutivo”, pero para llegar a ese resultado acude a un argumento jurídicamente insostenible: El hecho de que la resolución de la SESIAD fuera susceptible de ser impugnada en vía administrativa -a través del recurso potestativo de reposición- o en vía contenciosa, no altera su carácter “ejecutivo”. Sólo en el caso de que XFERA MÓVILES hubiera interpuesto alguno de los recursos que el ordenamiento jurídico le otorgaba y además hubiera solicitado la suspensión y le hubiera sido concedida, insistimos, sólo en tal hipótesis, la resolución de la SESIAD carecería de ejecutividad. Por el contrario, como la propia XFERA MÓVILES viene a reconocer en sus alegaciones al acuerdo de inicio del expediente, no ha llegado a interponer ningún recurso contra la resolución de la SESIAD, ni por consiguiente pudo haber solicitado la suspensión del acto. Únicamente si hubiera recurrido el acto de la SESIAD y solicitado la suspensión de la ejecución y el órgano competente la hubiera otorgado, cabría admitir sus objeciones a la imputación que se hace contra ella por vulneración del principio de calidad de los datos. Indicar sobre este particular que la resolución dictada por la SESIAD el 23/10/2017 y notificada a XFERA MÓVILES el 17/11/2017 está sujeta a las disposiciones de la Ley 39/2015, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LPACAP) que en su artículo 98, bajo la rúbrica “Ejecutoriedad” dispone lo siguiente: “1. Los actos de las Administraciones Públicas sujetos al Derecho Administrativo serán inmediatamente ejecutivos, salvo que:
  21. a)Se produzca la suspensión de la ejecución del acto
  22. b)Se trate de la resolución de un procedimiento de naturaleza sancionadora contra la que no quepa algún recurso en vía administrativa, incluido el potestativo de reposición.
  23. c)Una disposición establezca lo contrario.
  24. d)Se necesite aprobación o autorización superior.” (El subrayado es de la AEPD) Paralelamente el artículo 117.1 de la LPACAP, bajo la rúbrica “Suspensión de la ejecución” dice: “1. La interposición de cualquier recurso, excepto en los casos en que una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 disposición establezca lo contrario, no suspenderá la ejecución del acto impugnado” (El subrayado es de la AEPD) Precisar, finalmente, que la SESIAD dictó la resolución en la que declaraba la inexistencia de la deuda que XFERA MÓVILES atribuía al denunciante en el marco del procedimiento regulado por la Orden ITC/1030/2007, de 12 de abril, por la que se regula el procedimiento de resolución de las reclamaciones por controversias entre usuarios finales y operadores de servicios de comunicaciones electrónicas y la atención al cliente por los operadores. Procedimiento que no tiene naturaleza sancionadora, sino que su finalidad es la de ser un instrumento de resolución de controversias. XFERA MÓVILES en sus alegaciones a la propuesta de resolución, que presentó fuera de plazo, alega el principio de proporcionalidad (ex artículo 29 de la Ley 40/2015) y hace diversas consideraciones (que se detallan en el Antecedente Séptimo de esta resolución) sobre las circunstancias modificativas de la responsabilidad previstas en los artículos 45.4 y 45.5 LOPD que, a su juicio, han de operar como atenuantes o que no deben ser valoradas (en contra del criterio de esta Agencia) como agravantes. La respuesta a esta alegación se ofrece en el Fundamento Jurídico siguiente. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  25. a)El carácter continuado de la infracción.
  26. b)El volumen de los tratamientos efectuados.
  27. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  28. d)El volumen de negocio o actividad del infractor.
  29. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  30. f)El grado de intencionalidad.
  31. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  32. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  33. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  34. j)Cualquier otra circunstancia que sea relevante para determinar el grado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  35. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  36. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  37. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  38. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  39. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” A. La denunciada ha solicitado en el escrito de alegaciones a la propuesta de resolución la aplicación del artículo 45.5.
  40. e)LOPD. Hemos de recordar que el acuerdo de inicio del expediente decía: “A tenor de las evidencias de que se dispone al tiempo de acordar la apertura del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se estima que concurre la circunstancia descrita en el artículo 45.5.
  41. e)LOPD”. Por su parte, la propuesta de resolución, en el Fundamento Jurídico IV, punto A, señaló: << A. En primer término, hemos de hacer referencia a una cuestión de especial relevancia: Esta propuesta de resolución se aparta del criterio que siguió el acuerdo de inicio del expediente, por cuanto en él se apreció la concurrencia de la atenuante cualificada del artículo 45.5.
  42. e)LOPD – “Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”- lo que dio lugar, en virtud del efecto jurídico que deriva de la aplicación de tal disposición, a que la sanción se fijara en 24.000 euros. Por el contrario, en este trámite de propuesta de resolución estimamos que no se dan las condiciones que justifican la aplicación del artículo 45.5.
  43. e)LOPD. Por una parte, la infracción que se atribuye a XFERA MÓVILES (vulneración del principio de calidad del dato) tiene carácter permanente dado que sus efectos jurídicos continúan en el tiempo hasta que se pone fin a la irregularidad causada y, por otra, como se ha expuesto reiteradamente en esta propuesta de resolución, la cancelación del dato inexacto se habría producido como muy pronto el “28/12/2017”. En esa fecha la fusión por absorción de MÁS MÓVIL por XFERA MÓVILES era ya una realidad en el mundo jurídico: el 14/12/2017 se inscribe en el Registro Mercantil la escritura pública otorgada y el 21/12/2017 se publica en el BORME. En consecuencia, al no ser de aplicación el efecto jurídico previsto en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 45.5 LOPD, se estima que la sanción a imponer en el expediente sancionador que nos ocupa habrá de estar comprendida en la escala que el artículo 45.2 LOPD fija para las infracciones graves: de 40.001 euros a 300.000 euros.>> En el escrito de alegaciones a la propuesta de resolución XFERA MÓVILES ha expresado su total disconformidad con el nuevo criterio incorporado por la propuesta que, en su opinión, no se adecúa a la previsión del artículo 45.5.
  44. e)LOPD La denunciada alega que el plazo de diez días para rectificar el dato inexacto debería de computarse no desde que se le notifica fehacientemente por la SESIAD su resolución, el 17/11/2017, sino desde el 21/12/2017, fecha en la que se publica en el BORME la fusión por absorción de MÁS MÓVIL por parte de XFERA MÓVILES. Reproducimos para mayor claridad el siguiente fragmento del escrito de alegaciones a la propuesta: “Por tanto, fue el 21/12/2017 cuando XFERA tuvo efectivo conocimiento de que los datos del denunciante sometidos a tratamiento por parte de la sociedad absorbida resultaban inexactos, y por tanto, fue en esa fecha cuando, en aplicación de lo dispuesto por el citado artículo 8.5 RLOPD, debió comenzar a computarse, en esta ocasión a favor de XFERA, el plazo de diez días para proceder a su rectificación”. (El subrayado es de la AEPD) Para llegar a tal conclusión la entidad se apoya en los incisos tercero y cuarto del artículo 8.5 del RLOPD: “Cuando los datos hubieran sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o cancelación efectuada, siempre que el cesionario sea conocido. En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviera el tratamiento de los datos deberá proceder a la rectificación y cancelación de la notificación”. Señalar al respecto que la fusión por absorción ente XFERA MÓVILES y MÁS MÓVIL dio lugar a que la entidad absorbente se subrogara en la posición jurídica de la absorbida y que los preceptos alegados (artículo 8.5 RLOPD, incisos tercero y cuarto) no son de aplicación al caso que nos ocupa ya que no ha existido “cesión” de datos. Así lo previene el artículo 19 del RLOPD: “En los supuestos en que se produzca una modificación del responsable del fichero como consecuencia de una operación de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, no se producirá cesión de datos, sin perjuicio del cumplimiento por el responsable de lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre” A la luz de lo expuesto, la pretensión de la entidad no puede prosperar pues no están presentes los elementos objetivos que integran la descripción de esa circunstancia modificativa de la responsabilidad. La conducta infractora se inició con la entidad absorbida, MÁS MÓVIL, pero la infracción -al ser continuada- se mantuvo, al menos hasta el 28/11/2017, en tanto que la inscripción en el Registro Mercantil de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 escritura de fusión data del 14/12/2017 y la publicación en el BORME del 21/12/2017. En consecuencia, la sanción a imponer en el expediente sancionador que nos ocupa habrá de estar comprendida en la escala que el artículo 45.2 LOPD fija para las infracciones graves: de 40.001 euros a 300.000 euros. Por lo que respecta a las circunstancias modificativas de la responsabilidad descritas en el artículo 45.4 LOPD, la denunciada ha mostrado su total discrepancia hacia el criterio adoptado por esta Agencia tanto en el acuerdo de inicio como en la propuesta de resolución. De las alegaciones efectuadas al escrito de propuesta se infiere que solicita la aplicación en calidad de atenuantes de las contempladas en los apartados b), e),
  45. h)e
  46. i)del artículo 45.4 LOPD además de rechazar las agravantes que la AEPD ha apreciado, a saber las siguientes: -Artículo 45.4.
  47. a)El carácter continuado de la infracción. Circunstancia que es de aplicación en aquellos supuestos en los que la infracción cometida tiene carácter permanente, naturaleza que la Audiencia Nacional atribuye a la infracción del artículo 4.3 LOPD. En el presente caso XFERA MÓVILES mantuvo el dato inexacto asociado al denunciante más allá del plazo de diez días que el artículo 8.5 del RLOPD concede para efectuar la cancelación oportuna. XFERA MÓVILES justifica su objeción a la aplicación de esta agravante en el “breve” periodo de tiempo transcurrido entre la fecha en la que se le notifica fehacientemente la resolución de la SESIAD (el 17/11/2017) y la fecha en la que da de baja el expediente de recobro de la encargada de tratamiento GEMINI (28/12/2017). El artículo 45.4.
  48. a)LOPD alude exclusivamente al “carácter continuado” de la infracción. No menciona como elemento integrante de su descripción que haya transcurrido un determinado periodo de tiempo en el que la infracción se deba mantener; ello sin perjuicio de que si el periodo de tiempo es muy prolongado pueda tomarse en consideración para otorgar una especial cualificación a la agravante. - “La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, (apartado
  49. c)La objeción de XFERA MÓVILES a la aplicación de esta agravante tampoco es admisible. Es un hecho objetivo e incontestable que las especiales características de la actividad empresarial de la denunciada entrañan, con carácter ineludible, el tratamiento de datos de carácter personal de sus clientes. - “El volumen de negocio o actividad del infractor”, (apartado d). XFERA MÓVILES, por su cifra de negocio, tiene la consideración de gran empresa del sector de telecomunicaciones. La denunciada rechaza la aplicación de esta agravante porque, dice, no se explica ni se motiva. Sobre tal cuestión basta indicar que estamos ante un “hecho notorio” por lo que no es preciso prueba alguna. En este sentido ya en el año 2014 la cifra de negocio de la operadora superaba los cien millones de euros por lo que formaba parte del grupo de 14 operadoras nacionales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 designadas por la CNMC para participar en la financiación del servicio universal de telecomunicaciones. La denunciada invoca los apartados b, e, h, f, e i, del articulo 45.4 LOPD, entendemos que en calidad de atenuantes. Argumenta que ni ha obtenido beneficios, ni se han producido perjuicios al afectado -que, en su caso, tampoco están acreditados- y que no ha existido “intencionalidad” por su parte, añadiendo que cuenta con procedimientos y medios para el correcto tratamiento de los datos personales. En relación a la circunstancia del apartado
  50. b)del artículo 45.4 LOPD -el volumen de tratamientos efectuados- que la denunciada invoca en calidad de atenuante en consideración a que únicamente se ha visto afectado por su conducta infractora un dato personal del denunciante, precisar que esta circunstancia por razones lógicas únicamente puede operar como agravante y no como atenuante. La vulneración de la normativa de protección de datos respecto a uno solo de los datos personales del afectado es presupuesto indispensable para que la conducta infractora exista. Será a partir de entonces cuando podrá valorarse, atendiendo al volumen de los datos que han sido objeto de tratamiento, si ese volumen es exponente de una mayor antijuridicidad o culpabilidad de la conducta infractora. Sobre la pretensión de que se estime como atenuante el apartado e), ausencia de beneficios, indicar que la Audiencia Nacional, Sala de lo Contencioso Administrativo, en SAN de 17/04/2018 (Rec. 254/2017) rechazó la pretensión de la parte demandante, sancionada por la AEPD, de que se estimara esta circunstancia explicando que “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. Este mismo espíritu es el que recoge la SAN de 31/03/2017 (Rec. 845/2015) Respecto al apartado
  51. f)del artículo 45.4 LOPD, “grado de intencionalidad”, señalar que esa circunstancia, pese a su tenor literal, se refiere a la culpabilidad en sentido amplio, comprensiva tanto del dolo, la culpa e incluso la culpa levísima. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “(…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. En cuanto a la naturaleza de los perjuicios causados, (apartado h), perjuicios que XFERA MÓVILES niega que se hayan causado, hemos de decir que, como en diversas ocasiones se ha pronunciado la Sala de la Audiencia Nacional, es ya en sí mismo un perjuicio el hecho de que la persona física que ha visto vulnerado su derecho fundamental a la protección de datos haya tenido que acudir a una instancia administrativa o judicial para recabar su tutela. En el presente caso está acreditado que el denunciante, además de enviar a la gestora de cobros varios email explicativos de la situación, se vio obligado para poner fin a la situación irregular a acudir a un procedimiento administrativo ante la SESIAD. Añadir además que la SESIAD no tuvo que adoptar su decisión a la luz de los argumentos y documentos de XFERA, pues C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 ésta se abstuvo de formular alegaciones en el trámite de audiencia lo que evidencia que no disponía de ningún documento en el que apoyar la existencia de la deuda reclamada. Así pues, en el presente caso tampoco podría estimarse como atenuante, tal y como pretende la entidad denunciada, la circunstancia recogida en el apartado
  52. h)del artículo 45.4 LOPD. Por lo que atañe a la circunstancia del apartado
  53. i)no obran en el expediente elementos que nos permitan afirmar que la infracción cometida es fruto de un error puntual en el marco de un procedimiento correcto de tratamiento de los datos, pues ante el requerimiento de pago por parte de la encargada de tratamiento de XFERA MÓVILES el denunciante le remitió varios emails en los que negaba tener la condición de deudor y no fue suficiente para que hiciera una comprobación de la exactitud del dato tratado. En definitiva, XFERA MÓVILES vino obligada desde la fecha en la que se le notificó por la SESIAD la resolución declarando la inexistencia de la deuda (aceptada por la entidad el 17/11/2017) a dar cumplimiento al principio de calidad de los datos de carácter personal que son objeto de tratamiento y, por tanto, a cancelar el dato inexacto en el plazo fijado por el artículo 8.5 del RLOPD, plazo que finalizó -computados diez días hábiles- el 30/11/2017. Sin embargo, XFERA MÓVILES mantuvo en sus ficheros, al menos hasta el 28/12/2017, un dato inexacto, la consideración del denunciante como deudor, y hasta esa fecha sus datos fueron tratados, en la condición de deudor, por una tercerea entidad para el cobro de la supuesta deuda. Tomando en consideración las circunstancias que concurren, se acuerda imponer una sanción de 50.000 euros, cuantía próxima al mínimo previsto para las infracciones graves, por infracción del artículo 4.3 LOPD, tipificada como infracción grave en el artículo 44.3.c). >> V En consecuencia, habida cuenta de que la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada se desestima el presente recurso de reposición. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por XFERA MÓVILES, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 12 de septiembre de 2018, en el procedimiento sancionador PS/00090/2018. SEGUNDO: NOTIFICAR la presente resolución a la entidad XFERA MÓVILES, S.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 TERCERO: Advertir a la sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  54. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  55. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.