← España

REPOSICION-PS-00373-2012

1/8 Procedimiento nº.: PS/00373/2012 ASUNTO: Recurso de Reposición Nº RR/00152/2013 Examinado el recurso de reposición interpuesto por la entidad Vodafone España SAU contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00373/2012, y en base a los siguientes, HECHOS PRIMERO: Con fecha 11 de enero de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00373/2012, en la que se acordó IMPONER a la entidad Vodafone España SAU, 1. Por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.

  1. b)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. 2. Por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  2. c)de dicha norma, multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 17/01/13, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00373/2012, quedó constancia de los siguientes: procedimiento sancionador, 1. : La persona denunciante, A.A.A. con DNI ***DNI.1 y domicilio actual en (C/.........................1) (Madrid) ordenó a su banco la devolución del recibo de 177,35 €, que Vodafone España SAU había cargado en su cuenta el día 18/05/11, y con quien no mantenía relación contractual. 2. La persona denunciante al día siguiente formuló reclamación escrita a Vodafone España SAU diciéndole que ha dado orden al banco de devolver el recibo cargado y todos los que vengan. pues no es cliente de la compañía. El 20/05/11 presenta denuncia ante la DG de Consumo de la Comunidad de Madrid. Este organismo traslada copia de dicha denuncia a esta Agencia (entrada 20/07/11). 3. La persona denunciante el 22/07/11 recibe de Vodafone España SAU requerimiento de pago de 177,35 €, saldo pendiente en la cuenta ***CTA.1. Inmediatamente formula nueva reclamación a Vodafone por ese requerimiento y reiterando la anterior de 19 de mayo. 4. El 31/08/11 la persona denunciante recibe escrito de Experian comunicándole la inclusión el 21/08/11 por Vodafone España SAU de sus datos personales en el fichero Badexcug asociados a una deuda de 177,35€. La anotación fue cancelada el 13/11/11 según informe de 10/02/12 (página 21). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 5. Vodafone por escrito de 16/11/11 dirigido a la OMIC del Ayto. de Madrid afirma: “Queremos comunicarles, que tras realizar las gestiones oportunas y verificar los hechos que la Sra. A.A.A.nos ha descrito, le informamos que tras comprobar que el servicio ***TEL.1 no presenta consumo y tampoco se recibieron los terminales, a fecha 07 de noviembre se procede a realizar abono N° ***ABONO.1 por importe de 177.35 € (impuestos indirectos incluidos), sobre la cuenta Vodafone número ***TEL.2 por concepto de penalización por baja anticipada y cuota mensual correspondiente a la factura ***FACTURA.1, así mismo informamos que con este abono queda sin importes pendientes de pago a Vodafone.” 6. En el fichero de clientes de Vodafone figura la persona denunciante como A.A.A. con DNI ***DNI.1 y domicilio en (C/.........................1) (Madrid) como titular (antigüedad 09/01/07) de dos cuentas de telefonía móvil, además de la que es objeto de la denuncia (cuenta ***CTA.1, línea ***TEL.1) con alta el 07/04/11 y baja el 14/04/11. 7. Vodafone afirma en su informe de 20/02/12 y alegaciones de 10/08/12 que el contrato de la línea ***TEL.1 fue realizado por una distribuidora contratada para ese fin, pero no lo acredita con la copia de dicho contrato y copia del DNI de la persona denunciante. La factura que aporta, fue emitida el 01/02/09, no acredita ninguna circunstancia relativa a la línea objeto de la denuncia. TERCERO: Vodafone España SAU ha presentado el 18/02/13 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en la reiteración de las alegaciones a la propuesta de resolución. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por Vodafone España SAU, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<< II. La LOPD establece: “Artículo 6. Consentimiento del afectado 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7 apartado 6 de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El principio del consentimiento del afectado para la recogida o tratamiento de los datos personales del mismo es uno de los pilares de la protección de datos en el vigente ordenamiento jurídico español, imprescindible para preservar el derecho fundamental constitucionalmente protegido de la intimidad de las personas. III. Se imputa a Vodafone en el presente procedimiento, la comisión de una infracción del artículo 6.1 de la LOPD, que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...”. El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Carecía del consentimiento inequívoco de la persona afectada el tratamiento efectuado por Vodafone cuando los datos personales del denunciante causaron alta en su fichero como cliente por 1 contrato de servicio telefónico para línea de móvil emitiéndose, según afirma, facturas no habiendo quedado acreditado que tal contratación se hubiese formalizado o tuviera el consentimiento inequívoco o el conocimiento de la persona denunciante. Vodafone no ha aportado prueba documental que acredite la contratación de dichos servicios telefónicos antes bien, los documentos que obran en el expediente, evidencian, que, en efecto, no contaba con el consentimiento del denunciante para el tratamiento de sus datos personales, ni procuro recabarlo después de la recogida inicial de datos. Así lo ha manifestado de forma reiterada la persona denunciante y su actuación en todo momento corrobora la no existencia de consentimiento para la contratación. No se han aportado documentos suscritos por el denunciante otorgando su consentimiento o contratos firmados. Vodafone no recibe ningún documento ni escrito ni electrónico que acredite la identidad del titular de los contratos y sin hacer ninguna comprobación ni actuación de control incorpora los datos al fichero de clientes y continúa con la gestión de esos contratos. Para que el tratamiento de los datos de la persona denunciante por parte de dicha empresa resultara conforme con los preceptos de la LOPD, hubieran debido concurrir en el procedimiento examinado alguno de los supuestos contemplados en el artículo 6 de la Ley mencionada. Tampoco concurre ninguno de los supuestos exentos de prestar tal consentimiento, de modo que se considera infringido el citado artículo 6.1 de la Ley Orgánica 15/1999, 13 de diciembre, de Protección de Datos de Carácter Personal. Corresponde a dicha empresa acreditar que cuenta con el consentimiento de la persona afectada para el tratamiento de sus datos personales, máxime cuando ésta niega haberlo otorgado. IV También se imputa a Vodafone, en el presente procedimiento, la comisión de una infracción del artículo 4.3 de la LOPD, que señala lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el creedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38 del Reglamento de desarrollo de la LOPD, “Requisitos para la inclusión de datos” dispone lo siguiente: 1. “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  3. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada y respecto de la cual no se haya entablado reclamación judicial, arbitral o administrativa, o tratándose de servicios financieros, no se haya planteado una reclamación en los términos previstos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por Real Decreto 303/2004, de 20 de febrero.
  4. b)(…).
  5. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Por tanto, de acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que ésta haya sido requerida previamente de pago antes de comunicar los datos del deudor al responsable del fichero común. En este caso, Vodafone ha emitido facturas asociadas a los datos personales de la denunciante sin que haya acreditado el consentimiento de ésta para el tratamiento de sus datos, asociando los datos de la afectada a unas deudas que no pueden estimarse correctas, y ante el impago, esa entidad informó los datos personales de la denunciante al fichero de solvencia patrimonial Badexcug. Los hechos anteriormente relatados son contrarios al principio de calidad de datos consagrado en el artículo 4.3, y en relación con el 29.4 de la LOPD, toda vez que TME comunicó a los ficheros de solvencia citados los datos personales de la denunciante, sin que dichas inscripciones hayan respondido a la situación actual de la misma Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es él el que conoce si la deuda realmente existe o si ha sido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 saldada o no, siendo las entidades informantes las que deciden a quién dan de alta o de baja. En el presente caso, ha quedado acreditado que Vodafone instó el alta de los datos relativos a la denunciante en el fichero Badexcug sin haber comprobado la exigibilidad de la deuda a la persona que figura como titular de la misma, a pesar de los impagos. No acredita haber realizado ninguna actividad de comprobación. La deuda que anota en dicho fichero como debida por la denunciante no puede acreditar que sea exacta, cierta y exigible, que refleje la realidad jurídica del denunciante respecto a la imputada. No puede ignorarse que no hay contratación vigente entre la denunciante y la persona imputada, y por tanto tampoco deuda. Siendo esto así, Vodafone hizo uso de unos datos muy inexactos. Estos hechos son contrarios al principio de calidad de datos y, por tanto, contravienen lo dispuesto en el artículo 4.3 de la LOPD. V. Las infracciones de los artículos 4.3 y 6.1 de la LOPD se hallan tipificadas como graves en el artículo 44.3.
  6. d)de dicha norma, que considera como tal (grave), “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave“. El tratamiento de datos personales sin consentimiento constituye un incumplimiento de los aludidos principios de la protección de datos establecidos en la citada ley; al igual que los datos inexactos en las anotaciones en los ficheros de morosos del principio de calidad de datos que esa Ley establece. VI. El artículo 45 de la LOPD, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, a que no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados c),
  22. d)y
  23. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos. Junto a ello ha de significarse que pese a las reclamaciones ante Vodafone y Consumo de Madrid (20/05/11) recibe requerimiento de pago el 22/07/11 y le incluye en Badexcug el 21/08/11, y sigue tratando los datos hasta el 13/11/11 que cancela la inclusión en el fichero de morosos. No se aprecia reacción diligente para regularizar la situación irregular en esos tratamientos de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Por todo ello, procede imponer para cada infracción una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener cada una de las infracciones imputadas la consideración de grave. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, el carácter continuado de la infracción, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal y el volumen de negocio de la misma, se impone dos multas de 50.000 € cada una. III Por lo tanto, en el presente recurso de reposición, Vodafone España SAU no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Vodafone España SAU contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 11 de enero de 2013, en el procedimiento sancionador PS/00373/2012. SEGUNDO: NOTIFICAR la presente resolución a la entidad Vodafone España SAU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.