REPOSICION-PS-00230-2013

1/13 Procedimiento nº.: PS/00230/2013 ASUNTO: Recurso de Reposición Nº RR/00777/2013 Examinado el recurso de reposición interpuesto por la entidad VODAFONE ESPAÑA, S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00230/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 4 de septiembre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00230/2013 , en virtud de la cual se imponía a la entidad VODAFONE ESPAÑA, S.A.U., una sanción de 50.000 €, por la vulneración de lo dispuesto en el artículo 4.3 en su relación con lo previsto en el artículo 29.4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.

1. c)de dicha norma, de conformidad con lo establecido en los apartados 2 y 4 de artículo 45 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 11 de septiembre de 2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00230/2013, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBADOS PRIMERO: En los sistemas de VODAFONE los datos de Don A.A.A. están asociados a una única cuenta de cliente con número ***TEL.1, la cual tiene asociadas las líneas de telefonía ***TEL.2, ***TEL.3, ***TEL.4, ***TEL.5, ***TEL.6, ***TEL.7 y ***TEL.8. Estas siete líneas constan como dadas de alta con fecha 22 de julio de 2009 y de baja con fecha 10 de febrero de 2012. (folios 104, 147 y 173 al 179) SEGUNDO: Consta que VODAFONE emitió con fecha 22 de febrero de 2012 la factura nº ***FACTURA.1 a nombre del denunciante por el periodo de facturación del 22/01/2012 al 21/02/2012 de la cuenta de cliente ***TEL.1, constando como total a pagar el importe de 620,09 €. El resumen por tipo de servicio correspondiente al concepto de “Cuotas y Descuentos a nivel de Cuenta” incluido en la mencionada factura ascendía a un total de 408,0270 € derivado de cuatro cargos de 175 € por “Cargo incum. Acuerdo Descuento (10 Feb)” y de los siguientes descuentos: “Dto. Fidelidad 40% (22 Ene.a 13 Feb)” por importe de -11,9730 € y “Descuento penalización 40% (22 Ene. A 11 Feb)” por importe de -280,000 € : (folios 148 al 157) TERCERO: En abril de 2012 el denunciante abonó a VODAFONE mediante transferencia bancaria la cantidad de 124,99 €, quedando pendiente de pago de la citada factura nº ***FACTURA.1 un importe de 495,60 € (folios 4 y 105) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 CUARTO: El denunciante presentó ante la SETSI el 10 de abril de 2012 reclamación RC*******/12/TLM sobre telefonía móvil contra VODAFONE por la pretensión de dicho operador de cobrar una cantidad en concepto de baja anticipada y por la inclusión de sus datos personales en los ficheros de solvencia patrimonial y crédito, (folios 215 y 274), que fue notificada al mencionado operador el 19/04/2012 (folios 105 y 196), el cual con fecha 20/04/2012 daba respuesta al citado organismo indicando lo siguiente: “Ponemos en su conocimiento que tal como se le informa al Sr. A.A.A. a fecha 16 de abril de 2012 vía email, los servicios ***TEL.4, ***TEL.2, ***TEL.5, ***TEL.8 y ***TEL.9 fueron desactivados a fecha 10 de febrero de 2012 estando vigente el Contrato Acuerdo Descuento Retención con fecha fin 12 de febrero de 2012. La fecha de no renovación del mismo fue aplicado como queda constancia al no realizarse el cargo por la desactivación permanente de los servicios ***TEL.7 y ***TEL.6 realizada a fecha 14 de febrero de 2012. Por ello los cargos de la factura con fecha de emisión 22 de febrero de 2012 son correctos, en dicha factura se realiza el cargo de los servicios desactivados a fecha 10 de Febrero de 2011 correspondiente según el acuerdo, y se realiza un descuento del 40% de los mismos. Asimismo queremos informar al Sr. A.A.A. que su Cuenta Cliente Vodafone ***TEL.1 presenta una cantidad de pago de 495,60 € con impuestos indirectos incluidos y cuya reconvención expresa le solicitamos.” (folio 229) QUINTO: Con 28 de noviembre de 2012 la SETSI RC*******/12/TLM en el siguiente sentido: (folios 274 y 275) resolvió la reclamación “PRIMERO.- Respecto a la penalización por baja anticipada estimar la reclamación, declarando improcedente el cargo por baja anticipada, por lo que el operador no podrá cobrar cantidad alguna por este concepto, debiendo proceder a su devolución el el supuesto de que el abonado la haya pagado ya. Asimismo, se declara improcedente el cobro de cualquier otra cantidad devengada con posterioridad a los dos días de la solicitud de baja. SEGUNDO.- Inhibirse en relación a la disconformidad del reclamante con que sus datos personales figuren en ficheros de solvencia patrimonial, quedando expedito el derecho del interesado a dirigirse, si lo estima conveniente, ante la Agencia Española de Protección de Datos.” Dicha resolución fue recibida por VODAFONE con fecha 5 de diciembre de 2012 (folio196) SEXTO: Consta que en fichero ASNEF figuran tres incidencias informadas por VODAFONE asociadas al NIF ***NIF.1 correspondiente al denunciante, todas ellas por un importe impagado de 495,60 €, y cuyas fechas de alta y baja respectivas son: - Incidencia con fecha de alta 11/05/2012 y con fecha de baja 30/05/2012 (folio 33) - Incidencia con fecha de alta 11/06/2012 y con fecha de baja 28/06/2012, (folio 35) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 - Incidencia con fecha de alta 06/07/2012 y con fecha de baja 01/08/2012 (folio 37) SÉPTIMO: Consta que en el fichero BADEXCUG figuran dos incidencias informadas por VODAFONE asociadas al NIF del denunciante, ambas por un importe impagado de 495,60 €, y cuyas fechas de alta y baja respectivas son: - Incidencia con fecha de alta 17/06/2012 y con fecha de baja 06/07/2012 como consecuencia del ejercicio de derecho de cancelación por parte del afectado (folio 181) - Incidencia con fecha de alta 16/09/2012 y con fecha de baja 31/01/2013 por petición de la entidad informante (folio 181) OCTAVO: En relación con las operaciones informadas por VODAFONE al fichero ASNEF se ha comprobado que el denunciante ejerció el derecho de cancelación de sus datos de carácter personal ante ASNEF-EQUIFAX en las siguientes ocasiones: - Con fecha 21 de mayo de 2012, el denunciante solicita la cancelación de la primera de las incidencias citadas “al estar pendiente de resolución de denuncia interpuesta contra Vodafone en Ministerio de Industria y Telecomunicaciones, y la cual Vodafone tiene constancia de ello”. Dicha solicitud fue contestada por ASNEFEQUIFAX, en fecha 30 de mayo de 2012, informando de la baja cautelar de sus datos. (folios 42 al 51) - Con fecha 20 de junio de 2012, el denunciante solicita la cancelación de la segunda de las incidencias citadas aduciendo los mismos motivos que en la anterior solicitud, siendo contestado por ASNEF-EQUIFAX, en fecha 28 de junio de 2012, informando de la baja cautelar de sus datos. (folios 52 al 63) - Con fecha 29 de junio de 2012 el denunciante solicita la cancelación de sus datos, siendo contestado por ASNEF-EQUIFAX, en fecha 29 de junio de 2012, informando que no existen datos inscritos asociados a su identificador. (folios 64 al 71) - Con fecha 24 de julio de 2012, el denunciante solicita la cancelación de la tercera de las incidencias citadas reiterándose en que la inclusión se ha producido estando pendiente la reclamación efectuada ante la SETSI. Dicha solicitud fue contestada por ASNEF-EQUIFAX, en fecha 1 de agosto de 2012, informando de la baja cautelar de sus datos. (folios 72 al 84) En los sistemas informáticos de ASNEF-EQUIFAX no consta que VODAFONE contestase la solicitud de confirmación de expedientes que le fue enviada en cada una de las ocasiones en que el denunciante ejerció dicho derecho. (folios 51, 63, 84) NOVENO: En relación con las operaciones informadas por VODAFONE al fichero BADEXCUG se ha comprobado que el denunciante ejerció el derecho de cancelación de sus datos de carácter personal ante EXPERIAN BUREAU DE CRÉDITO, S.A. ( en adelante EXPERIAN) con fecha 29 de junio de 2012, adjuntando a dicha solicitud copia del “Justificante de orden de transferencia “ por importe nominal de 124,99 € a favor de VODAFONE y justificante de la interposición de reclamación ante la SETSI con fecha 10/04/2012. Dicha solicitud fue contestada con fecha 7 de julio de 2012 por EXPERIAN indicando que se había procedido a la cancelación de la operación instada por VODAFONE. (folios 180 al 194) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 En los sistemas informáticos de EXPERIAN consta que VODAFONE no contestó al email que le fue enviado solicitando la confirmación de los datos del solicitante del ejercicio de derechos a los efectos de proceder, o no, a su baja. (folios 182 y 192 ) DÉCIMO: EXPERIAN BUREAU DE CRÉDITO, S.A. ha informado que la tramitación “de los derechos de cancelación, rectificación y oposición a través de la aplicación utilizada permite trasladar a las entidades participantes en el fichero BADEXCUG las solicitudes de ejercicio de estos derechos, por vía telemática. A tal efecto, el Servicio de Protección al Consumidor abre un expediente, y coloca la solicitud de ejercicio de derechos, previamente escaneada, en dicho expediente, a disposición sólo de la entidad que ha aportado los datos cuya cancelación, rectificación y oposición se pide. La aplicación envía un email recordatorio al interlocutor de dicha entidad, pidiendo la confirmación de los datos del solicitante del ejercicio de derechos, esto es, si se deben dar de baja o no” (folios 181 y 182) UNDÉCIMO: Consta acreditado que con fechas 3 de mayo de 2012, 25 de diciembre de 2012 y 29 de enero de 2013 VODAFONE requirió al denunciante a través de las empresas de recobro ISGF Informes Comerciales, S.L. y Oriola Abogados Asociados, S.L el pago del importe de 495,60 € (folios 241, 281 al )>> TERCERO: VODAFONE ESPAÑA, S.A.U. ha presentado en fecha 10 de octubre de 2013, en esta Agencia Española de Protección de Datos, recurso de reposición solicitando el archivo de las actuaciones por prescripción de la infracción o, en su defecto, por inexistencia de falta o infracción alguna imputable a la entidad que sustenta en los mismos alegatos que fueron expuestos durante la tramitación del procedimiento. Finalmente, y de forma subsidiaria, entiende que, a los efectos de la graduación de la sanción resulta de aplicación la minoración de la sanción en aplicación de los apartados 4 y 5 del artículo 45.5 de la LOPD Según la entidad recurrente, no se ha incumplido con lo dispuesto en el artículo 4.3 de la LOPD en tanto que los datos tratados eran correctos y puestos al día al haber sido facilitados por el denunciante en el momento de la contratación del servicio, y , por otro, la deuda objeto de reclamación era cierta, veraz y había sido requerida de pago. Por lo tanto, el proceso de gestión de cobró se inicio porque el denunciante incumplió una obligación contractual al no abonar unas cantidades derivadas de la asunción de varios compromisos de permanencia a la hora de adquirir varios servicios de la compañía. A los efectos de la aplicación del artículo 45.5 de la LOPD se incide en la conducta mostrada a la hora de corregir la situación en tanto que, en primer lugar, cuando recibió la reclamación de la SETSI los datos del denunciante no estaban incluidos en el fichero BADEXCUG, y, en segundo lugar, éstos se incluyeron una vez que VODAFONE dio respuesta a dicho organismo confirmando que las cantidades reclamadas eran correctas, procediendo a efectuar varias inclusiones o exclusiones en el fichero ASNEF hasta su exclusión definitiva al recibir el requerimiento de información de la AEPD, añadiendo que los datos estuvieron incluidos hasta la citada fecha dado que la entidad no ha tenido constancia de la resolución del procedimiento administrativo seguido ante la SETSI. Igualmente, entiende que ante la concurrencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 varios de los requisitos contemplados en el artículo 45.4 de la LOPD habría que graduar la sanción hasta reducirla al importe mínimo correspondiente a las infracciones leves. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por VODAFONE ESPAÑA, S.A.U., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del III al VII, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<III En este caso, VODAFONE después de haber tenido conocimiento con fecha 19 de abril de 2012 de la interposición por parte del denunciante de una reclamación ante la SETSI por disconformidad con los cargos detallados en concepto de baja anticipada en la factura nº ***FACTURA.1, emitida a nombre del afectado con fecha de 22 de febrero de 2012, no sólo procedió a incluir en cinco ocasiones los datos personales del denunciante en los ficheros ASNEF y BADEXCUG por un importe deudor de 495,60 € asociado al impago parcial de la mencionada factura, sino que con posterioridad a la recepción, con fecha 5 de diciembre de 2012, según ha indicado la SETSI, de la resolución estimatoria de la mencionada reclamación dicho operador continuó manteniendo en el fichero BADEXCUG los datos personales del denunciante asociados a la anotación deudora dada de alta el 16/09/2012. En definitiva, no obstante que VODAFONE tenía la obligación de asegurarse que la información trasladada y mantenida en los ficheros comunes cumplía con los requisitos de veracidad y exactitud exigidos en los preceptos de la normativa de protección de datos anteriormente citados, se ha constatado que dicho operador vinculó los datos del denunciante en los ficheros de morosidad ASNEF y BADEXCUG a una deuda que en las distintas fechas en que se instó su inclusión en los mismos no podía estimarse cierta, vencida ni exigible al denunciante, ello en razón de que era conocedora de que la SETSI estaba tramitando en esos momentos un procedimiento de resolución de conflictos instado por el denunciante que afectaba a la veracidad y certeza de dicha deuda y, consiguientemente, a los datos de su titularidad anudados a la misma . Por lo tanto, los hechos objeto de procedimiento son contrarios al principio de calidad de datos y contravienen lo dispuesto en el artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma Ley, ya que VODAFONE no sólo trató indebidamente en sus ficheros datos inexactos al mantener activa la información de una deuda por cargo por baja anticipada que posteriormente resultó declarada improcedente por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 SETSI, sino que también comunicó a dos ficheros de morosidad dicha información adversa dando lugar a un total de cinco inscripciones con fechas de alta de 11/05/2012, 11/06/2012 y 06/07/2012, 17/06/2012 y 16/09/2012.que no respondían a la situación “actual” (en aquel momento) del afectado. IV Consta acreditado en esta Agencia que las entidades asociadas a los ficheros de solvencia patrimonial y crédito suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en los citados ficheros, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de los denunciantes son datos que figuran en sus propios ficheros automatizados. Adicionalmente, son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (artículo 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En este sentido se pronuncia la Audiencia Nacional en su Sentencia de 18/01/2006, Recurso 0236/2004, “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Conforme al citado artículo. 3.
2. d)de la LOPD, el responsable del fichero o del tratamiento es la “Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” El propio artículo 3, en su apartado c), delimita en qué consiste el tratamiento de datos incluyendo en tal concepto las “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias Es preciso, por tanto, determinar si, en el presente caso, VODAFONE puede ser considerada responsable del tratamiento. Esta entidad trató los datos titularidad del denunciante en sus propios ficheros, de los que es responsable conforme el artículo 3.
3. d)de la LOPD, y resolvió su incorporación en distintas fechas a los ficheros ASNEF y BADEXCUG con motivo de una deuda que no respondía con veracidad a la situación real del afectado en esos momentos, ya que adolecía del requisito de certeza. El mencionado tratamiento se llevó a cabo mediante procedimientos automatizados de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 datos. Además, tal tratamiento se realizó sin que los datos comunicados y mantenidos en los citados ficheros de solvencia patrimonial y crédito fueran exactos, pues la deuda informada no era cierta al haber sido objeto de reclamación ante la SETSI, órgano que en las fechas de inclusión de los datos del afectado en los mencionados ficheros de obligaciones dinerarias aún no había dictado resolución sobre la misma y que, finalmente, se pronunció a favor del reclamante. Todo ello supone una clara vulneración del principio de calidad de datos, de la que debe responder VODAFONE por ser responsable de la veracidad y exactitud de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en los ficheros de solvencia patrimonial y crédito. De este modo los datos personales del denunciante permanecieron vinculados por decisión de la entidad informante a una deuda que no le era imputable al mismo en dos ficheros de solvencia patrimonial y crédito. En cuanto a la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...” Conforme a lo expuesto, VODAFONE ha decidido, sobre la finalidad del tratamiento (la calificación del denunciante como deudor), el contenido de la información (los datos relativos a la deuda asociados al denunciante), y el uso del tratamiento (la incorporación del denunciante a dos ficheros comunes de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo), por lo que dicho operador es responsable de que la información suministrada no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que VODAFONE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD en los términos del artículo 43, en relación con la definición del articulo 3.
4. d)y
5. c)de la citada Ley Orgánica. V El artículo 44.3.
6. c)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
7. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” El principio de calidad de datos se configura como uno de los principios básicos en materia de protección de datos. Téngase en cuenta que las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008), debiendo extremarse la diligencia para evitar que los posibles errores no se produzcan. VODAFONE en su condición de acreedor e informante de los datos adversos a los ficheros de solvencia, debió extremar su diligencia y responsabilidad en el momento de facilitar una información de tal naturaleza, tal y como exige el artículo 4 de la LOPD, de tal forma que debió haberse asegurado que los datos de carácter personal eran exactos y respondían con veracidad a la situación del afectado antes de instar la inclusión de los mismos en los ficheros de obligaciones dinerarias, dadas las repercusiones negativas que conlleva la inclusión y permanencia en este tipo de ficheros. En un caso muy semejante al que nos ocupa, la Audiencia Nacional señaló en su Sentencia de fecha 11 de mayo de 2012 (Rec. 236/2011) que: “por lo tanto, de los tres requisitos que menciona el artículo 38.2 en su versión definitiva (
8. a)deuda cierta, vencida, exigible, que haya resultado impagada;
9. b)Que no hayan transcurrido seis años; y
10. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación) solo se cumple el segundo pues ni la deuda era cierta (ya que se bonificó al denunciante en su importe) ni se realizó el requerimiento de pago de modo fehaciente antes de proceder a la anotación en el fichero de morosidad. Resulta, de este modo, que se ha acreditado el incumplimiento del principio de calidad del dato sin que dicho incumplimiento se vea afectado por la nulidad declarada por el Tribunal Supremo de determinados artículos y apartados del Reglamento aprobado por R.D. 1720/2007. La redacción actual del precepto, como la original, ni impiden que sea sancionable el anotar en los ficheros de morosidad deudas que no son ciertas y que posteriormente deben ser canceladas por la empresa acreedora que procedió a dicha anotación .” En este caso, VODAFONE, en su calidad de responsable del tratamiento efectuado y de los datos obrantes en sus ficheros, ha incurrido en la infracción descrita ya que ha vulnerado el principio consagrado en el artículo 4.3 de la LOPD en su relación con lo previsto en el artículo 29.4 de la misma norma, por tratar datos que no respondían a la situación veraz del afectado en sus propios ficheros y por informarlos a dos ficheros de solvencia patrimonial y crédito asociados a una deuda que no podía ser considerada cierta ni exigible teniendo en cuenta el contenido de resolución de la SETSI de fecha 28/11/2012, conducta que encuentra su tipificación en el artículo 44.3.
11. c)de la citada Ley Orgánica. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
12. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13
13. b)El volumen de los tratamientos efectuados.
14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
15. d)El volumen de negocio o actividad del infractor.
16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
17. f)El grado de intencionalidad.
18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» VII VODAFONE ha solicitado, la aplicación del artículo 45.5 de la LOPD con imposición de una sanción correspondiente a la escala relativa a las infracciones leves al entender que se produce una cualificada disminución de la culpabilidad en el tratamiento de la deuda reclamada al concurrir una conducta diligente por su parte, tratarse de una deuda cierta, liquida, vencida, exigible y generada por el incumplimiento de una circunstancia recogida en las obligaciones contractuales suscritas por el denunciante, que ha de considerarse correcta al no haberse recibido la resolución de la SETSI una vez contestada la reclamación con fecha 20 de abril de 2012. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. A este respecto hay que señalar que en este caso no se aprecia una disminución cualificada de la culpabilidad, en atención a que, en contra de lo invocado por la imputada, de lo actuado se ha acreditado que los datos personales del denunciante se registraron de alta por un saldo impagado de 495,60 € en el fichero ASNEF con fechas 11/05/2012, 11/06/2012 y 06/07/2012 y en el fichero BADEXCUG con fechas 17/06/2012 y 16/09/2012. Es decir, VODAFONE determinó informar la citada deuda a los mencionados ficheros de solvencia patrimonial y crédito después de que con fecha 19 de abril de 2012 conociera la presentación de la mencionada reclamación ante la SETSI y, asimismo, con posterioridad a que con fecha 20 de abril de 2012 informara sobre la misma al mencionado organismo. A mayor abundamiento, cuando la entidad imputada tuvo conocimiento el 5 de diciembre de 2012 de la resolución acordada por la SETSI el día 28 de noviembre de 2012, en virtud de la cual se declaraba improcedente tanto el cargo por baja anticipada como el cobro de cualquier otra cantidad devengada con posterioridad a los dos días de la solicitud de la baja, en lugar de instar la baja de los datos del denunciante que permanecían registrados en el fichero BADEXCUG, procedió a su mantenimiento hasta el 31 de enero de 2013, no obstante haber conocido con fecha 5 de diciembre de 2012 la resolución de la SETSI (folio 196) Junto a lo ya expuesto no hay que olvidar que esta Agencia también ha constatado que las bajas cautelares de las operaciones deudoras registradas en ambos ficheros de solvencia patrimonial, a excepción de la producida con fecha 31/01/2013 en el fichero BADEXCUG, se adoptaron por los propios responsables de los ficheros ante la ausencia de respuesta de la entidad informante a sus peticiones de confirmación de mantenimiento, o no, de las correspondientes anotaciones deudoras, circunstancia que resulta relevante si se tiene en cuenta que los responsables de los ficheros trasladan a la entidad participante las solicitudes de cancelación de datos del denunciante, quien adjuntó a las mismas documentación acreditaba de la interposición de reclamación por su parte ante la SETSI. Asimismo, VODAFONE no ha justificado el modo en que los procedimientos implementados para la la recogida y tratamiento de los datos de carácter personal hubieran evitado hechos como el denunciado, máxime cuando la entidad imputada no ha acreditado la adopción de medidas concretas asociadas al caso que nos ocupa. Por lo tanto, la concurrencia de las circunstancias antes descritas enerva la afirmación de actuación diligente en el tratamiento de los datos personales del afectado en lo que se refiere a la gestión de la deuda objeto de controversia, cuyo pago VODAFONE continuó reclamando a través de la empresa de recobros Oriola Abogados Asociados, S.L. con fechas 25 de diciembre de 2012 y 29 de enero de 2013. A la vista de lo anterior, y una vez probada la falta de diligencia y de rigor mostradas por la entidad imputada en el deber de cuidado que le es exigible en su actuación frente al tratamiento de los datos de carácter personal, fundamentalmente si se tiene en cuenta que se trata de una entidad habituada al tratamiento de datos personales en el desarrollo de su actividad, no puede apreciarse la existencia de motivos que justifiquen la aplicación de la facultad contemplada en el artículo 45.5, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 debido a que no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de la circunstancias recogidas en los apartados
27. a)y
28. b)del mencionado artículo 45.5 ni ninguna de las otras previstas en el referido artículo. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, se considera que operan como agravantes de la conducta que ahora se enjuicia las siguientes circunstancias: uno, la reiterada inclusión y mantenimiento de los datos del denunciante en dos ficheros de solvencia patrimonial y crédito por parte de VODAFONE, todo ello cuando ya era conocedora bien de la existencia de una reclamación por parte del afectado ante la SETSI que estaba vinculada a la cuantía objeto de disputa, o bien le había sido notificado el contenido de la resolución adoptada por la SETSI declarando improcedente el cargo por baja, la vinculación de la actividad de la entidad infractora con la realización de constantes tratamientos de datos de carácter personal tanto a clientes como de terceros, el volumen de negocio de la misma al tratarse de uno de los operadores más potentes del país por la cuota de mercado. Paralelamente, se considera que, en este supuesto, concurren como atenuantes los criterios consistentes en la falta de pruebas relativas a la existencia beneficios obtenidos como consecuencia de la comisión de la infracción y la ausencia de intencionalidad. Por todo lo cual, y teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD se estima procedente imponer a VODAFONE una sanción de 50.000 € como responsable de una infracción al principio de calidad de datos.>> III En cuanto al alegato relativo a la prescripción de la infracción del artículo 4.3, si bien VODAFONE no justifica la misma de ningún modo, conviene reseñar lo siguiente: La LOPD, en el artículo 47.1, 2 y 3, señala: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. Con carácter general, hay que señalar que las infracciones graves prescriben a los dos años, ex artículo 47.1 de la LOPD. El citado plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido (ex artículo 47.2 de la LOPD) y cuando la infracción consiste, como en este caso, en una comisión que despliega sus efectos durante un plazo de temporal más o menos dilatado, según el tiempo que transcurra tratando datos indebidamente el "dies a quo" se mantiene hasta que la actividad infractora cesa, en este caso hasta que se produce la cancelación de los datos. Y el día final del plazo tiene lugar cuando el interesado tiene conocimiento de apertura del procedimiento sancionador, siendo, por tanto, esta circunstancia una causa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 de interrupción de la prescripción, ex artículo 47.3 de la Ley Orgánica. El carácter permanente de la infracción que aquí se imputa es una constante en la Jurisprudencia de la Audiencia Nacional, tal y como se confirma, por ejemplo y entre otras, en la SAN de 24 de junio de 2010 (Rec. 539/2010), cuyo Fundamento de Derecho Tercero expone:“ Sostiene asimismo la demandante que se ha producido la prescripción de ambas infracciones imputadas, de los artículos 6.1 y 4.3 de la LOPD, argumentándose que han transcurrido más de dos años desde que se cometieron las mismas, (…) Nos encontramos en cualquier caso en el supuesto ante las denominadas infracciones permanentes, respecto de las que esta Sala ha declarado con reiteración, ya desde la SAN de 21 de septiembre de 2001 (Rec. 95/200), que(..) se caracterizan porque la conducta constitutiva de un único ilícito se mantiene durante un espacio prolongado de tiempo, lo que implica que el plazo de prescripción no se inicia “al no haber cesado la situación de infracción perseguida” -STS de 18 de febrero de1985”. Criterio que también han seguido, entre otras, las SSAN (1ª) de 22 de febrero de 2006 (Re. 343/2004), 21 de noviembre de 2007 (Rec. 117/2006), 11 de diciembre de 2008 (Rec. 574/2007). Concepto jurídico plenamente aplicable al supuesto litigioso tomando en consideración que tanto el tratamiento de datos sin consentimiento como la inclusión indebida de los mismos en Asnef se mantuvo durante un periodo prolongado de tiempo, por lo que habrá que estar a la fecha de finalización y no de inicio, de dichas conductas, para el cómputo del plazo de prescripción. Y a tal fin resulta, según se desprende de las actuaciones practicadas que los datos personales del denunciante figuraron de alta, asociados a la misma presunta deuda, hasta el 28 de febrero de 2005, por lo que necesariamente ha de considerarse esta fecha a efectos de comisión de la infracción.” En el presente caso, la infracción imputada es constitutiva de una infracción continuada, es decir, caracterizada porque la conducta merecedora de reproche administrativo se mantiene durante un espacio de tiempo prolongado y el cómputo del plazo de prescripción no llega a iniciarse hasta tanto dicha conducta se interrumpió cuando se dieron de baja definitiva los datos inexactos en los ficheros de solvencia patrimonial ASNEF y BADEXCUG, es decir, el 01/08//2012 y 31/01/2013, ambas fechas con posterioridad al momento en que el recurrente conoció con fecha 19/04/2012 de la interposición de reclamación ante la SETSI cuestionando la existencia de la deuda objeto de registro en los citados ficheros. En el presente procedimiento, dado que la vulneración del principio de calidad de datos está considerado como una infracción grave, que, por tanto, prescribe a los dos años, ha quedado acreditado que la misma no había prescrito a 06/05/2013, fecha en que VODAFONE tuvo conocimiento del acuerdo de inicio del procedimiento sancionador PS/00230/2013. Por lo expuesto, hay que concluir que en la fecha de la notificación del acuerdo de inicio del citado procedimiento sancionador no habían transcurrido los dos años de prescripción señalados para las infracciones graves, a contar desde la interrupción de la conducta infractora. Incluso si el cómputo se efectúa a partir de las fechas en que se dieron de alta las tres incidencias registradas en el fichero ASNEF (11/05/2012, 11/06/2012 y 06/07/2012) y las dos incidencias anotadas en el fichero BADEXCUG ( 17/06/2012 y 16/099/2012) se advierte no sólo que todas las altas se produjeron después de que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 VODAFONE hubiera emitido con fecha 20/04/2012 informe de contestación sobre la reclamación, sino que las anotaciones se instaron mientras se encontraba pendiente de resolver la citada reclamación. En consecuencia, la referida alegación de prescripción debe ser desestimada. Por lo tanto, en el presente recurso de reposición, VODAFONE ESPAÑA, S.A.U. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por VODAFONE ESPAÑA, S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 4 de septiembre de 2013, en el procedimiento sancionador PS/00230/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad VODAFONE ESPAÑA, S.A.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es