1/15 Procedimiento PS/00490/2014 Resolución del Recurso de Reposición Nº RR/00313/2015 Examinado el recurso de reposición interpuesto por la entidad PEPEMOBILE SLU contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00490/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 24 de febrero de 2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00490/201, por la que se acuerda PRIMERO: Archivar el procedimiento respectos a las infracciones del 6.1 y 4.3 de la LOPD imputadas a JAZZ TELECOM SAU. SEGUNDO: IMPONER a la entidad PEPEMOBILE SLU las siguientes sanciones: 1. Por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, con una multa de 20.000 euros (veinte mil euros), de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. 2Por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma, con una multa de 20.000 euros (veinte mil euros), de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 02/03/15, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00490/2014, quedó constancia de los siguientes: procedimiento sancionador, <<< HECHOS PROBADOS 01. EXPERIAN en su informe de 05/12/13 hace constar que en el fichero BADEXCUG figuran tres operaciones impagadas del sector telecomunicaciones respecto del NIF ***NIF.1, a nombre de A.A.A.: 1)Operación nº ***NÚMERO.1, informada por PEPEPHONE con fecha de alta 19/05/2013, en relación a una deuda de 86,59 €. La inclusión fue notificada mediante el envío de una carta a Calle (C/............1) Barcelona. Esta deuda seguía vigente en el momento de responder al requerimiento formulado desde la AEPD. 2)Operación nº ***NÚMERO.2, informada por PEPEPHONE con fecha de alta 19/05/2013, en relación a una deuda de 96,73 €. Fue enviada notificación a calle (C/............1) Barcelona. Esta deuda seguía vigente en el momento de responder al requerimiento formulado desde la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 3)Operación nº ***NÚMERO.3, informada por JAZZTEL con fecha de alta 17/11/2013, en relación a una deuda de 1.316,64 €. €. Fue enviada notificación a calle (C/............2) Barcelona. Esta deuda seguía vigente en el momento de responder al requerimiento formulado desde la AEPD. EXPERIAN afirma que en su Servicio de Protección al Consumidor no consta ningún expediente asociado al NIF ***NIF.1. 02. PEPEPHONE hace constar -en su informe recibido en la AEPD el 04/07/14- que en sus sistemas el NIF ***NIF.1 se encuentra asociado a A.A.A., con domicilio en calle (C/............1) Barcelona; teléfono de contacto ***TEL.1 y dirección de correo electrónico .....@yahoo.es. 1) Que este cliente figura como titular de las líneas ***TEL.2, ***TEL.3 y ***TEL.1, dadas de alta el 01/03/2013 y aún vigentes en el momento de responder el requerimiento formulado desde la AEPD. 2)Que el canal de contratación de las tres líneas fue la web. En este sentido, aporta copia de un documento que remitió a la Dirección General de Consumo de la Comunidad de Madrid en noviembre de 2013, en el que se expone la información facilitada y el procedimiento de contratación a través de la web. 3)Que los tres contratos generados para el alta de las líneas mencionadas están fechados a 01/03/13. Indica respecto a ellos que: a. ***TEL.1. Se trata de una portabilidad de una línea que se encontraba en la modalidad de prepago con el operador LlamaYa, con la SIM nº ***SIM.1. b.***TEL.2. Se trata de una portabilidad de una línea que se encontraba en la modalidad de prepago con el operador Lycamobile, con la SIM nº ***SIM.2. c. ***TEL.3. Se trata de una portabilidad de una línea que se encontraba en la modalidad de contrato con el operador Lycamobile, con la SIM nº ***SIM.3. 4)Que una vez cumplimentados los datos exigidos en la web, el contrato generado se remitía a la dirección de correo electrónico facilitada por el cliente (en este caso .....@yahoo.es). Dicho contrato firmado electrónica mente, enviado a empresa de servicios, con la intervención de notario, era remitido a la dirección citada, con resultado de “documento no aceptado por tiempo límite superado” en los tres casos. 5)Que en la copia aportada de los tres albaranes de entrega de la empresa ASM se refleja que con fecha 06/03/2013 figura como entregados envíos de Pepephone en la dirección postal de A.A.A., calle (C/..........1) Barcelona. Los albaranes están firmados mediante una rúbrica ilegible (distinta a la firma del denunciante en sus escritos) con el número de DNI ***NIF.1, la fecha y la hora manuscritas en las tres. 6)Que en la copia de los SMS dirigidos al cliente se le informa de los consumos realizados (un SMS de 19/03/2013) y de la devolución de facturas producida (seis SMS de 11/04/2013). Y en copia de los justificantes de envío de dos correos electrónicos remitidos el 11/04/2013 informa de la devolución de facturas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 7)Que no le constan reclamaciones interpuestas por el cliente. 8)Que las facturas emitidas, un total de cinco, fueron emitidas en marzo de 2013. Dos de ellas en relación a la línea ***TEL.1 (una relativa a terminales y alta, de importe 0, y otra relativa a consumo, de importe 96,73 €) y tres respecto a las líneas ***TEL.2 y ***TEL.3 (dos relativas a terminales y alta, de importe 0, y otra relativa a consumo, de importe 86,59 €).Todas están pendientes de pago. 03. JAZZTEL hace constar que en sus sistemas el NIF ***NIF.1 se encuentra asociado a A.A.A., con teléfono de contacto ***TEL.1, figura como titular de la línea ***TEL.4, dada de alta el 26/02/2013 y de baja el 23/08/2013, por impago. 1)Que el canal de contratación de la línea fue telefónico. Aporta copia de la grabación de la verificación de la contratación tras la llamada telefónica que solicita el servicio, fechada a 26/02/2013. En la misma se puede comprobar lo siguiente: a. La operadora pregunta a su interlocutor si es A.A.A., y dice que sí. b. La operadora pregunta cuál es su DNI y responde ***NIF.1. c. La operadora solicita una dirección de e-mail, y responde que no tiene. d. La operadora solicita un teléfono de contacto, y facilita el ***TEL.1. e. La operadora pregunta cuál es la dirección para la que se contrata el servicio de ADSL + llamadas, y responde que (C/..........2) Barcelona. 2)Que en sus bases de datos está reflejada la entrega el 10/04/2013 de un paquete dirigido a A.A.A. a Calle (C/..........2) Barcelona, conteniendo un router y un manual ADSL. No consta firma del receptor 3)Que no consta que existan reclamaciones interpuestas por el cliente. 4)Que emitió siete facturas entre el 16/03/2013 y el 16/09/2013, por importes de 2,67 €, 37,39 €, 37,39 €, 1.138,27 €, 18,11 €, 18,14 € y 4,68 €. Todas se encuentran pendientes de pago. 04. 05/02/15, entrada del escrito de alegaciones a la propuesta presentado por Pepephone, al que adjunta impresión de pantalla de la base de Experian donde consta que el 26/06/14 se produjo la baja cautelar en Badexcug de las inclusiones informadas por Pepephone: --- Operación nº ***NÚMERO.1, por importe de 86,59 €. --- Operación nº ***NÚMERO.2 por importe de 96,73 €. >>> TERCERO: PEPEMOBILE SLU ha presentado el día 31 de marzo de 2015 en el Servicio de Correos, con entrada el 08/04/15 en esta Agencia Española de Protección de Datos, recurso de reposición. Alega: ---Que los datos tratados eran provenientes de una relación jurídica anterior y se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 consideraron correctos. ---Que el sistema de envío de la tarjeta SIM garantiza la entrega a la misma persona que contrató. ---Que existe un control de la entidad donante en la portabilidad sobre la identidad de la persona. ---Que ha actuado con razonable diligencia en la adopción de medidas para la comprobación de identidad. ---Que la deuda era cierta, vencida y exigible, y se le requirió el pago en numerosas ocasiones antes de incluirle en el fichero de morosos. ---Que existe concurrencia de infracciones derivadas de la falta inicial de consentimiento. ---Que concurren las circunstancias previstas en el artículo 45.4.e),
- h)y
- j)de la LOPD que no han sido debidamente valoradas para la fijación del importe de las sanciones. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II Los hechos declarados probados arriba reseñados son la base fáctica de la resolución recurrida y a ellos se aplicaron los fundamentos de derecho, tal como se trascriben a continuación: <<< II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el caso de Jazztel, el tratamiento de datos realizado por la entidad denunciada fue llevado a cabo empleando una diligencia razonable. En este sentido, ha de tenerse en cuenta que aporta copia de la grabación de verificación donde se comprueban todos los datos personales aportados por la persona contratante y la coincidencia del DNI con el del denunciante. Que en la misma grabación consta que se le advierte de la obligación de devolver firmado el contrato que se le enviará con el equipo. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de 29/04/2010 al establecer que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato.” De acuerdo a estos criterios, se puede entender que Jazztel empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación, grabando la conversación telefónica de verificación de contratación. Junto a ello debe resaltarse que desde el momento en que la entidad denunciada tuvo conocimiento por la solicitud de información de la Agencia de que la contratación de la línea controvertida podía tener su origen en un ilícito penal, procedió C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 a averiguar y verificar dichos extremos, realizando las gestiones precisas a los efectos de tramitar la suspensión de la línea controvertida, con el fin de no ocasionar perjuicio alguno a la denunciante, cancelando a su vez la inclusión en Badexcug. Habría que añadir que la posible falsificación de la grabación o la suplantación deben sustanciarse en los ámbitos jurisdiccionales pertinentes de la vía penal. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a Jazztel una vulneración de la normativa en materia de protección de datos. IV Se imputa a Pepephone una vulneración del artículo 6.1 de la LOPD dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Son elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En este caso, los datos personales de la persona denunciante fueron incorporados a las bases de datos de clientes de la compañía, sin que haya quedado acreditado que dispusieran del consentimiento de la persona denunciante para la recogida y el tratamiento posterior de sus datos personales. Por tanto, corresponde a dicha entidad acreditar que cuenta con el consentimiento de la persona denunciante para el tratamiento de sus datos personales, máxime cuando ésta niega haberlo otorgado, y cuando no consta haya efectuado ninguna comprobación o verificación. No consta que dispongan de documentos, sea cual sea el soporte, que acredite la identidad de quien contacto con las compañías para solicitar los servicios a través de su página web. Los datos personales (DNI) de la persona denunciante fueron registrados en los ficheros de Pepephone, y fueron tratados para la emisión de contratos, facturas por servicios asociados al DNI de la persona denunciante y para ser incluidos en ficheros de solvencia patrimonial y crédito. En consecuencia, ha efectuado un tratamiento de los datos personales sin que haya acreditado en el procedimiento que cuente con el consentimiento de la misma para su tratamiento, ni que cuente con habilitación legal para ello. Dicho tratamiento de datos vulnera el principio del consentimiento recogido en el artículo 6 de la LOPD, por cuanto el mismo no se realizó con el consentimiento de la denunciante ni se ha realizado con la concurrencia de ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD, que hubieran permitido a tratar los datos del denunciante. V El artículo 44.3.
- b)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 considera infracción grave: “
- b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. El principio cuya vulneración se imputa a Pepephone, el del consentimiento para el tratamiento de los datos personales, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional, entre otras, las de fechas 25/05/01 y 05/04/02. En el presente caso la imputada tramitó la contratación por portabilidad de tres líneas de telefonía móvil. La CMT ha regulado unos procedimientos administrativos cooperativos entre los operadores para la gestión y tramitación de las portabilidades solicitadas por los clientes, entendiéndose por portabilidad el cambio de operador conservando la numeración de la línea. Para facilitar la gestión de las portabilidades se ha establecido un nodo central, gestionado por la entidad INDRA, designado por la CMT en coordinación con los operadores. Los usuarios que solicitan la portabilidad de su línea deben de hacerlo en el operador receptor. Así, los clientes de un operador (donante) que desean portar su línea a otro operador (receptor), deben de solicitarlo al operador receptor. El operador receptor será el encargado, además de recabar los datos del solicitante para la tramitación del alta como cliente de su compañía, de realizar la solicitud de portabilidad en el nodo central de portabilidades para su tramitación. La tramitación de una portabilidad conlleva la confirmación (o denegación en su caso) de la misma por el operador donante. Para ello, el operador donante debe comprobar que: En el caso de líneas postpago el NIF/CIF del solicitante de la portabilidad (aportado por el operador receptor) coincide con el del cliente a portar para la línea en cuestión (MSISDN). En el caso de líneas prepago debe comprobar que el ICC de la tarjeta coincide con el registrado para la línea (MSISDN). En estos casos, únicamente existe obligación de comprobar la coincidencia de este código de tarjeta, no comprobando la coincidencia de NIF/CIF, ni ningún otro dato de carácter personal. En ambos casos, postpago y prepago, es de obligado cumplimiento la comprobación de dichos datos, debiendo el operador donante denegar la portabilidad si no existe coincidencia en los datos. Las compañías donantes solo comprueban el ICC de la tarjeta no la identidad, luego no puede invocarse como forma de verificación de los datos personales del titular de esa tarjeta SIM. Ha de acudirse para ello a la forma de contratación realizada. Según la imputada se hizo a través de la página web de la compañía, pero no se ha acreditado en forma alguna dicha contratación, tampoco se ha acreditado una verificación posterior de los datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 Es de señalar también que –conforme al apartado "1. Inicio del Servicio" de las Condiciones Particulares de Contratación del contrato- la prestación del servicio se iniciará dentro de los quince días siguientes a la firma del contrato. La operadora incumplió ese requisito e inicio la prestación del servicio sin la firma de los contratos. El envío de contratos no fue recepcionado por el solicitante y los contratos nunca fueron firmados. Los envíos de las tarjetas SIM fueron recepcionados, pero no consta anotación ninguna en el albarán de entrega de que se comprobara la identidad de la persona receptora con el DNI auténtico de la misma, ni se acompaña copia del DNI que permita acreditar diligencia suficiente. En el presente caso, el tratamiento de datos realizado por la entidad imputada fue llevado a cabo sin emplear una diligencia razonable. Pepephone ha incurrido en las infracción descrita, ya que ha vulnerado el principio del consentimiento, consagrado en el 6.1 de la LOPD, cuando incluyó y mantuvo datos incorrectos del denunciante en sus ficheros y emitió facturas y avisos sin su consentimiento y en Badexcug, que encuentra su tipificación en el artículo 44.3.
- b)de la citada Ley Orgánica. VI Igualmente se imputa a Pepephone la infracción del artículo 4.3 de la citada Ley que dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. El Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. En el caso que nos ocupa no ha sido acreditada por Pepephone la contratación con la persona denunciante y por tanto no puede exigírsele el pago de una deuda que corresponde a un tercero. Tampoco se ha acreditado que, antes de las inclusiones en el fichero Badexcug de los datos del denunciante asociados a una deuda, se le hubiera notificado el requerimiento previo. En los escritos aportados como requerimientos no consta ningún identificador o referencia, que a su vez se refleje en el sobre de envío, en la relación del albarán de entrega en correos y en el informe de la empresa de servicios contratada, en la cual debe constar –si procede- la devolución de dichos envíos. Es el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD y las normas de desarrollo, puesto que como tal acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda anotada realmente existe. Pepephone no ha cumplido los requisitos. VII El artículo 44.3.
- c)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
- c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” En este caso, ha incurrido en las infracción descrita ya que ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD, cuando mantuvo datos incorrectos de la persona denunciante en sus ficheros, en las facturas emitidas y en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 fichero Badexcug sin requerimiento previo, que encuentran su tipificación en el artículo 44.3.
- c)de la citada Ley Orgánica. VIII Solicita la imputada la aplicación de los beneficios del concurso medial. Examinada la conducta de la compañía imputada y la tipificación que de la misma se hace en los apartados
- b)y
- c)del artículo 44.3 LOPD en relación con los artículos 4.3 y 6.1 LOPD, no se aprecia concurso medial entre las infracciones cometidas. El artículo 4 del Real Decreto 1398/1993, de 4 de agosto, que aprueba el Reglamento de Procedimiento para el ejercicio de la potestad sancionadora por la Administración del Estado, dispone "En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida". Por tanto, el artículo 4.4 del Real Decreto 1398/1993, de 4 de agosto, exige, para su aplicación, la existencia de una relación tal entre las infracciones concernidas que una de ellas derive necesariamente de la otra, de modo que no sea posible la comisión de una sin ejecutar la otra. Pues bien, esta circunstancia no concurre en el presente, pues la conducta constitutiva de la infracción de tratamiento inconsentido de datos, no constituye medio necesario para la perpetración de la otra contravención administrativa objeto de imputación y sanción, la vulneración del principio de calidad de datos derivada de la indebida inclusión en Badexcug. Pues la segunda pudo evitarse. En el presente caso –aunque a sensu contrario- ha de tenerse en cuenta al criterio que la Audiencia Nacional pone de manifiesto en su sentencia de 26/12/13 (Recurso nº 416/2012): "Por otro lado, no se ha imputado a la compañía sancionada otro tratamiento de los datos del denunciante diferente a su mera incorporación en una cinta magnética para su remisión a los ficheros de solvencia, como pudiera haber sido la emisión de facturas a nombre de aquel, la realización de comunicaciones con el denunciante o cualquier otra conducta reveladora del tratamiento de sus datos personales." En el caso que nos ocupa sí pudo ser evitada la segunda infracción -4.3 en relación 44.3.
- c)de LOPD- pues, producido el impago y la devolución de la notificación de los requerimientos, pudo evitar la inclusión en el fichero de morosos. Nadie la obligaba a la inclusión. En consecuencia, no procede estimar la petición de una sola sanción. Han de sancionarse las dos infracciones. Se sanciona por un tratamiento inconsentido de datos, tipificado en el artículo 44.3.
- b)en relación con el artículo 6.1 de la LOPD, consistente en tratar los datos personales del denunciante sin tener acreditada su identidad ni su voluntad de contratar, y se sanciona por la infracción del 4.3 en relación con el 44.3.c), pues producido el impago de facturas, activados mecanismos de recobro sin resultado positivo y sin notificar los requerimientos de pago previos, decidió incluir en Badexcug los datos personales de la persona denunciante asociados a una deuda que no le C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 correspondía. IX El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Dado que los hechos objeto de este procedimiento han sido tipificados como infracción grave, la sanción que procede imponer debe ser de un importe comprendido entre 40.001 y 300.000 euros. X. El artículo 45.5 de la LOPD, establece que “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En su escrito de alegaciones a la propuesta invoca la aplicación del 45.5.b),
- c)y
- a)de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 45.5.b): --- Ha de analizarse la reacción de la imputada ante las reclamaciones del denunciante para la regularización de la situación irregular producida por la actuación de la imputada. No se ha acreditado que la persona denunciante presentara reclamación directamente a la imputada o al fichero Badexcug. Pepephone recibe la petición de información de la AEPD el 17/06/14 y ordena la baja cautelar en Badexcug nueve días más tarde. Por otra parte si puede considerarse suficiente para las infracciones que se le imputan, máxime si se tiene en cuenta que no consta que emitiera facturas con posterioridad a las de marzo de 2013. Procede pues fijar las sanciones con importes dentro del tramo de las leves. 45.5.c): --- La conducta del afectado –el denunciante- en los tratamiento de sus datos personales no ha inducido a la comisión de infracción alguna a Pepephone. Se ha limitado a denunciar ante la Agencia dicho tratamiento, una vez tuvo conocimiento de su inclusión en Badexcug. Él no solicitó sus servicios ni le proporciono datos. 45.5.a): --- Las circunstancias referidas a los apartados (45.5.e, f, g,
- i)que destaca se analizan en el próximo fundamento. XI. El artículo 45.4 de la LOPD, establece que "La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Es necesario examinar las circunstancias de aplicación del 45.4. Los criterios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 graduación de las sanciones establecidos en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, da lugar a las siguientes observaciones: - El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio del consentimiento desde 01/03/13 hasta la fecha, pues no consta subsanación o cancelación. - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es evidente, puesto que Pepephone es empresa que tiene como actividad la prestación de servicios de telecomunicaciones al público en general y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. - En lo que se refiere al volumen de negocio hay que hacer constar que es OMV (operador móvil virtual) perteneciente a un grupo de empresas conocidas como Globalia, AirEuropa, Atento, Viajes Ecuador y Halcón; que utiliza las oficinas de estas últimas para su actividad de atención al cliente, con miles de clientes. - No han sido acreditados en el procedimiento datos que permitan deducir la obtención de beneficios. - El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó incorporar a la base de datos el número del DNI del denunciante asociado al nombre de otra persona, o su inclusión en el fichero Badexcug, no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a los supervisores de todos ellos. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. - Respecto a la reincidencia en infracciones de la misma naturaleza ha de hacerse constar que ha sido objeto de cuatro procedimientos sancionadores (3 por 4.3 y 1 por 6.1 y 4.3), solo uno pendiente de recurso contencioso, los otros tres devinieron firmes. - Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. XII Los cuatro apartados del 45.4 de la LOPD invocados para considerar una cualificada disminución de la culpabilidad de la imputada o de la antijuricidad de los hechos no tienen entidad suficiente para que pueda aplicarse el 45.5.
- a)de la LOPD en ninguna de las dos infracciones. Teniendo en cuenta lo expuesto en el fundamento X respecto a la aplicación del 45.5.
- b)respecto a la infracción del 4.3 procede fijar el importe de la sanción correspondiente a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 ella dentro del tramo de las leves. La graduación de las sanciones teniendo en cuenta todas las circunstancias contempladas en el fundamento XI permite fijar el importe de las mismas en 20.000 € cada una. >>> III Las alegaciones formuladas por la recurrente fueron en lo esencial analizadas y tenidas en cuenta en la resolución recurrida, como puede comprobarse en los fundamentos arriba trascritos. El trámite de la portabilidad por sí solo no acredita la identidad del solicitante pues, como se ha expuesto de forma extensa en el FD V, el cedente solo comprueba la identidad (nº ICC) de la tarjeta SIM. El sistema de entrega de la tarjeta SIM y el contrato en la dirección postal indicada por el solicitante se ha demostrado ineficaz para acreditar la identidad del receptor. Identificación que solo realizarse con la exhibición -por parte del receptor de su DNI en vigor- y la documentación –por parte de quien realiza la realiza- con copia de ese documento o cualquier otro que pueda probar la identificación. No es el caso presente. No es posible el concurso de infracciones, pues son actuaciones independientes una de otra (véase FD VIII). El tratamiento inconsentido de datos en la tramitación de la portabilidad, el alta en el fichero de clientes y las comunicaciones posteriores origina la infracción del 6.1, pero no produce la infracción del principio de calidad de datos que constituye la infracción del 4.3. La imputada, ahora recurrente, incluyó los datos personales del denunciante en fichero de morosos por propia voluntad. Fue libre de hacerlo o no hacerlo. Esta acción de tratamiento de datos personales asociados a una deuda –independientemente de su exactitud o procedencia, ajena a nuestra competencia- significa la puesta a disposición de terceros de los datos personales. Si bien las normas reguladoras permiten esa inclusión en fichero de morosos, también regula los requisitos, motivos y procedimientos que han de seguirse –tal como se detalla en el FD VI. En el caso que nos ocupa no se cumplieron los requisitos, especialmente el de notificación al denunciante del requerimiento previo a la inclusión, otorgándole un plazo concreto para poder saldar la deuda y la advertencia de que, concluido ese plazo sin saldarla, sus datos personales pueden ser incluidos en los ficheros de morosos. La graduación de las sanciones ha sido suficientemente motivada en los FD XI y XII. Por lo tanto, en el presente recurso de reposición, PEPEMOBILE SLU no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por PEPEMOBILE SLU C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 24 de febrero de 2015, en el procedimiento sancionador PS/00490/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad PEPEMOBILE SLU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es