← España

REPOSICION-PS-00313-2016

1/21 Procedimiento nº.: PS/00313/2016 ASUNTO: Recurso de Reposición Nº RR/00097/2017 Examinado el recurso de reposición interpuesto por la entidad TELEFÓNICA DE ESPAÑA, S.A.U., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00313/2016 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 29 de diciembre de 2016 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00313/2016, en virtud de la cual se impusieron a TELEFÓNICA DE ESPAÑA, S.A.U., sendas sanciones de cincuenta mil y sesenta mil euros por vulneración, respectivamente, de lo dispuesto en los artículos 6.1 y 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracciones tipificadas como graves en los artículos 44.3.

  1. b)y 44.3.c), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 30 de diciembre de 2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00313/2016, se dejó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: D. A.A.A., con DNI ***DNI.1 (folio 21), manifiesta en su denuncia que, pese a haber acreditado ante TDE la no procedencia de la deuda reclamada y de haber denunciado ante la Policía que se trataba de “una estafa y suplantación de identidad”, esa operadora ha incluido sus datos personales en un fichero de morosidad y los ha cedido a “Medina Cuadros-Abogados”. (Folio 1) SEGUNDO: TDE ha manifestado que el denunciante figura en sus ficheros como titular de la línea ***TELF.1 entre el 08/09/2011 y el 03/06/2013, pero no ha aportado ningún documento que pruebe que el denunciante contrató con ella la línea ni tampoco documentos acreditativos de su identidad. TDE no se ha pronunciado sobre el medio por el que el denunciante supuestamente prestó el consentimiento a la contratación de la citada línea. TERCERO: Durante las actuaciones de investigación previa se requirió a TDE para que aportara copia del contrato supuestamente celebrado por el afectado, incluyendo las condiciones generales y particulares aplicables, y la copia del DNI, pasaporte o cualquier otro documento recabado para acreditar su identidad. La denunciada se limitó a responder lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 “Consultada la Unidad correspondientes nos informan que no ha sido posible la localización del contrato, sin embargo debemos recordar que de las 23 facturas emitidas, sólo se dejaron de abonar las 4 últimas” (Folios 22 y 77) En fase de prueba se requirió a TDE para que acreditara documentalmente que el denunciante fue quien otorgó el consentimiento a la contratación de la línea ***TELF.1. La entidad se limitó a responder: “En relación con los dos puntos anteriores, interesa reiterar a esta parte que consultada la unidad correspondiente no se pudo localizar el contrato. Sin embargo, D. A.A.A. ha figurado como titular de la línea ***TELF.1 desde el 8 de agosto de 2011 hasta el 3 de junio de 2013.” (Folio 162) CUARTO: En el curso de las actuaciones de investigación previa se interrogó a TDE si la contratación de la línea fue telefónica o por internet y se le requirió para que aportara copia de determinados documentos en función de cuál hubiera sido la vía de contratación del servicio telefónico. La denunciada no respondió ni aportó documento alguno al efecto (folios 23, 24, 77 y 78) En fase de prueba se reiteró la pregunta, pero la denunciada no respondió (folio 162) QUINTO: TDE no ha aportado ninguna impresión de pantalla de sus sistemas informáticos en la que consten el nombre, apellidos, domicilios, direcciones de contacto y cuentas bancarias asociados al denunciante, con NIF ***DNI.1, en relación con la línea telefónica ***TELF.1, pese a que se le requirió para ello en dos ocasiones: Durante las actuaciones de investigación previa se solicitó a la denunciada (folio 23) que aportara “Impresión de pantalla de la siguiente información que obre en sus sistemas donde conste: 1.1. Datos relativos a nombre, apellidos, domicilios y direcciones de contacto y cuentas bancarias. 1.2. Fechas de alta y baja de la citada línea.” TDE no respondió a las preguntas y se limitó a transcribir los siguientes datos: el número de teléfono, el NIF del denunciante, el domicilio de (C/...1), la localidad, provincia, fecha de alta y fecha de baja. (Folios 23 y 74) En fase de prueba, en respuesta al mismo requerimiento, TDE no aportó ninguna impresión de pantalla ni facilitó la información solicitada. Se limitó a manifestar lo siguiente: “Adjunto, se acompaña, a modo de ejemplo, el pago de varias facturas de la línea telefónica ***TELF.1” y seguidamente a transcribir una hoja Excel con varias columnas (que llevan por rúbrica “Importe Total”, “Importe Pendiente”, “Descripción”, “Tl” y “DGI”). En la primera se detallan diferentes cuantías, la segunda está en blanco, en la tercera consta bien la indicación “Factura (FT) IV” o “Cobro recibido”, en la cuarta “5B” y en la quinta el número de línea objeto de la controversia. Seguidamente transcribió un cuadro que contiene una relación de fechas (a saber, 25/08/2011, 28/05/2012, 28/06/2012,28/07/2012, 28/08/2012, 28/09/2012 y 28/10/2012), el número de factura emitida en cada una de ellas y el importe. (Folio 163 SEXTO: Se requirió a TDE en el periodo de prueba para que, habida cuenta de que declaró que todas las facturas emitidas excepto las últimas cuatro habían sido abonadas, informara del medio de pago y aportara la copia de los documentos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 bancarios que acreditaran dichos pagos. La denunciada se limitó a indicar que el pago se realizó por ventanilla bancaria excepto en las cuatro primeras facturas emitidas (que corresponderían a agostooctubre 2011) en las que indica como “Medio de Pago” “C.A. Y PENSIONES DE BARCELONA LA CAIXA” y seguidamente dos series de números, difícilmente legibles, de los que se ignora su significado: “***SERIES.1” en tres de los casos y el ***SERIES.2” en uno de ellos. (Folio 164) SÉPTIMO: TDE manifestó en su escrito de 12/04/2016, de respuesta al requerimiento informativo de la Inspección de la AEPD que “No existe deuda asociada al Sr. A.A.A.” (folio 75) OCTAVO: Los documentos remitidos por la OMIC del Ayuntamiento de ***LOC.1 relativos a la reclamación presentada por el denunciante contra TDE el 02/10/2014 (folios 259 a 270) acreditan: - - Que la OMIC envió el día 22/10/2014 a las 13:26 horas a MOVISTAR (TDE), a la dirección ***EMAIL.1 un correo electrónico dándole traslado de la reclamación del denunciante y de la documentación aportada (copia del DNI y de la denuncia en la Policía) y proponiendo una solución al conflicto planteado. (Folio 267) Que TDE respondió a la OMIC el 07/11/2014 manifestando que, respecto a la reclamación presentada por el denunciante sobre la deuda que se le requiere por el impago de facturas de una línea de la que él es titular, realizadas las comprobaciones oportunas, “no podemos estimar usurpación de identidad en el alta de las línea de referencia, dada de alta en fecha 8 de agosto de 2011 y de baja en fecha 3 de junio de 2013”. (Folio 269) NOVENO: TDE informó en tres ocasiones al fichero ASNEF el NIF ***DNI.1, del que el denunciante es titular, asociado a un saldo deudor de 172,27 euros. Todas las anotaciones por vencimientos impagados, primero y último, de 28/05/2013 y 28/07/2013 - La primera incidencia se dio de alta el 03/09/2013 y de baja el 30/09/2014 La segunda incidencia se dio de alta el 03/11/2014 y de baja el 08/12/2015 La tercera incidencia se dio de alta el 12/01/2016 y de baja el 05/04/2016 (Folios 116 a 125) Equifax Ibérica, S.L., practicó la preceptiva comunicación al deudor de la inclusión sus datos en el fichero ASNEF que dirigió a la siguiente dirección: (C/...2) (Gerona) DÉCIMO: TDE informó el NIF del que el denunciante es titular, asociado a una deuda por importe de 172,27 euros, al fichero de solvencia patrimonial BADEXCUG con fecha de alta 04/09/2013. La anotación se dio de baja el 01/10/2014 por “proceso automático semanal de actualización de datos”. Asociados a esos datos figura como domicilio a efectos de notificaciones el (C/...2). (Folios 58 a 71) UNDÉCIMO: El denunciante presentó una denuncia ante los Mossos d´Esquadra el 25/09/2014 en la que expuso que el 24/09/2014 recibió una llamada telefónica “de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 quien decía ser la asesoría jurídica de Movistar” informándole de una supuesta deuda de 330,90 euros correspondiente a la línea número ***TELF.1 dada de alta a su nombre y que en ella le informaron de que las facturas que la operadora emitió por esa línea se enviaban al (C/...2) (Folio 7) DECIMOTERCERO: Obra en el expediente copia de una carta aportada por el denunciante cuyo remitente es Medina Cuadros Abogados en la que requieren el pago de una deuda (folio 20) DECIMOCUARTO: Obra en el expediente un “Volante de Residencia” expedido por el Ayuntamiento de ***LOC.1 a tenor del cual el denunciante está empadronado en el domicilio actual ((C/...3)) desde el 31/05/2006. (Folio 18)>> TERCERO: TELEFÓNICA DE ESPAÑA, S.A.U. (en lo sucesivo, la recurrente) ha presentado en fecha 27 de enero de 2017 en esta Agencia Española de Protección de Datos (AEPD) recurso de reposición fundamentándolo en los mismos argumentos esgrimidos en el curso del procedimiento y además en los motivos siguientes: 1. Falta de proporcionalidad: TDE estima que las sanciones impuestas, de 50.000 y 60.000 euros son “absolutamente desproporcionadas”. 2. Imposición de una sanción por infracción del artículo 4.3 LOPD de 60.000 euros, superior a la sanción que se hizo constar en el escrito de Propuesta de resolución, que era de 50.000 euros, sin que se haya justificado el incremento de la multa. 3. Vulneración del principio de presunción de inocencia FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II A. En relación con las manifestaciones efectuadas por la recurrente, en las que alega tres motivos concretos como fundamento de la impugnación de la resolución sancionadora dictada en el PS/313/2016, procede señalar lo siguiente: 1. Como primer motivo del recurso de reposición se alega la falta de proporcionalidad de las sanciones impuestas, que TDE califica de “absolutamente desproporcionadas”. Señalar que la sanción prevista en el artículo 45.2 LOPD para las infracciones graves –carácter que tienen las descritas en los artículos 44.3.b y 44.3.c de las que TDE es responsable- oscila entre 40.001 y 300.000 euros. Así pues, como se hizo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 constar en la resolución que ahora se recurre, las sanciones impuestas se encuentran comprendidas en el tercio inferior del importe máximo previsto en la LOPD para las infracciones de esa gravedad. 2. Se alega por la recurrente que la resolución impugnada elevó la cuantía de la sanción impuesta por vulneración del artículo 4.3 LOPD respecto a la fijada en la propuesta de resolución sin que se haya fundamentado el incremento de la multa acordado. Así, mientras en la propuesta la multa a imponer por tal infracción era de 50.000 euros, la resolución dictada por la AEPD la elevó a 60.000 euros. TDE manifiesta que la fundamentación que la AEPD ofrece en la propuesta de resolución y en la resolución con el fin de justificar la imposición de la sanción por vulneración del principio de calidad de los datos es “prácticamente idéntica”. Si bien resulta cierto que la argumentación es muy parecida, no llega a ser igual. En la resolución sancionadora se ha incidido más en la gravedad de la infracción tipificada en el artículo 44.3.
  2. c)LOPD. Se incide en circunstancias que evidencian un mayor grado de culpabilidad de la entidad infractora, algunas ya apreciadas en la propuesta de resolución y otras no; al menos no explícitamente sin perjuicio de que en ese momento procesal sí constaban reflejados en los hechos probados los elementos que permitían llegar a su determinación. La falta de diligencia demostrada por TDE es grave y así lo ha venido manteniendo esta Agencia desde los primeros trámites del expediente sancionador PS/313/2016. En la resolución se resalta –y es eso lo que justifica el incremento en 10.000 euros respecto a la cuantía de la multa fijada en la propuesta- que la falta de diligencia respecto a la infracción del artículo 4.3. LOPD es “relevante y significativa” y, como dice la resolución, “obliga a que esta circunstancia se tome en consideración para agravar la sanción a imponer”. El texto de la resolución recoge a tal fin dos apreciaciones: Una de ellas ya constaba en la propuesta de resolución: que después de que TDE recibiera la reclamación que el afectado planteó ante la OMIC –con la que se le remitía copia de la denuncia que había presentado en la Policía y copia de su DNIprocedió en dos ocasiones más a informar sus datos al fichero de solvencia ASNEF. La segunda, sin embargo, no se hizo constar en la propuesta de resolución sino exclusivamente en la resolución, por más que los elementos que permiten hacer tal afirmación estaban reflejados en la propuesta de resolución. Tal circunstancia, unida al conjunto de circunstancias que concurren, justifica sobradamente que se hubiera acordado incrementar la multa con la que se sancionaba la infracción del artículo 4.3 LOPD en 10.000 euros. Circunstancia que consistió en que TDE, después de la fecha en la que recibe el primer requerimiento informativo de la Inspección de Datos de la AEPD –y antes de que recibiera el segundo requerimiento, que fue al que respondiócomunicó de nuevo, por tercera vez, los datos personales del afectado en el fichero ASNEF vinculados a la deuda a la que era ajeno, hecho del que en esas fechas la entidad tenía sobrado conocimiento. 3. La recurrente estima que la resolución recaída en el PS/313/2016 es nula de pleno Derecho por infracción del principio de presunción de inocencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 Sin embargo, basta una atenta lectura de la resolución impugnada para comprobar que la presunción de inocencia ha quedado plenamente desvirtuada. Más al contrario, TDE no llegó a aportar en el curso del procedimiento ningún documento que acreditara el cumplimiento de las obligaciones que la normativa de protección de datos le impone ni tampoco indicio alguno que confirmara su tesis de que existió un consentimiento tácito por parte del denunciante al tratamiento de sus datos personales. Como se hizo constar en el texto de la resolución, es presupuesto indispensable para concluir que existió consentimiento tácito del denunciante al tratamiento de sus datos por parte de TDE que se acredite, o al menos se aporten sólidos indicios, de que el pago de las facturas se realizó por el afectado. Por el contrario, TDE, pese a los numerosos requerimientos que se le hicieron para que aportara documentos sobre esta materia, ni acreditó el supuesto pago de facturas ni menos aún que existiera algún tipo de relación entre el supuesto abono de facturas y el denunciante. A lo que hay que añadir, como se puso de relieve en la resolución, que el denunciante ha desplegado una importante actividad, desde que tuvo conocimiento de los hechos, en contra de la actuación de TDE, que es difícilmente conjugable con el pretendido consentimiento tácito. B. Por lo que concierne a las alegaciones formuladas en el curso del procedimiento sancionador (PS 313/2016), alegaciones en las que TME se ratifica en el presente recurso, debe señalarse que todas ellas fueron analizadas y desestimadas en los Fundamentos de Derecho II a VI, ambos inclusive, de la Resolución recurrida, tal y como se transcribe a continuación: << II Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. La Audiencia Nacional, en diversas sentencias (entre otras SAN de 24/03/2004 y 7/07/2006) ha señalado que los principios generales descritos en dicho Título definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En esa línea, la SAN de 25/07/2006 manifiesta: “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. La LOPD en su artículo 6 se refiere al principio del consentimiento en el tratamiento de los datos de carácter personal y dispone bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Los preceptos de la LOPD antes transcritos deben integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
  3. h)de la Ley Orgánica: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  4. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) . El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 III Se atribuye a TDE la comisión de dos infracciones de la LOPD, artículos 6.1 y 4.3, materializadas en haber tratado los datos personales del denunciante asociados a un contrato de telefonía fija (línea ***TELF.1) sin su consentimiento y en la posterior inclusión en ficheros de morosidad de sus datos personales asociados a la deuda derivada del contrato al que el denunciante es ajeno, por lo que frente al denunciante la deuda no era cierta, ni vencida ni exigible. Respecto a la presunta infracción del artículo 6.1 de la LOPD han de hacerse las siguientes consideraciones: A. A tenor del artículo 6 de la LOPD, el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, del que se dispensa al responsable del fichero -entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento se refiere a las partes de un contrato o precontrato y es necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD).Esto, porque el consentimiento para tratar los datos personales está implícito en el consentimiento otorgado a la contratación, pero únicamente en la medida en que el referido tratamiento sea preciso para la ejecución del contrato y si quien facilita los datos personales con ocasión de ella es efectivamente su titular. Así pues, corresponde a quien trata los datos la carga de probar que ha obtenido el consentimiento del titular a dicho tratamiento o, en su caso, que ha obtenido el consentimiento para la celebración del negocio jurídico, lo que lleva implícito ese tratamiento. La SAN de 1 de febrero de 2006 (Rec. 208/2004) indica que “Es el responsable del fichero, por tanto, quien debe asegurarse de que aquel a quien solicita los datos para ser tratados por él (en la medida que incorpora los datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios) efectivamente los presta con consentimiento inequívoco y asimismo que esa persona que está dando el consentimiento efectivamente es la titular de los datos personales en cuestión”. (El subrayado es de la AEPD) En el asunto que nos ocupa, ha quedado acreditado que los datos personales del denunciante (NIF, nombre y dos apellidos) han sido tratados por TDE vinculados a la línea de telefonía fija número ***TELF.1. La denunciada declaró en el curso de las actuaciones de investigación que en relación con la línea telefónica citada constan en sus ficheros los datos personales del denunciante (NIF, nombre y dos apellidos) como titular de un contrato (folio 74). Igualmente, en el escrito de alegaciones al acuerdo de inicio del expediente, TDE indicó que el denunciante (identificado por su NIF, nombre y dos apellidos) había figurado como titular de la línea ***TELF.1 desde el 08/08/2011 hasta el 03/06/2013 (folio 142). Con el objetivo de que TDE pudiera demostrar que recabó y obtuvo del afectado el consentimiento para el tratamiento de sus datos personales, en definitiva, que aquél consintió la contratación de la línea controvertida, se le requirió en dos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 ocasiones (por la Inspección de Datos primero y más tarde por la instructora del expediente) para que aportara algún documento que probara la supuesta contratación. Sin embargo, TDE no ha facilitado ningún documento, en ningún soporte, relativo al consentimiento otorgado por el denunciante, a quien la entidad atribuye la titularidad de la línea. TDE se ha limitado a manifestar que “no ha sido posible la localización”. Tampoco ha facilitado a la AEPD, pese a las reiteradas peticiones en ese sentido, copia de algún documento que identificase a la persona que contrató el servicio (hecho probado tercero). Ni siquiera, no obstante las solicitudes, ha informado de cuál fue el medio a través del cual se contrató el servicio. Por ejemplo, se le requirió para que indicara qué medio (presencial, telefónico o electrónico) fue el utilizado para la contratación y se le pidió que aportara diversos documentos en función de la vía de contratación utilizada. Como consta en el hecho probado cuarto TDE nunca contestó a esta pregunta que se hizo durante la investigación previa y en el periodo de prueba (folios 77, 78 y 162) Hay que añadir a lo anterior la llamativa ausencia de documentación aportada por TDE relacionada con la contratación de la línea controvertida; máxime si tenemos en cuenta de que se trata de una línea fija, por lo que la operadora habría de conocer cuál es el domicilio de ubicación de la línea y tener en su poder, al menos, las Ordenes de Servicio expedidas para la instalación del servicio. Además, aunque se le solicitó que aportara una impresión de pantalla de sus ficheros con el nombre, apellidos, domicilios, direcciones de contacto y cuentas bancarias asociadas a la línea supuestamente contratada por el denunciante (hecho probado quinto) TDE no la ha facilitado. Se ha limitado a adjuntar con sus diversos escritos fragmentos de la información que aparece en una pantalla de ordenador o bien transcripciones manuales de determinada información. Por lo que concierne al dato del domicilio, TDE facilitó a la AEPD como domicilio asociado al presunto titular de la línea (el denunciante) el ubicado en la localidad de (C/...4). (Folios 74 y 142). Sin embargo, es evidente que en los ficheros de TDE constaba también, asociado al titular de la línea, como domicilio de notificaciones, el (C/...2), pues fue éste el domicilio que la operadora facilitó a los ficheros ASNEF y BADEXCUG asociado a los datos personales del denunciante, es más, el domicilio fue confirmado a ASNEF tras la consulta efectuada por la responsable del fichero cuando una de las notificaciones de inclusión fue devuelta. El domicilio del apartado de Correos figura además en las facturas que TDE emite a partir de 28/07/2012 (folios 210 a 257), ya que las anteriores van dirigidas a la dirección de (C/...1). Pues bien, TDE no ha aportado documento alguno que refleje el cambio de domicilio que lógicamente debió haberle comunicado su cliente y la vía a través de la cual se habría efectuado el cambio. Subrayar que ninguno de esos domicilios coincide con el que el denunciante facilita en su denuncia ( que es el que consta en la copia de su DNI) a lo que se añade que según el Certificado expedido por el Ayuntamiento de ***LOC.1 está empadronado en esa localidad y en ese domicilio desde el año 2006. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 Igualmente es digno de destacar que, pese a que TDE ha manifestado que las primeras facturas emitidas se pagaron a través de domiciliación bancaria, ni ha facilitado los datos bancarios de domiciliación ni ha aportado impresión de pantalla en la que figure ese dato. Recordemos que en el periodo de prueba se le requirió para que aportara “la copia de los documentos bancarios que acreditaran el pago de las facturas”. En la respuesta a esta petición de prueba se limitó a informar a través de un cuadro o tabla que las facturas emitidas entre agosto y octubre de 2011 se abonaron por domiciliación en una cuenta de la C.A. y Pensiones de Barcelona, La Caixa, y que el resto se pagó en ventanilla; pero ni facilitó los veinte dígitos que identifican la cuenta a través de la cual se cobraron las facturas ni los datos identificativos de la persona que hizo los pagos a través de la ventanilla bancaria. En el escrito de alegaciones a la propuesta aporta una impresión de pantalla que va precedida de la indicación: “El número de cuenta a través de que se abonaron algunas de las facturas consta en el siguiente pantallazo”, sin que en el documento se incluyan tales datos. En definitiva, no obra en el expediente el documento contractual; la denunciada no ha informado de la vía a través de la cual se celebró el contrato; no ha facilitado una impresión de sus ficheros con toda la información asociada al titular de la línea en la que se encontraran recogidos los dos domicilios que obran en poder de TDE ni los datos bancarios de domiciliación de las facturas. Tampoco las impresiones de pantalla con las reclamaciones habidas durante la vigencia del contrato, pues las únicas aportadas versan sobre las reclamaciones que el denunciante dirigió a la entidad, sobre las que no existe ninguna controversia pues es él quien nos ha informado de su existencia, y éstas acontecieron cuando la el contrato ya había finalizado. Todo lo cual resulta más llamativo si tenemos en cuenta que el servicio contratado es de una línea fija y de que según los documentos aportados con las alegaciones a la propuesta quien disfrutó durante varios años del servicio telefónico sufrió varios cortes por falta de pago y en todos los casos se reanudó el servicio, por lo que no es arriesgado imaginar que esa persona contactaría con TDE y formularía alguna reclamación sin que de esa información se haya aportado algo a la AEPD. B. Llegados a este punto procede examinar las alegaciones realizadas por TDE frente a la propuesta de resolución. La entidad aduce en su escrito que no existe vulneración del artículo 6.1 de la LOPD pues, a su juicio, hay “indicios de la contratación realizada (abono de facturas y consumo en la línea)” y concluye que en el presente caso existió un consentimiento tácito del denunciante a la contratación del servicio. TDE cita en apoyo de su pretensión la SAN de 19/07/2012 en la que el Tribunal declara que aunque “es cierto que constituye doctrina reiterada y consolidada de esta Sala que, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la Ley, sólo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado. En el presente caso, sin embargo, y si bien es cierto que no existe acreditación de la contratación de la línea telefónica que la entidad actora argumenta que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 denunciante suscribió con ella en noviembre de 2014, existen sin embargo una serie de circunstancias específicas (esencialmente la existencia de consumo y el pago puntual de las tres primeras facturas) que llevan a esta Sala al convencimiento de que el denunciante, a pesar de lo argumentado por él en la demanda, sí había prestado su consentimiento para la contratación de la referida línea telefónica con dicha recurrente, a tenor de las circunstancias que se acaban de relatar. Por todo lo cual, consideramos que la imputación de la infracción del artículo 6.1 de la LOPD no puede ser apreciada tal y como hemos sostenido en similares supuestos, en nuestras anteriores SSAN 1-2-2006 (Rec250/2004), 21-1-2009 (Rec. 109/2008), 24-6-2010 (Rec. 619/2009) y 17-11-2010 (JUR 2010, 404844) (Rec.729/2009)” Pues bien, frente a tal alegato hemos de advertir que en todas las SSAN citadas, en las que el Tribunal estima el recurso contencioso administrativo y deja sin efecto la resolución sancionadora de la AEPD por una presunta infracción del principio del consentimiento, al apreciar que existe un consentimiento tácito éste, se hace derivar siempre y en todo caso de determinados indicios. Los indicios que en todos los supuestos se toman en consideración evidencian una vinculación entre la persona que niega haber otorgado el consentimiento al tratamiento de sus datos y dicho tratamiento. A modo de ejemplo traemos a colación dos de las SAN precitadas: - - C/ Jorge Juan, 6 28001 – Madrid En la SAN de 01/02/2006 (Rec 250/2004), en la que la AEPD sancionó a la recurrente por haber tratado los datos bancarios de la denunciante sin su consentimiento, argumenta el Tribunal en el Fundamento Jurídico cuarto: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/1999 exige es que el consentimiento para el tratamiento de los datos sea prestado de modo inequívoco (…) A la hora de valorar si dicho consentimiento ha sido prestado de modo inequívoco resulta que no consta aportada la prueba documental de que ***NOMBRE.1 dio su consentimiento y ello pues la parte recurrente no ha podido aportar la parte baja de la hoja de pedido en la que debían constar los datos bancarios y la utilización de la cliente. Sin embargo, a juicio de esta Sala, esta falta no impide llegar al convencimiento de que la denunciante prestó su consentimiento para el tratamiento de sus datos bancarios y que debió ser ella la que proporcionó (…) dichos datos(…). Esta conclusión se apoya en los siguientes elementos de prueba: -En la hoja de pedido constan datos que hacen referencia a la voluntad de pagar mediante domiciliación bancaria: se hace referencia a 40 recibos de 5.000 pesetas que se pagarían por banco y que se pasaría el primer recibo en el mes de Noviembre. –El que se incluya el nombre y teléfono del comercial en la hoja de pedido se puede interpretar como que se acordó que la cliente lo llamaría más tarde para facilitar los datos bancarios (…)”. (El subrayado es de la AEPD) En SAN de 21/01/2009,(Rec. 109/2008), Fundamentos Jurídicos cuarto y quinto, tras indicar el Tribunal que la cuestión a resolver es si Gas Natural Cegas contaba o no con el consentimiento del denunciante para comunicar o ceder sus datos personales (…) a Gas Natural Servicios, dado que esta última compañía empezó a facturar y cobrar en la cuenta corriente de dicho afectado los servicios SMH plus/básico Servi Gas, a partir de agosto de www.agpd.es sedeagpd.gob.es 12/21 2005, advierte que en la demanda se hace mención por el recurrente al consentimiento tácito a propósito del cual afirma: “ Consentimiento tácito, respecto del cual, ya en nuestra sentencia de 7 de julio de 2000 (Rec. 121/1999), dijimos que: “Este tema (…) ha de ser tratado con una gran delicadeza cuando están en juego derecho constitucionales básicos …”. Seguidamente el Tribunal, Fundamento Jurídico quinto, argumenta del siguiente modo: “(…) es cierto que no ha sido aportado a autos el contrato que, respecto del servicio de mantenimiento “SMH plus básico/Servi Gas” la entidad actora argumenta que el denunciante suscribió con Gas Natural Servicios en el año 2000. Ahora bien, existe sin embargo una abundante documentación, que a continuación se detallará y que lleva a esta Sala al convencimiento de que tal SR. Carlos Jesús sí había prestado su consentimiento para que Gas Natural (….) prestara tal servicio de mantenimiento…”. A tal fin menciona “evidencia documental de que dicho servicio de mantenimiento fue facturado y cobrado por Cegas durante el periodo de 30/01/2001 a 30/05/2005 (ver folios 37 a 41 del expediente en relación con el 65 y siguientes así como el hecho probado seguido que antecede”. “…se desprende también del expediente que, como consecuencia de tal contratación se realizaron en diversas fechas, servicios de mantenimiento y de reparación de averías por parte de la meritada Gas Natural Servicios , mediante ordenes de trabajo que figuran en los folios ….. e igualmente en los documentos ....que se adjuntan con la demanda”. (El subrayado es de la AEPD) Trasladando las reflexiones precedentes al asunto que nos ocupa, en el que TDE invoca que existió un consentimiento tácito del denunciante al tratamiento de sus datos vinculado a la línea fija que él niega haber contratado, hemos de centrarnos en los pretendidos indicios de dicho consentimiento que son, a juicio de TDE, “la existencia de consumo y el abono de las facturas”. Respecto a tal cuestión hemos de subrayar que estos elementos no evidencian ninguna vinculación con la persona del denunciante sino todo lo contrario. En cuanto al consumo de la línea, que recordemos es de un teléfono fijo ubicado en la provincia de Gerona, el denunciante ha acreditado que desde el año 2006 está domiciliado en una misma vivienda ubicada en la provincia de Barcelona, en ***LOC.1. En cuanto al pago de las facturas, como la propia TDE ha reconocido, los primeros pagos se hicieron a través de domiciliación bancaria. En el periodo de prueba se instó a la entidad a facilitar los datos bancarios de domiciliación, con el fin de poder requerir a la entidad financiera información sobre el titular de la cuenta, pero ni en el trámite de prueba ni en ningún momento posterior TDE se ha avenido a facilitar ese dato a la AEPD. Por otra parte, respecto al pago de las restantes facturas la denunciada se limita a señalar que se hicieron por ventanilla bancaria, lo que por sí solo no puede constituir un indicio de que el pago se hubiera hecho por el denunciante y no por un tercero que suplantó su identidad. Resulta de lo expuesto que a juicio de esta Agencia no existen documentos, elementos o circunstancias indiciarias de un consentimiento tácito del denunciante a la contratación. Más al contrario, lo que evidencia la documentación que obra en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 expediente es la reacción desplegada por el denunciante desde que tuvo noticia de que sus datos personales estaban incluidos en ficheros de morosidad (lo que aconteció un año después de que hubieran sido incluidos en ellos, pues la primera inclusión data de 03/09/2013). Destacar en tal sentido que el denunciante formuló reclamación ante TDE por vía telefónica (de cuya existencia la propia entidad aporta prueba documental); que interpuso denuncia policial el 25/09/2014 (hecho probado undécimo) y que presentó reclamación ante la OMIC el 02/10/2014 (hecho probado octavo) En definitiva, TDE no ha acreditado ni ha aportado indicios de los que se pudiera inferir que alguna de las facturas fue abonada por el denunciante. Y a lo anterior se añade que la conducta del denunciante se aleja de lo que pudiéramos calificar como consentimiento tácito. Desde que conoció que TDE le reclamaba una deuda a la que era ajeno desplegó una actuación diligente para que la entidad reconociera su error. Formuló una reclamación ante la operadora y posteriormente presentó denuncia en la Policía y reclamación contra TDE ante la OMIC. Finalmente, TDE ha invocado, a la vista del resultado de la prueba practicada por la Instructora del expediente ante la Sociedad Estatal Correos y Telégrafos a fin de conocer la identidad del titular del (C/...2) –dirección que TDE facilitó a las entidades responsables de los ficheros ASNEF y BADEXCUG como domicilio de notificación al deudor-, y habida cuenta de que parece inferirse que el titular es el padre del denunciante, que éste último era conocedor de la contratación. Tampoco existen elementos o indicios que permitan sustentar tal argumentación. En primer término, tratándose de personas mayores de edad y que residen en diferentes provincias no hay motivos para descartar la existencia de suplantaciones de identidad entre personas con vínculos familiares. Por otra parte, la trayectoria seguida por el denunciante hace difícil concluir que fuera conocedor del tratamiento de sus datos vinculados al alta de la línea, a lo que se suma la ausencia total de otros indicios que confirmen su vinculación con la línea telefónica. Además, carecería en tal caso de sentido que el denunciante hubiera estado durante un año en un fichero de solvencia antes de formular reclamación o que hubiera presentado denuncia en la policía y en la OMIC. De las reflexiones precedentes resulta que la conducta de TDE, materializada en el tratamiento de los datos personales del denunciante – NIF, nombre y dos apellidos- vinculados a una línea de telefonía fija que él niega haber contratado, vulnera el artículo 6.1 de la LOPD. El artículo 44.3.
  5. b)de la citada norma tipifica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IV Por lo que respecta a la presunta infracción del artículo 4.3 de la LOPD que se imputa a TDE se indica lo siguiente: Las normas jurídicas reproducidas en el Fundamento de Derecho II ponen de manifiesto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige, por una parte, que la deuda sea cierta, vencida, exigible y que haya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 resultado impagada, y por otra, que se haya requerido de pago al deudor antes de informar los datos a la entidad responsable de la gestión del fichero. Conviene recordar, además, que es el acreedor que informa los datos al fichero el responsable de comprobar que se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. En tal sentido han de traerse a colación las disposiciones de los artículos 39 y 43.1 del RLOPD que establecen, respectivamente: “Información previa a la inclusión”: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  6. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) Constituye un hecho probado que TDE trató los datos personales del denunciante (su nombre, apellidos y NIF) asociados a una línea de telefonía fija de la que no era titular toda vez que, como se ha expuesto en el Fundamento Jurídico precedente, la operadora no ha acreditado que el afectado hubiera otorgado el consentimiento a la contratación de la línea controvertida. El tratamiento de sus datos asociado a la línea determinó que la operadora le imputara una deuda que, respecto al denunciante, no era cierta, ni vencida ni exigible. Ante el impago de las deudas generadas por ese servicio, TDE comunicó a los ficheros de solvencia patrimonial ASNEF y BADEXCUG una incidencia asociada a sus datos personales por un importe 172,27 euros Los hechos probados acreditan que TDE informó al fichero de solvencia ASNEF los datos personales del denunciante (NIF, nombre y dos apellidos) asociados a un saldo deudor de 172,27 euros en tres ocasiones: La primera de ellas con fechas de alta y baja, respectivamente, 03/09/2013 y 30/09/2014. La segunda y tercera con fechas de alta y baja, respectivamente, 03/11/2014 y 08/12/2015 y 12/01/2016 y 05/04/2016.(Hecho probado Noveno) A propósito de esas comunicaciones a ASNEF, se ha de destacar que las dos últimas tuvieron lugar después de que TDE hubiera recibido la reclamación que el denunciante interpuso ante ella y después que hubiera recibido un email de la OMIC informándole de que existía una reclamación del denunciante con la que le hizo llegar la copia de la denuncia presentada en la Policía por suplantación de personalidad en la que negaba haber contratado con la operadora el servicio telefónico del que deriva la deuda que se le atribuye. Por otra parte, la baja definitiva del fichero, que data del 05/04/2016, se produjo a raíz de recibir la operadora el requerimiento informativo de la Inspección de Datos de la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 Resulta también acreditado que TDE informó al fichero de solvencia BADEXCUG los datos personales del denunciante con fechas de alta y baja, respectivamente, el 04/09/2013 y 01/10/2014, asociados a un saldo deudor de 172,27 euros (Hecho probado Décimo) Se concluye, por tanto, que los datos personales del denunciante fueron incluidos por TDE en un fichero de morosos vinculados a una deuda a la que era ajeno; deuda que no era cierta, ni vencida ni exigible desde la perspectiva del afectado por cuanto no se ha acreditado su condición de deudor. La información relativa al denunciante que TDE comunicó a ASNEF y a BADEXCUG no se ajustó al principio de exactitud y veracidad, corolario del principio de calidad del dato que proclama el artículo 4.3 de la LOPD. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificada en el artículo 44.3.
  7. c)de la citada norma, que dispone: “Son infracciones graves, (..)
  8. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo V El artículo 130.1 de la LRJPAC proclama el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia. La Audiencia Nacional en Sentencia de 17/10/ 2007 (Rec. 63/2006), expone que “...el ilícito administrativo previsto en el artículo 44.3.
  9. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. Así, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 respecto”. Trasladando las consideraciones precedentes al supuesto que analizamos, el elemento subjetivo de la culpabilidad se concreta en la grave falta de diligencia demostrada por TDE en dos ocasiones distintas: Falta de diligencia al contratar la línea controvertida y en un momento posterior, al comunicar los datos personales del afectado a los ficheros de solvencia patrimonial y crédito. El argumento que TDE esgrime en su defensa –la ausencia de culpabilidad, pues afirma que actuó en la creencia de que contaba con datos legítimos procedentes de una contratación válida, por lo que la inclusión en ficheros de solvencia era correcta al devenir de una deuda cierta, vencida y exigible, ya que no existían indicios de fraude en la contratación de la línea- no puede prosperar. Como se expone en los Fundamentos precedentes de esta resolución ni actuó diligentemente con ocasión de la contratación de la línea (así, no hay ninguna prueba de que el denunciante hubiera contratado el servicio) ni obró con diligencia al comunicar los datos del afectado a los ficheros de morosidad. Sobre ese último extremo recordemos que TDE -a través del mensaje electrónico que le envió la OMIC, con el que adjuntaba el escrito de reclamación del denunciante ante dicho organismo y la denuncia presentada en la Policía el 24/09/2014 (hecho probado Octavo)- tuvo conocimiento el 22/10/2014 de que el denunciante negaba haber contratado con la operadora el servicio telefónico fijo, ubicado en una localidad de la provincia de Gerona en la que no residía, por el que le reclamaban una supuesta deuda pendiente y que en lugar de verificar que disponía de la documentación que acreditaba que el denunciante era el titular del contrato, no hizo ninguna comprobación. Así, frente al argumento de TDE de que efectuó las comprobaciones pertinentes hay que destacar que después de conocer la reclamación de la OMIC y la denuncia policial, procedió en dos ocasiones más a incluir los datos del denunciante en ASNEF: altas de 03/11/2014 y de 12/01/2016. Cabe preguntarse ante esa conducta en qué consistió la comprobación que TDE declara haber efectuado al recibir las reclamaciones, comprobaciones que según ha declarado no arrojaron ningún indicio de irregularidad o suplantación de personalidad. Máxime si, como se ha expuesto en el Fundamento anterior no hay vinculación alguna entre el denunciante y el pago de las facturas y de que como indica el artículo 38.3 del RLOPD ha de conservar a disposición de la AEPD los documentos que acrediten el cumplimiento de los requisitos previstos en el artículo 38.1 del citado Reglamento. VI El artículo 45 de la LOPD establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización dtratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario que concurra bien una cualificada disminución de la culpabilidad el imputado, bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. TDE ha solicitado la aplicación de la atenuante privilegiada del artículo 45.5.
  25. b)LOPD en atención a que cuando tuvo conocimiento del expediente E/5835/2015 “se condonó la deuda pendiente” (folio 153). Invoca como circunstancia que atenúa la responsabilidad y reduce la cuantía de la sanción la ausencia de beneficios obtenidos Estimamos que, en el presente asunto, no concurren elementos que justifiquen la aplicación de ninguna de las atenuantes privilegiadas del artículo 45.5 LOPD. A propósito de la circunstancia alegada –apartado a, cuando haya regularizado la situación irregular de forma diligente- se señala lo siguiente: TDE ha insistido, en apoyo de su pretendida reacción diligente que justificaría C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 la aplicación del artículo 45.5.
  26. b)LOPD, que nada más recibir el requerimiento informativo de la AEPD (expediente E/5835/2015) reaccionó de inmediato y condonó la deuda. Pues bien, la condonación de la deuda no es en sí misma un exponente de reacción diligente. Basta recordar que la Inspección de Datos de la AEPD requirió a TDE en fecha 11/11/2015 y que en el escrito de requerimiento le facilitó información sobre la línea fija controvertida, el NIF del denunciante y su nombre y apellidos. Curiosamente TDE no respondió a dicho requerimiento, por lo que casi cinco meses más tarde la Inspección de la AEPD se vio obligada a reiterarlo con carácter urgente (escrito de fecha 07/04/2016) y la denunciada contestó finalmente en fecha 12/04/2016. Hasta tal punto no existió reacción diligente que entre el primer requerimiento de la AEPD al que no respondido y el segundo, TDE procedió de nuevo, por tercera vez, a incluir los datos personales del denunciante en el fichero ASNEF: alta de fecha 12/01/2016. Dicho lo cual no existen motivos que justifiquen la aplicación de la atenuante cualificada que se invoca. Así pues, la sanción a imponer estará comprendida en la escala fijada para las infracciones graves, artículo 45.2 LOPD, cuyo importe oscila entre 40.001 euros y 300.000 euros. Por lo que atañe a los criterios de graduación de las sanciones contemplados en el artículo 45.4 LOPD, la AEPD estima que operan como agravantes de las conductas enjuiciadas estas circunstancias: -“El carácter continuado de la infracción” (apartado a,) pues los datos del denunciante permanecieron incluidos en los ficheros de solvencia patrimonial ASNEF y BADEXCUG, sin justificación legal para ello, durante más de dos años y durante más de un año respectivamente. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) pues la actividad empresarial de la denunciada exige un continuo tratamiento de datos de carácter personal tanto de clientes como de terceros. - “El volumen de negocio o actividad del infractor” (apartado d,). Es un hecho notorio, que no necesita prueba, el importante volumen de negocio de TDE, el primer operador de telecomunicaciones del mercado nacional. - “El grado de intencionalidad” (apartado,
  27. f)expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Estimamos que TDE incurrió en una grave falta de diligencia. Respecto a la vulneración del principio del consentimiento (artículo 6.1 LOPD) la omisión de la diligencia se evidencia no sólo por no haber adoptado, con ocasión de la contratación, las medidas necesarias para identificar a la persona que contrata con ella un servicio de telefonía fija. Hay que subrayar que TDE pudo haber puesto fin a su conducta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 infractora mucho tiempo antes de que la AEPD le dirigiera el primer requerimiento informativo (al que no respondió) de fecha 11/11/2015, pues meses antes (en fecha 22/10/2014) la OMIC le dio traslado de la reclamación del afectado con la que adjuntaba la copia de la denuncia policial. En definitiva, puso a su disposición elementos suficientes para verificar la adecuación de su conducta a la normativa de protección de datos. Sin embargo, TDE se ha limitado respecto a este hecho a declarar que verificó o existían indicios de suplantación “porque la contratación era válida”, olvidando que lo relevante a los efectos que nos ocupan es estar en condiciones de acreditar que el titular de los datos tratados prestó el consentimiento a la contratación, extremo que obviamente no verificó a raíz de la reclamación recibida. Por lo que concierne a la infracción del artículo 4.3 LOPD la falta de diligencia de TDE es especialmente relevante y significativa y obliga a que esta circunstancia se tome en consideración para agravar la sanción a imponer. La razón es que además de no haber efectuado a raíz de la reclamación recibida vía OMIC las comprobaciones que las circunstancias del caso requerían, con posterioridad a la fecha en la que recibe el escrito de la OMIC, el 22/10/2014, incluye en dos ocasiones más los datos del afectado en el fichero ASNEF. En esa misma dirección la omisión de toda posible diligencia queda patente cuando tras recibir el primer requerimiento informativo de la AEPD, al que no respondió, y antes de recibir el segundo requerimiento, procede a incluir de nuevo (tercera inclusión) los datos del afectado en ASNEF. -“La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas” (apartado, h). En ese sentido la Audiencia Nacional, SAN de 16/02/2002 (Rec. 1144/1999) ha declarado que “(…) la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan”. (El subrayado es de la AEPD) Paralelamente, opera como atenuante, la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción (apartado e, del artículo 45.4 LOPD) Así las cosas, la sanción que corresponde imponer por de las infracciones de las que se responsabiliza a TME es de cincuenta mil euros (50.000) por la vulneración del artículo 6.1 LOPD y de sesenta mil euros (60.000) por la vulneración del artículo 4.3 LOPD, cuantías ambas próximas al mínimo fijado en el artículo 45.2 LOPD para las infracciones graves.>> III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por TELEFÓNICA DE ESPAÑA, S.A.U., contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 29 de diciembre de 2016, en el procedimiento sancionador PS/00313/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad TELEFÓNICA DE ESPAÑA, S.A.U. TERCERO: Advertir a la entidad sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  28. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 2121 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.