REPOSICION-PS-00430-2017

1/8 Procedimiento nº: PS/00430/2017 ASUNTO: Recurso de Reposición Nº RR/00161/2018 Examinado el recurso de reposición interpuesto por la entidad XFERA MÓVILES, S.A. (anteriormente MAS MOBIL TELECOM 3.0, S.A.U.) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00430/2017 y en base a los siguientes HECHOS PRIMERO: Con fecha 5 de febrero de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00430/2017, en virtud de la cual se imponía a XFERA MÓVILES, S.A. (anteriormente MAS MOBIL TELECOM 3.0, S.A.U.), una sanción de 20.000 €, por la vulneración de lo dispuesto en el artículo 4 apartados 3 y 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 9/02/2018, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00430/2017, quedó constancia de los siguientes: procedimiento sancionador, <<…PRIMERO: En fecha 21 de septiembre de 2016 tuvo entrada en esta Agencia escrito del denunciante contra la entidad denunciada, dado que, al intentar contratar servicios de telecomunicaciones con esta entidad, se le remitió un contrato en el que constaba una dirección de correo electrónico, B.B.B., que él no había facilitado. Ese correo electrónico no estaba operativo desde hacía años y, aunque en su momento pudiera haberlo obtenido de manera legítima MASMOVIL, lo habrían conservado durante años a pesar de no existir relación contractual entre las partes. Los hechos denunciados tuvieron lugar a fecha 31 de agosto de 2016. Para acreditar estos hechos aportaba copia de la siguiente documentación:  Copia del contrato citado, junto con las condiciones generales y anexos.  Última factura emitida por MASMOVIL el 1 de febrero de 2013 del anterior periodo en el que fue cliente.  Correo electrónico de 13 de marzo de 2013 en el que se cita la portabilidad de la línea C.C.C. del denunciante.  Noticia de 14 de marzo de 2013 en la que se informa sobre el cese del servicio de las cuentas del dominio terra.es el 16 de abril de 2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 SEGUNDO: De la captura de pantalla proporcionada por MASMOVIL se desprende que los datos del denunciante constan en el fichero de clientes de la entidad vinculados a dos contratos con identificadores ***ID.1 y ***ID.2. TERCERO: De la captura de pantalla proporcionada por MASMOVIL se desprende que el contrato ***ID.1 está vinculado a la línea C.C.C. cuya activación se produce el 31/08/2011 con fecha de baja 15/02/2013. La dirección de correo electrónico vinculada a este contrato es B.B.B.. CUARTO: Tal y como consta en la información facilitada por el denunciante, el 16/04/2013 las cuentas de correo electrónico del dominio terra.es dejaron de funcionar. QUINTO: De la captura de pantalla proporcionada por MASMOVIL se desprende que el contrato ***ID.2, está vinculado a la línea C.C.C., además de a otras dos líneas móviles y una línea fija con acceso a Internet por ADSL, cuya activación se produce el 31/08/2016 siendo la fecha de baja 29/09/2016. El primer escrito adjunta un fichero de audio con la grabación de la llamada en la que se realiza la contratación. El correo electrónico proporcionado durante la misma es A.A.A.. En la captura de pantalla incluida por MASMOVIL en su último escrito de respuesta se observa que la dirección de correo electrónico vinculada a este contrato es B.B.B.. SEXTO: El denunciante recibe una copia del contrato ***ID.2, que aporta en su primer escrito de denuncia. Tanto en el propio contrato como en el anexo y el formulario de desistimiento consta como dirección de correo electrónico de contacto B.B.B....>> TERCERO: XFERA MÓVILES, S.A. (anteriormente MAS MOBIL TELECOM 3.0, S.A.U.) (en lo sucesivo el recurrente) ha presentado en fecha 6 de marzo de 2018, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en: <<…De forma preliminar, y manifestado nuestra oposición a los argumentos recogidos por la Resolución, nos reiteramos en las alegaciones vertidas en nuestros anteriores escritos presentados ante el Acuerdo de Inicio, el Acuerdo de Práctica de Pruebas y la Propuesta de Resolución del expediente de referencia, dándolas por reproducidas en su integridad (…) LA DIRECCIÓN DE CORREO ELECTRÓNICO “ B.B.B.” NO PUEDE SER CONSIDERADO UN DATO DE CARACTER PERSONAL (…)

1. a)El 16 de abril de 2013 dejaron de funcionar todas las cuentas de correo de “@terra.es”, entre las que se encontraba la cuenta del Denunciante “ B.B.B.”, lo que supuso que todos sus usuarios dejaron de poder enviar y recibir correos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 a través de las mismas ya que no se produjo ninguna migración o reenvío automático (ver pág. 37 del expediente administrativo). Por tanto, desde dicha fecha, el citado dato ya no concernía al Denunciante ni permitía su identificación. Una vez dicha dirección de correo electrónico había dejado de funcionar, ésta ya no le correspondía al Denunciante, y, además, con dicho dato era imposible poder dar con su identidad ni poder comunicarse con él. Es decir, la dirección de correo “ B.B.B.” se había convertido en un dato disociado, ya que no permitía la identificación del Denunciante (…) Por tanto, si resulta imposible consultar al servidor que gestiona el servicio de correo electrónico, ya que ha dejado de funcionar, no es posible poder identificar a la persona física, y por ello la citada dirección de correo electrónico dejó de ser un dato de carácter personal, con lo que MÁSMÓVIL no tenía obligación ninguna de proceder a su cancelación (…) Así pues, y de conformidad con lo expuesto, es evidente que la Resolución infringe el principio de proporcionalidad en la determinación de la sanciones impuestas, toda vez que no resulta ponderada ni proporcionada a la gravedad de la infracción supuestamente cometida ni a la entidad de los hechos, y ya que en el presente escrito mi representada ha expuesto una serie de razones que justifican su minoración, debiendo simplemente destacarse que en cuanto a la ausencia de intencionalidad, las infracciones, de haberse cometido, lo ha sido de forma totalmente culposa…>> FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<…II El artículo 4 de la LOPD al regular la Calidad de los datos, establece: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos. 3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. 4. Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16. 5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados.” III El artículo 5.1.
2. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) define la cancelación como: “Procedimiento en virtud del cual el responsable cesa en el uso de los datos. La cancelación implicará el bloqueo de los datos, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades. Transcurrido ese plazo deberá procederse a la supresión de los datos.” IV Establece el art. 4 en sus apartados 3 y 5 de la LOPD que: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.” “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento íntegro de determinados datos.” En este sentido la Sentencia de 23/09/2011 recaída en el recurso contenciosoadministrativo nº 530/2010 señala en su Fundamento de Derecho III, que (…) Uno de los principios que inspira la legislación sobre tratamiento de los datos de carácter personal, es el de calidad de los datos. Este principio implica, entre otras cosas, que los datos sean adecuados, pertinentes y no excesivos en relación con el ámbito y la finalidad para la cual se hubieran recabado -art 4.1 de la LOPD - y que sean exactos y respondan con veracidad a la situación actual del afectado -art 4.3 de la LOPD -. Por lo tanto, si los datos han dejado de ser necesarios para los fines para los cuales fueron recabados o registrados o resultan inexactos, se debe proceder a su cancelación, sin necesidad de solicitud del afectado. Y así se infiere del propio tenor literal de los arts. 4.4 y 4.5 de la LOPD, que utiliza la expresión imperativa " serán cancelados" y sin condicionarla a la existencia de una previa solicitud del afectado. En suma, la norma establece la obligación del responsable del fichero, de proceder de oficio y con la debida diligencia, a cancelar, en su caso, los datos inexactos o que han dejado de ser necesarios para la finalidad del fichero, y sin necesidad de solicitud previa del afectado (…) V En el presente caso, ha resultado probado que la entidad denunciada mantenía los datos del denunciante, sin bloquear y que no actualizó los datos cuando el denunciante facilitó su nueva dirección electrónica, por cuanto formalizado telefónicamente un nuevo contrato con dicha entidad, sin embargo MASMOVIL mantuvo los datos no actualizados en el registro del denunciante e incorporó en el contrato en papel la dirección de correo electrónico, que estaba de baja desde el 15/02/2013. En relación a lo expuesto, la obligación prevista en el art. 4.5 LOPD y la conducta prevista en el art. 44.3
3. c)de la misma norma, consistente en “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave. Se puede afirmar que la entidad denunciada ha cometido la conducta tipifica y antijurídica, siendo tributaria de la imposición de una sanción por infracción a la LOPD. VI El artículo 45 de la LOPD, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
4. a)El carácter continuado de la infracción.
5. b)El volumen de los tratamientos efectuados.
6. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
7. d)El volumen de negocio o actividad del infractor.
8. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
9. f)El grado de intencionalidad.
10. g)La reincidencia por comisión de infracciones de la misma naturaleza.
11. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
12. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
13. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
14. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
15. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
16. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
17. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
18. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En el presente caso procede apreciar el 45.5.
19. a)de la LOPD por las siguientes circunstancias del 45.4 de la LOPD.
20. b)El volumen de los tratamientos efectuados, ya que la infracción se refiere únicamente a la dirección de correo del denunciante.
21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas, ya que no consta que se hayan producido perjuicios al denunciante sobre todo cuando el contrato solicitado ni siquiera llegó a formalizarse En consecuencia, en el presente caso procede imponer una sanción en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 importe de 20.000 € por la infracción grave del artículo 4 apartados 3 y 5 de la LOPD…>> III No obstante, teniendo en cuenta que en el Registro Mercantil Central figura, en la Inscripción 138 de 14/12/2017, la extinción de la entidad MAS MOVIL TELECOM 3.0 S.AU por fusión por absorción, al haber sido absorbida por la entidad XFERA MÓVILES, S.A., procede valorar como atenuante esta circunstancia, al amparo de lo dispuesto en el artículo 45.4.
22. j)de la LOPD, y reducir la sanción al importe de 10.000 €. Por todo ello, en el presente caso procede estimar parcialmente el presente recurso y rebajar la sanción al importe 10.000 €. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR PARCIALMENTE el recurso de reposición interpuesto por XFERA MÓVILES, S.A. (anteriormente MAS MOBIL TELECOM 3.0, S.A.U.) con CIF D.D.D.8548 contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 5 de febrero de 2018, en el procedimiento sancionador PS/00430/2017, e imponer la sanción en la cuantía de 10.000 € (diez mil euros), de acuerdo con el artículo 45 apartados 2 y 5 de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad XFERA MÓVILES, S.A. (anteriormente MAS MOBIL TELECOM 3.0, S.A.U). TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
23. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es