REPOSICION-PS-00370-2016

Procedimiento nº.: PS/00370/2016 ASUNTO: Recurso de Reposición Nº RR/00390/2017 Examinado el recurso de reposición interpuesto por la entidad TELEFÓNICA MÓVILES ESPAÑA, S.A.U., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00370/2016 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 3 de marzo de 2017 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00370/2016, en virtud de la cual se impusieron a TELEFÓNICA MÓVILES ESPAÑA, S.A.U., dos sanciones de 50.000 euros (cincuenta mil euros) cada una por vulneración de lo dispuesto en los artículos 6.1 y 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracciones tipificadas como graves en los artículos 44.3.

1. b)y 44.3.c), respectivamente, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 6 de marzo de 2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. Se ha de hacer constar, no obstante, que el escrito del recurso figura presentado por Telefónica de España, S.A.U., y no por Telefónica Móviles España, S.A.U. Sin embargo, habida cuenta de que el texto del recurso alude a la resolución recaída en el PS/370/2016, seguido contra Telefónica Móviles, entidad que resultó sancionada, se estima que se trata de un mero error tipográfico. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00370/2016, se dejó constancia en la resolución recurrida de los siguientes: <<PRIMERO: La denunciante, F.F.F., con DNI H.H.H., denuncia que TME le atribuye varias deudas derivadas de servicios telefónicos que jamás ha contratado y que desde el año 2012 ha incluido sus datos, al menos, en dos ficheros de morosidad. Hechos de los que ha tenido noticia al solicitar un préstamo bancario para la compra de un vehículo; operación que tuvo que efectuar a nombre de su madre como consecuencia de atribuirle TME, públicamente, la condición de morosa. SEGUNDO: Obra en el expediente copia de la denuncia presentada por la afectada ante la Guardia Civil de E.E.E., el 10/04/2015, por usurpación de identidad, en la que expone lo siguiente: Que el 08/05/2012 sus datos se dieron de alta en una lista de morosos por impago. Que el 31/03/2015, se percató del hecho cuando al solicitar la financiación para un vehículo se la deniegan por encontrarse en dicha lista. Que solicitó un informe de su situación a la empresa INFOMOROSOS quien le comunicó que estaba incluida en dos listas de morosos, ASNEF –por dos cargos atribuidos a dos líneas telefónicas- y BADEXCUG, desconociendo al día de la fecha el motivo de la inclusión y el importe adeudado. Que figura en ASNEF con una dirección con la que no tiene relación, pues está ubicada en (C/...1) Que ha efectuado una búsqueda en internet de la dirección postal que le atribuyen como domicilio (C/...2) y aporta material fotográfico con el resultado de la búsqueda. Que puesta en contacto con TME para que le informen el porqué de lo ocurrido se niegan a facilitar información sin denuncia policial previa. TERCERO: En los ficheros de TME consta el DNI H.H.H. , asociado a G.G.G., con domicilio en calle (C/...2). Estos datos se encuentran vinculados en los ficheros de la operadora denunciada a la contratación de dos líneas móviles (número C.C.C.). Las líneas se dieron de alta y baja, respectivamente, el 14/12/2011 y 09/02/2012, siendo el motivo de la baja la falta de pago. Se emitieron cuatro facturas por importes de 39,40 euros, 49,26 euros, 378,78 euros y 702,10 euros. CUARTO: En respuesta a la petición que la Inspección de Datos hizo a TME para que aportara una copia del documento acreditativo de la contratación de las referidas líneas de móvil y de la identidad del contratante o, en su caso, de la grabación de la conversación en la que se otorgó el consentimiento a la contratación de los servicios, la denunciada manifestó: “No constan”; “No se ha podido recuperar la grabación de la contratación”. QUINTO: TME respondió a la pregunta de la Inspección de la AEPD relativa a las reclamaciones efectuadas por la afectada o por un tercero en su nombre que “No existen reclamaciones previas”. SEXTO: La denunciada ha manifestado que en abril de 2015 formuló una reclamación telefónica ante TME a la que le asignaron la referencia ***REF.1. SÉPTIMO: La documentación facilitada por EQUIFAX acredita que, asociadas al DNI de la denunciante, H.H.H., TME informó al fichero ASNEF las siguientes operaciones impagadas: - Con fecha de alta 08/05/2012 y baja 17/04/2015, por un saldo deudor de 644,26 euros. Vencimientos impagados primero y último de 01/02/2012 y de 01/03/2013. - Con fecha de alta 27/04/2015 y baja 24/11/2015, por un saldo deudor de 644, 26 euros. Vencimientos impagados primero y último de 01/02/2012 y de 01/03/2013. - Con fecha de alta 08/05/2012 y baja el 17/04/2015, por un saldo deudor de 360,40 euros. Vencimientos impagados primero y último de 01/02/2012 y de 01/03/2013. Respecto a la deuda impagada, entre noviembre de 2012 y febrero de 2013 su importe fue de 418,18 euros. En esa fecha desciende a 360,40 euros y se mantiene hasta el día de la cancelación de la incidencia. - Con fecha de alta 27/04/2015 y baja el 24/11/2015, por un saldo deudor de 360,40 euros, siendo los vencimientos impagados primero y último 01/02/2012 y 01/03/2013. OCTAVO: La denunciante se dirigió a EQUIFAX y ejercitó los derechos de acceso y cancelación: a b c d Obra en el expediente la solicitud de acceso de la denunciante enviada mediante email de 31/3/2015. También, la respuesta de EQUIFAX, de fecha 01/04/2015. Obra en el expediente la respuesta de EQUIFAX a la petición de la denunciante para que cancelen sus datos en la que le informan que TME ha confirmado la existencia de la deuda y por tanto la permanencia de los datos en el fichero ASNEF. Obra en el expediente impresión de pantalla de la aplicación de EQIOFAX para la consulta de expedientes/ confirmación de expedientes en relación a las incidencias asociadas al DNI de la denunciante. Se verifica que TME confirma ambas incidencias en fecha 09/04/2015 y hace la misma “observación” respecto a ambas: “No presenta justificante de pago”. Obra en el expediente solicitud de cancelación de sus datos instada por la afectada mediante email de 10/04/2015. También la respuesta de EQUIFAX. en la que manifiesta que se ha dado cuenta a TME el 14/04/2015 de esa petición y que, ante la falta de contestación, conforme a las normas de funcionamiento del fichero ASNEF se ha procedido a la baja cautelar del dato. NOVENO: De la documentación aportada por EXPERIAN resulta que TME informó al fichero BADEXCUG, asociadas al DNI de la denunciante, H.H.H., las siguientes operaciones impagadas: - - Con fecha de alta 09/05/2012 y fecha de baja 25/11/2015, por proceso automático de actualización de datos, consta una anotación por un saldo inicial de 715,36 euros que descendió a 644,26 euros en fecha 13/03/2013. El primer vencimiento impagado es de 01/02/2012. Con fecha de alta 09/05/2012 y fecha de baja 25/11/2015, por proceso automático de actualización de datos, consta una anotación por un saldo inicial de 418,18 euros que descendió a 360,40 euros en fecha 13/03/2013. El primer vencimiento impagado es de 01/02/2012. DÉCIMO: La denunciante se dirigió a EXPERIAN. y ejercitó los siguientes derechos: - El derecho de acceso mediante escrito que fue recibido por la responsable del fichero BADEXCUG el 01/04/2015, al que dio respuesta el 10/04/2015. El derecho de cancelación mediante escrito recibido el 28/04/2015. EXPERIAN responde el 04/05/2015 manifestando que lamenta comunicarle que las incidencias han sido confirmadas por TME. - - Aporta impresión de su aplicación informática eSPaCio que refleja que TME marcó “No Baja” en relación a la petición de cancelación de las dos incidencias informadas.>> TERCERO: TELEFÓNICA MÓVILES ESPAÑA S.A.U., (en lo sucesivo la recurrente) ha presentado en fecha 16 de marzo de 2017 en esta Agencia Española de Protección de Datos (AEPD) recurso de reposición en el que, además de reiterar lo manifestado en sus alegaciones, invoca, en esencia, los argumentos siguientes: 1. Falta de proporcionalidad de la sanción impuesta. Califica de “absolutamente desproporcionada” la imposición de dos multas de cincuenta mil euros cada una por la comisión de dos infracciones tipificadas en los artículos 44.3.
2. b)y 44.3.
3. c)LOPD. 2. Falta de aplicación del artículo 8 del R.D. 1398/1993, “en relación con el artículo 45.5.
4. d)de la LOPD”. Sobre este particular alega que la aplicación del artículo 45.5.
5. d)LOPD es preceptiva para la AEPD pues esa norma tiene carácter imperativo. 3. Nulidad de pleno derecho de la resolución dictada por vulneración del principio de confianza legítima. 4. Nulidad de pleno derecho de la resolución impugnada por falta de motivación suficiente. Expone que en el Fundamento de Derecho VI de la resolución recurrida “no se tiene en cuenta el reconocimiento realizado” por ella y añade “sin que la Administración realice un mínimo esfuerzo en desvirtuar las alegaciones o en defender su decisión sobre la presunta falta de cumplimiento de los requisitos previstos en el artículo 45.5.d.(…)su decisión no viene apoyada en razones que permitan conocer cuáles han sido los criterios jurídicos fundamentadores, es decir, la “ratio decidendi” que la ha determinado” FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II A. En relación con las manifestaciones efectuadas por la recurrente hemos de comenzar haciendo las siguientes reflexiones: 1. Se invoca como primer motivo del recurso de reposición la falta de proporcionalidad de la sanción impuesta que TME califica de “absolutamente desproporcionada”. Señalar al respecto que la sanción prevista en el artículo 45.2 LOPD para las infracciones graves –carácter que tienen las descritas en los artículos 44.3.b y 44.3.c de las que TME es responsable- oscila entre 40.001 y 300.000 euros. Así pues, como se hizo constar en la resolución que ahora se recurre, las sanciones impuestas se encuentran comprendidas en el tercio inferior del importe máximo previsto en la LOPD para las infracciones de esa gravedad. 2. La recurrente invoca que la AEPD no ha aplicado en la resolución impugnada el artículo 8 del R.D. 1398/1993, “en relación con el artículo 45.5.
6. d)de la LOPD”. Sobre este particular alega que la aplicación del artículo 45.5.
7. d)LOPD es preceptiva para la AEPD pues esa norma tiene carácter imperativo. Sin perjuicio de analizar más adelante la “relación” que se alega de contrario entre el artículo 45.5.
8. d)LOPD y el artículo 8 del R.D. 1398/19993, nos limitaremos en este apartado a aludir al invocado carácter imperativo del precepto. La Audiencia Nacional, Sala de lo Contencioso, se ha pronunciado reiteradamente en el sentido de subrayar que no puede apreciarse la concurrencia del artículo 45.5 LOPD con total laxitud, pues se trata de una regla excepcional que ha de aplicarse cuando esté acreditado que concurren las circunstancias a las que se supedita su aplicación. Parece conveniente en tal sentido recordar este fragmento de la SAN de 24/09/2010 (Rec. 245/2010) en la que la Sala de lo Contencioso de la Audiencia Nacional se pronuncia en los siguientes términos: “Esta Sala tiene establecido en multitud de sentencias en relación a dicho precepto que no es sino una manifestación del llamado principio de proporcionalidad (art. 131.1 de la Ley 30/1992 ), incluido en el mas general de prohibición de exceso, y reconocido por la jurisprudencia como Principio General del Derecho; por esta Sala se tiene establecido que dicha regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto. Lo cual, insistimos, puede darse, por excepción, en casos muy extremos (de aquí la expresión "especialmente cualificada") y concretos. (…) El criterio, por lo tanto, debe ser de aplicación restrictiva e individualizada, en atención a las circunstancias concretas que resulten de cada caso, y tomando en consideración, siempre, que se debe exigir a los recurrentes que acrediten circunstancias de las que resulte una disminución de la culpabilidad o de la antijuridicidad; en consecuencia, pues, no es posible establecer criterios generales para la aplicación del citado artículo 45.5 de la LOPD.” (El subrayado es de la AEPD) 3. Argumenta la recurrente que la AEPD ha vulnerado el principio de confianza legítima, lo que a su juicio determina la nulidad de pleno derecho de la resolución dictada. La recurrente estima que en el presente caso concurre la atenuante cualificada del artículo 45.5.
9. d)LOPD, toda vez que en su escrito de alegaciones al acuerdo de inicio había reconocido su responsabilidad en los hechos. Considera que el criterio seguido ahora por la AEPD, que no aprecia la existencia de esa atenuante cualificada pese a que la ha venido reconociendo en numerosas resoluciones (cita a tal fin, entre otros, los procedimientos sancionadores PS/352/2015, PS/109/2015, PS/544/2015), es contrario al principio de confianza legítima. Como punto de partida se ha de traer a colación este fragmento de la SAN precitada (de 24/09/2010 Rec. 245/2010), Fundamento de Derecho Quinto: “Ahora bien, entiende que debe reconsiderarse el criterio mantenido en dicha sentencia por razón del conocimiento posterior de otros asuntos sustancialmente idénticos, de cuyo estudio se deduce la falta de razonabilidad de la aplicación realizada por la Administración de la previsión contenida en el art. 45.5. Efectivamente, la Sala, en el momento de enjuiciar el recurso 282/2006, entendió que la Agencia Española de Protección de Datos había hecho una aplicación puntual y aparentemente razonable de dicho precepto en un supuesto que era idéntico al enjuiciado en el recurso 282/2006, por lo que en aras de la seguridad jurídica y del principio de igualdad era conveniente extender dicho criterio a éste último asunto. Sin embargo, el examen posterior de otros procedimientos seguidos a instancias del mismo recurrente ha puesto de manifiesto que la Agencia aplica la previsión del art. 45.5 sin criterio alguno, esto es, que aplica o deja de aplicar el precepto en cuestión sin que exista razón aparente que justifique una u otra postura, en relación con actuaciones de la misma empresa que resultan coincidentes entre sí en lo sustancial. Esta circunstancia obliga, como ya advertimos, a reconsiderar nuestro propio criterio de aplicación del art. 45.5 LOPD, realizado en la sentencia de 1 de octubre de 2008. En este sentido, afirmamos ahora que la adopción de medidas para la perfecta identificación de los clientes no puede constituir un elemento de atenuación de la responsabilidad sino que se nos presenta como el cumplimiento de una obligación ordinaria exigible a las empresas que trabajan con grandes volúmenes de datos personales, sin que pueda considerarse la adopción de estas medidas como base para la apreciar disminución de la culpabilidad ó de la antijuridicidad. (…) Por todo ello, y tomando en consideración que en el asunto que nos ocupa, la empresa recurrente trató los datos de los dos denunciantes (mediante la emisión de facturas) una vez que había transcurrido tiempo más que suficiente para conocer la voluntad contraria de estas personas al tratamiento de sus datos, y que esta conducta se produjo una vez que los denunciantes se habían puesto en contacto con la empresa para poner clara y contundentemente de manifiesto dicha voluntad contraria, resulta que no concurren razones que justifiquen la estimación de los criterios de reducción que resultan del citado artículo 45.5 de la LOPD.” Trasladando esas reflexiones al supuesto que analizamos, se evidencia que igual que acontece en los hechos contemplados por la SAN precitada transcurre un tiempo considerable hasta que TME da de baja los datos de la denunciante de los ficheros de solvencia ASNEF (el 24/11/2015) y BADEXCUG (el 25/11/2015). La afectada interpuso denuncia en la Guardia Civil el 10/04/2015 y en ella relata que se ha puesto en contacto telefónico con TME para denunciar una suplantación de personalidad. Asimismo, la afectada solicita a EXPERIAN BUREAU DE CRÉDITO, S.A., la cancelación de sus datos de los ficheros de solvencia el 27/04/2015, que fue recibida por EXPERIAN el 28/04/2017. Esta entidad ha manifestado que a través de la aplicación eSPaCio puso en conocimiento de TME la petición de cancelación y que ésta confirmó la inclusión en el fichero BADEXCUG. Idéntica consideración cabe hacer respecto al fichero ASNEF pues también la denunciante ejerció el derecho de cancelación y también fue confirmada la anotación por TME. En definitiva, transcurrieron más de seis meses entre la fecha en la que TME tiene conocimiento de que la afectada niega ser la titular del contrato y deudora y la exclusión de sus datos personales de los ficheros de solvencia. Así pues, ni se dan las circunstancias para apreciar la atenuante cualificada del artículo 45.5.
10. b)de la LOPD, que alude a una reacción diligente, ni tampoco para apreciar la descrita en el apartado
11. d)del artículo 45.5, “cuando haya reconocido espontáneamente su culpabilidad”. El objeto del reconocimiento es la culpabilidad en la infracción/ones cometidas y tal reconocimiento no existió cuando la Inspección de la AEPD solicitó a TME que le informara acerca de los hechos acaecidos. No fue hasta el trámite de alegaciones al acuerdo de inicio del procedimiento sancionador cuando la ahora recurrente declara reconocer su responsabilidad en los hechos. La norma cuya aplicación se solicita (artículo 45.5.
12. d)hace referencia a que el reconocimiento de responsabilidad sea “espontáneo”. Y, a tenor de los precedentes expuestos, es incuestionable que no se dan las premisas para afirmar que el reconocimiento de responsabilidad efectuado por TME en el trámite de alegaciones al acuerdo de inicio del expediente sancionador cumpliera el requisito de la espontaneidad. 4. Otro de los motivos de impugnación que TME esgrime es la falta de motivación suficiente lo que determina a su juicio nulidad de pleno derecho de la resolución impugnada. A ese respecto explica que en el Fundamento de Derecho VI de la resolución recurrida “no se tiene en cuenta el reconocimiento realizado” por ella y añade “sin que la Administración realice un mínimo esfuerzo en desvirtuar las alegaciones o en defender su decisión sobre la presunta falta de cumplimiento de los requisitos previstos en el artículo 45.5.d.(…)su decisión no viene apoyada en razones que permitan conocer cuáles han sido los criterios jurídicos fundamentadores, es decir, la “ratio decidendi” que la ha determinado” Lo cierto es, sin embargo, que en el Fundamento de Derecho precitado la AEPD dio las explicaciones precisas de porqué el reconocimiento realizado no justificaba la aplicación del artículo 45.5
13. d)LOPD y de la invocada “relación” entre ese precepto y el artículo 8 del R.D. 1398/1993. Para mayor claridad expositiva transcribimos el siguiente fragmento del Fundamento VI de la resolución: <<La Audiencia Nacional, Sala de lo Contencioso Administrativo, considera que la aplicación del artículo 45.5 LOPD ha de ser individualizada en atención a las circunstancias concretas que resulten de cada caso, correspondiendo al sancionado la carga de acreditar los elementos de los que resulte una disminución "especialmente cualificada" de la culpabilidad o de la antijuridicidad. En el asunto que nos ocupa, TME ha invocado en su escrito de alegaciones al acuerdo de inicio del expediente el artículo 8 del Reglamento de desarrollo del ejercicio de la potestad sancionadora “en relación” con el artículo 45.5.
14. d)LOPD. A propósito de esta cuestión hemos de precisar que la norma del artículo 8 del Real Decreto 1398/1993 es de carácter procesal y su objeto es concretar los trámites a seguir en el caso de que el denunciado reconozca la responsabilidad en los hechos que se le imputan. Por el contrario, la norma del artículo 45.5.
15. d)LOPD, es una norma sustantiva que incide en la determinación de la sanción a imponer. Se trata de dos normas con efectos jurídicos distintos cuyo nacimiento se supedita a diferentes requisitos. En ese sentido, por lo que atañe al artículo 45.5.
16. d)LOPD y a las condiciones para que se produzca el efecto jurídico que detalla el artículo 45.5 ( la aplicación de la sanción según la escala inmediatamente inferior a la establecida para la infracción cometida) es necesario que el reconocimiento de la culpabilidad sea “espontaneo”. Sobre esta condición ha incidido la Audiencia Nacional en su SAN de 10/05/2016 (Rec. 913/2015) que dice: “Por último, aunque deba valorarse positivamente que la compañía demandante haya reconocido en vía administrativa su culpabilidad por los hechos denunciados, constitutivos de la infracción por cuya autoría ha sido sancionada, debemos precisar que el hecho de que este reconocimiento de responsabilidad tuviera lugar en el escrito de alegaciones presentado ante la propuesta de resolución del instructor, como admiten las partes, y no con anterioridad impide su calificación como la circunstancia prevista en el artículo 45.5.d), pues carece de la espontaneidad necesaria para ello.” (El subrayado es de la AEPD) La “espontaneidad” que ha de caracterizar al reconocimiento de la culpabilidad que integra el artículo 45.5.
17. b)LOPD está vinculada con el momento en el que el infractor hace esa declaración de voluntad, de forma que el reconocimiento se produzca nada más tener noticia de los hechos presuntamente infractores. Los precedentes del asunto que analizamos impiden que pueda estimarse la atenuante cualificada del artículo 45.5.
18. d)que TME invoca. Así, y sin perjuicio de la manifestación de la denunciante según la cual realizó una reclamación telefónica ante la operadora, está acreditado que ejercitó el derecho de cancelación en dos ocasiones ante EQUIFAX y en una ocasión ante EXPERIAN. En todas las ocasiones TME denegó la cancelación, excepto la segunda vez en la que ejercitó este derecho ante EQUIFAX. En tal ocasión, TME no respondió dentro de plazo por lo que EQUIFAX dio de baja cautelar las dos anotaciones vinculadas al DNI de la denunciante en fecha 14/04/2015 (reflejada como baja el 17/04/2015). Rápidamente, TME, en un plazo de diez día (el 27/04/2015) comunica de nuevo los datos de la denunciante a ASNEF asociados a las dos deudas que se dieron de baja cautelarmente.>> B. Las cuestiones planteadas por la recurrente fueron, en esencia, analizadas y desestimadas en los Fundamentos de Derecho de la resolución recurrida ( II a VI) que se transcriben a continuación: << II El artículo 8.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/93, de 4 de agosto, dispone: "Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda." (El subrayado es de la AEPD) Tomando en consideración que TME en su escrito de alegaciones al acuerdo de inicio del expediente sancionador ha reconocido la responsabilidad en los hechos acaecidos, a tenor del precepto indicado se procede a dictar directamente resolución. III La LOPD en su artículo 6 se refiere al principio del consentimiento en el tratamiento de los datos de carácter personal y dispone bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Los preceptos de la LOPD antes transcritos deben integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
19. h)de la Ley Orgánica: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “ 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
20. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) . El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. (El subrayado es de la AEPD). IV Se atribuye a TME en el PS/370/2016 la comisión de dos infracciones de la LOPD, artículos 6.1 y 4.3, materializadas en haber tratado los datos personales de la denunciante (DNI, nombre y dos apellidos, si bien el primer apellido difiere del de la denunciante en una letra) asociados a dos contratos de telefonía móvil (líneas C.C.C.) sin su consentimiento y en la posterior inclusión en los ficheros ASNEF y BADEXCUG de sus datos personales asociados a la deuda derivada de los contratos respecto a los que la denunciante era ajena. De forma que, en relación a la denunciante, la deuda generada por las líneas móviles cuya contratación se le atribuye, no reúne los requisitos de ser cierta, vencida y exigible. A Por lo que concierne a la infracción del artículo 6.1 de la LOPD se hacen las siguientes consideraciones Como dispone el artículo 6.1 de la LOPD el tratamiento de datos personales de un tercero exige contar con su consentimiento inequívoco, exigencia de la que se dispensa al responsable del fichero - entre otras hipótesis previstas en la Ley Orgánica 15/1999- cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). La LOPD exige que sea el titular de los datos quien otorgue su consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.
21. h)de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. En el presente asunto, TME ha reconocido que no contaba con el consentimiento inequívoco de la afectada para el tratamiento realizado pues afirma en sus alegaciones al acuerdo de inicio que ha existido una suplantación de personalidad de la afectada. Tampoco ha acreditado haber adoptado las medidas que la diligencia exige para demostrar que los datos tratados los obtuvo de un tercero que contrató con ella. Así, a la petición que le hizo la Inspección de Datos de la AEPD para que aportara copia del contrato y de la documentación acreditativa de la identidad del contratante o, en su caso, de la grabación telefónica, no facilitó ningún documento y declaró que no podía recuperar la grabación. Al hilo de esta cuestión hay que recordar que incumbe a TME la carga de probar el consentimiento al tratamiento por el titular o la adopción de las medidas que le exige el cumplimiento diligente de la obligación impuesta por el artículo 6.1. de la LOPD. La doctrina emanada de la Audiencia Nacional en relación a la carga de la prueba ha seguido de manera uniforme esa orientación. Cabe citar en tal sentido las SSAN de 25/10/2002 (Rec. 185/2001) y, más reciente, la de 31/05/2006 (Rec. 539/2004). En ella el Tribunal declara que es al responsable del tratamiento a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento efectivamente lo da y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley. Sin embargo TME no ha aportado ningún documento que pruebe que recabó y obtuvo el consentimiento de la afectada para el tratamiento de sus datos personales; ni tampoco que adoptó, con ocasión del alta de las dos líneas a las que asoció los datos de la denunciante, la diligencia que está obligada a observar. En atención a lo expuesto y, habida cuenta de que no ha aportado ninguna prueba del consentimiento otorgado por la denunciante para el tratamiento de sus datos ni de haber articulado los mecanismos necesarios para probar que fueron facilitados por un tercero con ocasión de la contratación de sus servicios, se concluye que la conducta de TME vulnera el principio del consentimiento que proclama el artículo 6.1 de la LOPD. El artículo 44.3.
22. b)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, pudiendo ser sancionada dicha infracción con multa de 40.001 € a 300.00€, según lo prevenido en el artículo 45.2 de la citada Ley Orgánica. B.Por lo que respecta a la presunta infracción del artículo 4.3 de la LOPD que se imputa a TME se hacen las siguientes consideraciones: Las normas jurídicas reproducidas en el Fundamento de Derecho III ponen de manifiesto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige que se cumplan diversos requisitos previstos en el artículo 38.1 del RLOPD, entre otros el siguiente: que la deuda sea cierta, vencida, exigible y que haya resultado impagada (apartado a, del precepto). Conviene recordar, además, que es el acreedor que comunica los datos al fichero el responsable de comprobar que la deuda informada cumple las condiciones del artículo 38.1. del RLOPD. En tal sentido ha de traerse a colación el artículo 43.1 del RLOPD que establece: “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) Constituye un hecho probado que TME trató los datos personales de la denunciante (su nombre, apellidos y DNI) asociados a dos líneas de telefonía móvil de las que ella no era titular toda vez que ha reconocido en sus alegaciones al acuerdo de inicio de este expediente que existió una contratación fraudulenta y que un tercero suplantó la identidad de la denunciante. Así las cosas, la deuda informada a los ficheros de solvencia asociada al DNI de la denunciante no era, frente a ella, una deuda “cierta”. Ante el impago de las deudas generadas por los servicios asociados a los datos personales de la afectada, TME comunicó a los ficheros de solvencia patrimonial ASNEF y BADEXCUG varias incidencias. Está acreditado que informó al fichero ASNEF las siguientes incidencias: Con fecha de alta 08/05/2012 y fecha de baja 17/014/2015, por una deuda de 644,26 euros. Con fecha de alta 27/04/2015 y baja 24/11/2015 por el mismo importe. Con fecha de alta 08/05/2012 y baja el 17/04/2015 por un saldo deudor de 418,18 euros. Con fechas de alta y baja, respectivamente, el 27/04/2015 y el 24/11/2015, por el mismo saldo deudor. Es conveniente subrayar que respecto a las incidencias informadas por TME al fichero ASNEF la operadora denegó el 09/04/2015 la cancelación solicitada por la denunciante ante EQUIFAX indicando como observación que no constaba justificante de pago. Asimismo, que la denunciante ejercitó por segunda vez el derecho de cancelación ante EQUIFAX el 10/04/2015 y que al no responder la entidad informante a la encargada del fichero ASNEF, ésta, de acuerdo con las normas internas de funcionamiento del fichero de solvencia, procedió a la baja cautelar de las dos anotaciones incluidas en ese fichero (baja de 17/04/2015). Sin embargo, días más tarde, TME procedió de nuevo a informar en ASNEF dos incidencias vinculadas a la denunciante (altas de 27/04/2015). TME informó también los datos personales de la denunciante al fichero de solvencia BADEXCUG asociados a dos deudas: Alta de 09/05/2012 y baja de 25/11/2015 por una deuda inicial de 715,36 euros que descendió a 646,26 euros. Alta de 09/05/2012 y baja de 25/11/2015, por una deuda de 418,18 euros. La denunciante también solicitó la cancelación ante EXPERIAN confirmando TME las incidencias. Así pues, los datos personales de la denunciante se incluyeron por TME en dos ficheros de morosos vinculados a dos deuda a las que la denunciante era ajena; deuda que no era cierta, ni vencida ni exigible desde la perspectiva de la afectada por cuanto no se ha acreditado su condición de deudora. La información relativa a la denunciante que TDE comunicó a ASNEF y a BADEXCUG no se ajustó al principio de exactitud y veracidad, corolario del principio de calidad del dato que proclama el artículo 4.3 de la LOPD. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificada en el artículo 44.3.
23. c)de la citada norma, que dispone: “Son infracciones graves, (..)
24. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. V El artículo 130.1 de la LRJPAC proclama el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia. La Audiencia Nacional considera ( Sentencia de 17/10/ 2007,Rec. 63/2006), que el ilícito administrativo previsto en el artículo 44.3.
25. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve y que a tenor del principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 sólo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, incluso a título de simple inobservancia sin que esta simple inobservancia pueda ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva. El Tribunal Supremo viene entendiendo, a propósito de la diligencia debida, que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y añade que en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y que cuando la actividad es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. Trasladando las consideraciones precedentes al supuesto que analizamos, el elemento subjetivo de la culpabilidad se concreta en la grave falta de diligencia demostrada por TME en dos ocasiones distintas: Falta de diligencia al contratar las líneas controvertidas y en un momento posterior, al comunicar los datos personales de la afectada a los ficheros de solvencia patrimonial y crédito. VI El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
26. a)El carácter continuado de la infracción.
27. b)El volumen de los tratamientos efectuados.
28. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
29. d)El volumen de negocio o actividad del infractor.
30. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
31. f)El grado de intencionalidad.
32. g)La reincidencia por comisión de infracciones de la misma naturaleza.
33. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
34. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
35. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
36. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
37. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
38. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
39. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
40. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en la que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La Audiencia Nacional, Sala de lo Contencioso Administrativo, considera que la aplicación del artículo 45.5 LOPD ha de ser individualizada en atención a las circunstancias concretas que resulten de cada caso, correspondiendo al sancionado la carga de acreditar los elementos de los que resulte una disminución "especialmente cualificada" de la culpabilidad o de la antijuridicidad. En el asunto que nos ocupa, TME ha invocado en su escrito de alegaciones al acuerdo de inicio del expediente el artículo 8 del Reglamento de desarrollo del ejercicio de la potestad sancionadora “en relación” con el artículo 45.5.
41. d)LOPD. A propósito de esta cuestión hemos de precisar que la norma del artículo 8 del Real Decreto 1398/1993 es de carácter procesal y su objeto es concretar los trámites a seguir en el caso de que el denunciado reconozca la responsabilidad en los hechos que se le imputan. Por el contrario, la norma del artículo 45.5.
42. d)LOPD, es una norma sustantiva que incide en la determinación de la sanción a imponer. Se trata de dos normas con efectos jurídicos distintos cuyo nacimiento se supedita a diferentes requisitos. En ese sentido, por lo que atañe al artículo 45.5.
43. d)LOPD y a las condiciones para que se produzca el efecto jurídico que detalla el artículo 45.5 ( la aplicación de la sanción según la escala inmediatamente inferior a la establecida para la infracción cometida) es necesario que el reconocimiento de la culpabilidad sea “espontaneo”. Sobre esta condición ha incidido la Audiencia Nacional en su SAN de 10/05/2016 (Rec. 913/2015) que dice: “Por último, aunque deba valorarse positivamente que la compañía demandante haya reconocido en vía administrativa su culpabilidad por los hechos denunciados, constitutivos de la infracción por cuya autoría ha sido sancionada, debemos precisar que el hecho de que este reconocimiento de responsabilidad tuviera lugar en el escrito de alegaciones presentado ante la propuesta de resolución del instructor, como admiten las partes, y no con anterioridad impide su calificación como la circunstancia prevista en el artículo 45.5.d), pues carece de la espontaneidad necesaria para ello.” (El subrayado es de la AEPD) La “espontaneidad” que ha de caracterizar al reconocimiento de la culpabilidad que integra el artículo 45.5.
44. b)LOPD está vinculada con el momento en el que el infractor hace esa declaración de voluntad, de forma que el reconocimiento se produzca nada más tener noticia de los hechos presuntamente infractores. Los precedentes del asunto que analizamos impiden que pueda estimarse la atenuante cualificada del artículo 45.5.
45. d)que TME invoca. Así, y sin perjuicio de la manifestación de la denunciante según la cual realizó una reclamación telefónica ante la operadora, está acreditado que ejercitó el derecho de cancelación en dos ocasiones ante EQUIFAX y en una ocasión ante EXPERIAN. En todas las ocasiones TME denegó la cancelación, excepto la segunda vez en la que ejercitó este derecho ante EQUIFAX. En tal ocasión, TME no respondió dentro de plazo por lo que EQUIFAX dio de baja cautelar las dos anotaciones vinculadas al DNI de la denunciante en fecha 14/04/2015 (reflejada como baja el 17/04/2015). Rápidamente, TME, en un plazo de diez día (el 27/04/2015) comunica de nuevo los datos de la denunciante a ASNEF asociados a las dos deudas que se dieron de baja cautelarmente. Así pues, la sanción que procede imponer a TME por la infracción de los principios del consentimiento y de calidad del dato estará comprendida entre las previstas para las infracciones graves (ex artículo 45.2. LOPD). Centrándonos en las circunstancias del artículo 45.4 LOPD que permiten graduar la cuantía de la sanción, la Agencia aprecia que concurren como agravantes las siguientes: - - Apartado a), carácter continuado de la infracción. Los datos de la denunciante estuvieron incluidos en el fichero ASNEF durante casi tres años y más de tres años en BADEXCUG sin que TME cumpliera las condiciones que legitiman esas inclusiones. Además, los datos de la afectada fueron objeto de tratamiento durante un tiempo superior en los ficheros de TME sin el consentimiento de la titular.
46. d)el volumen de negocio o actividad del infractor. Es un hecho notorio que no precisa prueba que estamos ante una de las principales operadoras del mercado nacional.
47. f)el grado de intencionalidad. Esta expresión debe entenderse como equivalente a grado de culpabilidad y, como ha quedado dicho, TME ha omitido la más mínima diligencia en su actuación por lo que existió una “grave falta de diligencia”.
48. h)La naturaleza de los perjuicios causados a las personas interesadas. Sobre este particular señalar, por una parte, que la Audiencia Nacional ha declarado, a propósito de la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, (por todas SAN de 16/02/2002, Rec. 1144/1999, Fundamento de Derecho Cuarto) que “...la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, De la exposición precedente resulta, en primer término, que no concurre ninguna de las atenuantes cualificadas del artículo 45.5 LOPD. En segundo lugar, que se aprecian las agravantes descritas en los apartados a, d, f, y h del artículo 45.4 LOPD. Tomando en consideración las circunstancias anteriores, a la luz del principio de proporcionalidad de la sanción que proclama el artículo 130.3 de la Ley 30/19992 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC), se acuerda sancionar a TME con una multa de 50.000 euros por cada una de las infracciones de la LOPD de las que ha quedado acreditada su responsabilidad - artículos 6.1 y 4.3 de la LOPD, en relación con el 29.4 de la misma norma y 38.1.a, del RLOPD- cuantía próxima al importe mínimo fijado por el artículo 45.2 de la LOPD para las infracciones graves.>> III Por lo tanto, en el presente recurso de reposición, la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por TELEFÓNICA MÓVILES ESPAÑA, S.A.U., contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 3 de marzo de 2017, en el procedimiento sancionador PS/00370/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad TELEFÓNICA MÓVILES ESPAÑA, S.A.U. TERCERO: Advertir a la sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
49. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos