1/9 Procedimiento PS/00237/2014 ASUNTO: Resolución recurso de reposición Nº RR/00774/2014 Examinado el recurso de reposición interpuesto por la entidad TELEFÓNICA MÓVILES ESPAÑA SAU contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00237/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 19 de septiembre de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00237/2014 , en la que se acordaba Imponer a la entidad Telefónica Móviles España SAU, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 02/10/14, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador PS/00237/2014 quedó constancia de los siguientes: <<< HECHOS PROBADOS 01. 15/12/11, alta en TME como contrato, por migración desde prepago, de la línea ***TEL.1, con los datos personales del denunciante (A.A.A.). Igualmente en ese mismo mes se produce la migración de las líneas ***TEL.2 y ***TEL.3, de la modalidad de prepago a la de contrato con sus respectivos titulares. 02. 01/02/12, TME emite tres facturas a nombre del denunciante (A.A.A.), dirigidas a su domicilio y por líneas diferentes. La primera corresponde a la línea que tiene contratada con TME, número ***TEL.1, por importe de 24,41 € del periodo 18/12/11 a 17/01/12 y con domiciliación bancaria en La Caixa. La segunda de la línea ***TEL.2 (no contratada) por importe de -1,79 € y con domiciliación bancaria en Banca Pueyo. La tercera de la línea ***TEL.3 (no contratada) por importe de 0,20 € y con domiciliación bancaria en Banco de Depósitos. 03. 01/02/12, TME emite factura por la línea ***TEL.2 a nombre de B.B.B. y dirigido a su domicilio de ***LOCALIDAD.1, por importe de 42,95 € del periodo 18/12/11 a 17/01/12 y con domiciliación bancaria en Banca Pueyo. Con los mismos datos emite C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 facturas el 01/03/12 (42,83 €) y el 01/04/12 (33,09 €). 04. 12/03/12, fecha de baja que figura en la base de datos de TME para la línea ***TEL.2 a nombre de B.B.B., por portabilidad a otra compañía. 05. 06/11/12, comparece el denunciante en el Juzgado de 1ª Instancia nº 1 de San Sebastián de la Gomera, por el que ha sido citado como imputado en las Diligencias Previas (Proc abreviado 262/2012, abierto por denuncia de B.B.B.) del Juzgado de 1ª Inst. e Instrucción nº 1 de Villanueva de la Serena, para declarar: <<< Que su número de teléfono es ***TEL.1. Que la entidad Vodafone no le ha reclamado ninguna factura y las de Movistar si las ha pagado todas. Que sí que puede aportar los justificantes de pago, que no puede hacer en este acto pero que los aportará mañana. A preguntas del letrado, que ha constatado a raíz de la denuncia los recibos de su teléfono de Movistar como en la factura del mes de febrero le aparece en el encabezado los datos del dicente y el número de teléfono del denunciante con un importe de euros y el cobro del mismo, y anexo a esa factura el cobro de su número de teléfono con el correspondiente consumo. Que desconoce cómo le ha aparecido con el número del denunciante. >>> Por auto de 04/12/12 el Juzgado de Villanueva de la Serena acordó el sobreseimiento provisional y el archivo de las actuaciones. Para el 01/03/13 es citado de comparecencia en el Juzgado de San Sebastián de la Gomera. 06. 02/04/13, TME recibe escrito de reclamación de la persona denunciante en el que comunica: <<< Por la presente me pongo en contacto con ustedes al objeto de efectuar una reclamación al amparo de lo preceptuado en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones y del Real Decreto 899/2009, de 22 de mayo, por el que se aprueba la carta de derechos del usuario de los servidos de comunicaciones Electrónicas. Pongo en su conocimiento que tras recibir una cédula de citación del Juzgado de Primera Instancia e Instrucción de San Sebastián de la Gomera para el día 6/11/2012 me he visto obligado a prestar declaración con motivo de la denuncia penal de un cliente de ustedes por supuesta alta fraudulenta. Ello se debe a que como puedo acreditar existen facturas con todos mis datos personales, en concreto la factura de fecha 01 de febrero de 2012 con el número ***FACTURA.1 por la línea ***TEL.1, así como la factura ***FACTURA.2 de la misma fecha en relación con la línea ***TEL.2 con dos números de cuenta distintos en entidades bancarias diferentes. Sobre este particular como ya manifesté en mi declaración, he de reseñar que mi línea de teléfono es la ***TEL.1 que mantengo al corriente de pago, desconociendo el motivo por el que se han emitido facturas con datos de otro cliente mezclados con los míos, de modo que el denunciante sospechaba que había gestionado un alta fraudulenta, viéndome inmerso en un procedimiento penal que ha sido archivado según el auto cuya copia adjunto, en el que se determina el sobreseimiento provisional y el archivo las actuaciones por no encontrar indicios de delito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 No obstante, la falta de diligencia en el manejo de los datos de carácter personal ha desembocado en un error de facturación que ha desembocado en una denuncia penal ante la sospecha de otro cliente cuya línea aparece con mis datos desconociendo si he actuado de forma fraudulenta, lo que es absolutamente infundado puesto que como podrán comprobar en sus archivos no he realizado expresamente ninguna gestión en relación con dicha línea que haya podido crear la confusión que se ha producido. Por ello y de acuerdo a los derechos que me amparan como usuario de los Servicios de telecomunicaciones, regulados en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, el Real Decreto 899/2009, de 22 de mayo, por el que se aprueba la carta de derechos del usuario de los servicios de comunicaciones Electrónicas, la Ley Orgánica 15/1 999, de 13 de diciembre, de Protección de Datos de Carácter Personal y normativa relacionada, en el marco del Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y leyes complementarias, solicito: 1- Que verifiquen lo ocurrido y su negligente actuación en el presente caso, así como el indebido tratamiento de datos de carácter personal objeto de denuncia. 2- Procedan a compensarme debidamente por las molestias ocasionadas al amparo de lo previsto en el artículo 1.092 del Código Civil que prevé la obligación de reparar el daño causado para quien ocasiona el daño, indemnización que prudencialmente fijo en 600 euros. En el supuesto en que no procedan de conformidad con lo expresado, se ejercerán las acciones legales oportunas tendentes a la defensa de mis derechos, poniendo todo lo indicado uf supra en conocimiento de la Agencia Española de Protección de Datos a los efectos oportunos, reservándome el derecho de acudir a los Juzgados competentes para la defensa de mis intereses. >>> 07. 11/05/13, fecha del escrito que la persona denunciante (A.A.A.) remite a la AEPD (entrada 17/05/13) denunciando los hechos descritos en los hechos anteriores. 08. 18/11/13, fecha de entrada en la AEPD del informe, a requerimiento de la Inspección de Datos, que TME presenta haciendo constar que en su base de datos de clientes –acompaña impresión de pantallas- la línea ***TEL.2 está de baja, y que a nombre del denunciante figura la línea ***TEL.1 en alta. Nada informa sobre el resto de las circunstancias sobre las que se le requiere, facturas emitidas, comunicaciones y contactos, contratos, reclamaciones, etc. 09. 01/06/14, TME emite factura a nombre del denunciante (A.A.A.), y dirigida a su domicilio por línea número ***TEL.1, por importe de 41,25 € del periodo 18/04/14 a 17/05/14 y con domiciliación bancaria en La Caixa. 10. 01/06/14, TME emite factura por la línea ***TEL.3 a nombre de ***NOMBRE.1 ****** ***** y dirigido a su domicilio de ***LOCALIDAD.2, por importe de 12,34 € del periodo 18/04 a 17/05 de 2014 y con domiciliación bancaria en CR Intermediterranea. 11. 16/06/14, en su escrito de respuesta a la notificación de práctica de pruebas manifiesta que las facturas emitidas el 01/02/12 a nombre de la persona C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 denunciante referidas a las líneas ***TEL.2 y ***TEL.3 no han sido objeto de rectificación con la emisión de nuevas facturas que dejaran sin efecto las emitidas. >>> TERCERO: TELEFÓNICA MÓVILES ESPAÑA SAU ha presentado el 17/10/14 en esta Agencia Española de Protección de Datos recurso de reposición. Solicita el archivo de las actuaciones por “Nulidad de pleno derecho de la resolución recurrida de conformidad con lo dispuesto en el artículo 62.2
- a)de la LRPAC en relación con el artículo 24 de la Constitución Española”. Alega como motivo del recurso de reposición el hecho de que en la resolución recurrida se hace constar que la recurrente no presentó alegaciones a la propuesta de resolución sancionadora. Afirma que si presentó alegaciones y adjunta copia de un escrito de alegaciones con fecha de presentación en la Agencia el 06/08/14. Alega indefensión “ante la falta de valoración por parte de la Agencia del escrito de alegaciones a la Propuesta de Resolución presentado” como base a su solicitud de nulidad de la resolución impugnada. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II La resolución impugnada se basa en los hechos probados trascritos y en los Fundamentos de Derecho que a continuación se reproducen: <<< II De la valoración de la prueba: La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a TME que ha quedado reflejada en los hechos declarados probados arriba relatados. A. TME es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la imputada relacionados con las exigencias del principio del consentimiento contenido en el artículo 6.1 de la LOPD. B. Los datos personales de la persona denunciante, cliente de la compañía, fueron tratados por TME como titular de dos contratos de servicio de líneas móviles, que la persona denunciante niega haber contratado, para emitir al menos dos facturas. No se ha informado ni aportado de facturas posteriores y de las comunicaciones. No ha emitido –afirma TME- facturas rectificativas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 C. El denunciante tuvo conocimiento del tratamiento cuando el 06/11/12 comparece para declarar como imputado en las diligencia previas penales abiertas en un Juzgado de Villanueva de la Serena, por la denuncia del titular de una de esas dos líneas. En diciembre de ese año se acuerda el sobreseimiento y archivo de actuaciones. D. De las actuaciones de TME desde la emisión de las facturas de febrero de 2012 nada se ha acreditado en relación al tratamiento de los datos del denunciante como titular de las dos líneas de B.B.B. y ***NOMBRE.1 ****** *****. Tampoco después de la denuncia y el procedimiento judicial. E. Nada se ha acreditado sobre la actuación de TME después de recibir la reclamación del denunciante el 02/04/13, salvo la afirmación de la operadora de que las facturas objeto de denuncia no han sido objeto de rectificación. No consta que hayan sido anuladas. Luego siguen vigentes en la base de datos de TME, pues tampoco consta la cancelación de dichos datos. Ha de concluirse que TME ha realizado y sigue realizando un tratamiento de datos personales inconsentido. III. El artículo 44.3.
- b)de la LOPD tipifica como infracción grave: ““Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” TME trató los datos personales de la persona denunciante emitiendo facturas por el servicio de móvil. En definitiva, es necesario que la persona titular de los datos permita su tratamiento de forma inequívoca y en este caso no se ha acreditado de forma indubitada que lo hubiera hecho. En este caso, ha incurrido en la infracción arriba descrita ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD. La imputada no ha acreditado tener el consentimiento necesario para los tratamientos efectuados. Supone una vulneración de este principio, el del consentimiento, conducta que encuentra su tipificación en este artículo 44.3.
- b)de la citada Ley Orgánica. IV. El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Dado que los hechos objeto de este procedimiento han sido tipificados como infracción grave, la sanción que procede imponer debe ser de un importe comprendido entre 40.001 y 300.000 euros. V. El artículo 45.5 de la LOPD, establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» No procede la aplicación del 45.5,
- b)como actuación diligente suficiente en la regularización de la situación irregular denunciada, pues no se han acreditado circunstancias que lo permitan. Ante la reclamación recibida de la persona denunciante TME no ha acreditado realizara actuación alguna para regularizar la situación irregular de las facturas emitidas sin apoyo legal y sin consentimiento del titular de los datos. Las facturas emitidas siguen sin ser rectificadas en la base de datos de la imputada. VI. El artículo 45.4 de la LOPD, establece que: “La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)
- e)infracción.
- f)C/ Jorge Juan, 6 28001 – Madrid El volumen de negocio o actividad del infractor. Los beneficios obtenidos como consecuencia de la comisión de la El grado de intencionalidad. www.agpd.es sedeagpd.gob.es 7/9
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora Para que el importe de la sanción pueda ser fijado han de ser examinadas las circunstancias a que se refiere el apartado trascrito: A. La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que TME es una empresa trasnacional que tiene como actividad la prestación de servicios de telecomunicaciones. Esta empresa tiene importancia a nivel mundial, y tiene un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. C. En lo que se refiere al volumen de negocio hay que hacer constar que si bien es un hecho notorio, que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa infractora. D. El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó la emisión de facturas no tuviera intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos pequeños incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. F. La imputada ha sido objeto de muchos expedientes sancionadores por infracciones similares. G. No se ha acreditado daño cuantificable en euros, como acudir a declarar como imputado en un procedimiento penal, además de la redacción y presentación de escritos de reclamación, denuncias, y todas las gestiones a que se ven obligadas las personas denunciantes. H. Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 claro incumplimiento de los mismos. El balance de todas las circunstancias contemplados por el 45.4 de la LOPD no es favorable a la imputada. La valoración de todas las circunstancias permite graduar cada una de las sanciones por importe de 50.000 euros. VII. Alega la imputada que los hechos que se consideran como una infracción grave han prescrito pues desde la emisión de las facturas -aportadas por el denunciantehasta que le fue notificado el acuerdo de inicio, ha transcurrido en exceso el plazo de dos años, que la LOPD establece en el art 47.1 para la prescripción de las infracciones graves. En el presente procedimiento tenemos conocimiento de cuando se inicia el tratamiento de datos inconsentido (01/02/12) pero desconocemos la fecha de cese en dicho tratamiento. Las facturas siguen en vigor pues no han sido rectificadas ni anuladas. Esa fecha de cese es la que nos permite iniciar el cómputo del plazo de dos años. Cualquiera que fuera el motivo o la causa que originó ese tratamiento, lo cierto es que ese tratamiento no concluyó con esa emisión de facturas de febrero de 2012. Dicho tratamiento fue conocido por el verdadero titular de las líneas y no se concluyó con las posibles reclamaciones a TME por ese motivo, pues diez meses más tarde aún se tramitaba un procedimiento penal en un Juzgado por denuncia del verdadero titular de las líneas. Ha recibido reclamación de la persona denunciante, el requerimiento de información de la Agencia y su acuerdo de inicio de procedimiento sancionador y los tramites de gestión posterior sin que haya acreditado la rectificación de las facturas obrantes en sus ficheros o su cancelación. Ha de concluirse que el tratamiento de datos inconsentido continua, en tanto que dichos datos no son rectificados o cancelados en su base de datos. Así pues la alegación de prescripción ha de ser desestimada. >>> III Entre los documentos del presente procedimiento no consta el original del escrito de alegaciones a la propuesta de resolución, al que alude en su recurso y cuya copia adjunta al recurso de reposición. Probablemente el motivo de la ausencia de dicho documento sea que como referencia en el mismo consta PS/00213/2014, cuando debió ser, lógicamente, PS/00237/2014. No obstante, no se ha producido la indefensión alegada, pues la alegación de prescripción ya estaba contenida en el escrito de alegaciones al acuerdo de inicio y fue analizada y desestimada en el fundamento de derecho VII de la resolución impugnada. Igualmente la alegación sobre la aplicación del 45.5.
- b)de la LOPD, consta expresamente analizada y desestimada en el fundamento de derecho V. Por lo tanto, en el presente recurso de reposición, TELEFÓNICA MÓVILES C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 ESPAÑA SAU no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por TELEFÓNICA MÓVILES ESPAÑA SAU contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 19 de septiembre de 2014, en el procedimiento sancionador PS/00237/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad TELEFÓNICA MÓVILES ESPAÑA SAU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es