1/20 Procedimiento nº.: PS/00497/2012 ASUNTO: Recurso de Reposición Nº RR/00397/2013 Examinado el recurso de reposición interpuesto por la entidad VODAFONE ESPAÑA, S.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00497/2012 y en consideración a los siguientes, HECHOS PRIMERO: Con fecha 17 de abril de 2013 se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00497/2012, en virtud de la cual se imponía a la entidad VODAFONE ESPAÑA, S.A., una sanción de 100.000 € (cien mil euros), por vulneración de lo dispuesto en los artículos 6.1 y 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracciones tipificadas como graves en los artículos 44.3.
- b)y 44.3.c), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 19 de abril de 2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de acuerdo con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00497/2012, se dejó constancia en la Resolución recurrida de los siguientes: << PRIMERO: El denunciante, D. A.A.A., con NIF ***NIF.1, según consta en la copia de su documento que obra al folio 2, manifiesta que tras intentar realizar una operación bancaria tuvo conocimiento de que estaba incluido en la lista de morosos de Experian, a instancia de Vodafone. Advierte que nunca ha sido cliente de la compañía Vodafone y que pasado un mes desde que reclamó a la operadora, ésta no ha solucionado la incidencia, (folio1) SEGUNDO: El denunciante presentó, el 19 de octubre de 2011, una denuncia en la Comisaría de Policía en la que expuso lo siguiente: - C/ Jorge Juan, 6 28001 – Madrid “Que en fecha 19/10/2011 el dicente ha recibido una carta en la que se le indicaba que estaba en una lista de morosos. Que ha llamado al Banco para interesarse por los hechos manifestándole estos que estaba en tal lista de morosos por deber 159,93 euros, importe de una línea de teléfono de la compañía Vodafone correspondiente al número de teléfono ***TEL.1, manifestándole también que tenía otra línea de teléfono con la misma compañía correspondiente al número ***TEL.2, desconociendo el dicente el importe que se debe de esta línea, ya que no se www.agpd.es sedeagpd.gob.es 2/20 - - lo han facilitado. Que puesto en contacto con la compañía Vodafone éstos le manifiestan que las dos líneas están dadas de alta desde el mes de septiembre del año 2010, correspondientes los datos del titular con su DNI pero los apellidos son B.B.B. en lugar de C.C.C. como los del dicente y estando dado de alta en la C/ (C/...........................1) de Barcelona Que el dicente quiere manifestar que él en ningún momento ha recibido cargos de estas dos líneas en sus cuentas. Que el denunciante quiere significar que él en ningún momento ha solicitado el alta de las líneas arriba referenciadas”. (Folio 5) TERCERO: En los registros de Vodafone el DNI, nombre y dos apellidos del denunciante figuran asociados a las siguientes líneas de telefonía móvil: - Número ***TEL.2, con fecha de alta 20 de septiembre de 210 y baja el 4 de mayo de 2011. Se corresponde con la cuenta Vodafone ***CTA.2. De las impresiones de pantalla aportadas resulta que en el fichero “Datos del cliente” los apellidos del denunciante figuran escritos correctamente, (folio 30). En el fichero “Datos de cuenta” los apellidos figuran terminados en “s” en lugar de en “z” ( B.B.B., folio 31). Como domicilio consta calle (C/...........................2), Barcelona, 08031. (Folios 26, 30 a 33) - Número ***TEL.1, con fecha de alta 20 de septiembre de 2010 y baja el 4 de mayo de 2011. Se corresponde con la cuenta Vodafone ***CTA.1, (folio 136) De las impresiones de pantalla aportadas resulta que en el fichero “Datos de la cuenta” los apellidos constan escritos correctamente. No obstante, en este mismo fichero, en el apartado datos bancarios, los apellidos constan terminados en “s” en lugar de en “z” ( B.B.B.). Como domicilio figura calle (C/...........................2), Barcelona, 08031. (Folio 137) CUARTO: Vodafone emitió las siguientes facturas en las que figuran el DNI, nombre y apellidos del denunciante: - En relación con la cuenta Vodafone ***CTA.2, número de línea ***TEL.2: De 26/09/2010, número ***FACTURA.1, por importe de 38,46 € De 26/10/2010, ***FACTURA.2, por importe de 70,68 € De 26/11/2010, número ***FACTURA.3, por importe de 184,71 € (Folios 41 a 47) - En relación a la cuenta Vodafone***CTA.1 , número de línea ***TEL.1: Del 26/09/2010, número ***FACTURA.4, por importe de 13,68 € C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 De 26/10/2010, número ***FACTURA.5, por importe de 70,68 € De 26/11/2010, número ***FACTURA.6, por importe de 159,93 € (Folios 138 a 145) QUINTO: Durante las actuaciones de investigación previa se solicitó a Vodafone que aportara la copia del documento en el que conste el otorgamiento del consentimiento a la contratación y en el caso de que la contratación se hubiera efectuado telefónicamente copia de la grabación realizada. Vodafone respondió en los siguientes términos: “A este respecto indicar que respecto al punto (I) [este punto se refiere a la petición de “copia completa e íntegra de la grabación que contenga la contratación] no ha sido posible localizar la grabación relativa al servicio titularidad del Sr. A.A.A.. Sin embargo, sí es posible aportar la trascripción en sistemas de la grabación realizada en el momento de la contratación la cual aportamos como documento nº 5 al presente escrito”, (folio 27) El subrayado es de la AEPD. La denunciada aporta como documento número 5, (folio 37) una impresión de pantalla en la que se trascriben los datos personales de la persona con la que contrató, como respuesta a un cuestionario. SEXTO: Interrogada acerca de la fecha en que se hizo la grabación en la que consta la contratación y si intervino en ella un verificador independiente, respondió: “En respuesta al punto (III) indicar que la fecha en que se realizó la grabación fue el 7 de septiembre de 2010 tal y como se puede comprobar en el documento nº 5” “Con relación al último apartado (V) informar que no se ha utilizado verificador”, (folio 27) SÉPTIMO: Vodafone informó al fichero BADEXCUG los datos personales del denunciante su número de DNI, y su nombre y apellidos, (pero terminados en “s” en lugar de en “z”, B.B.B.) dos operaciones impagadas: A) En relación a la primera de las operaciones impagadas (referencia de Badexcug operación 09***CTA.2), por un saldo deudor de 184,71 €, se practicaron las siguientes anotaciones: 1ª, con fechas de alta y baja, 15 de mayo de 2011 y 27 de julio de 2011, respectivamente. Como motivo de baja consta “proceso automático de actualización semanal”. 2ª con fechas de alta y baja el 31 de julio de 2011 y el 9 de diciembre de 2011, como motivo de la baja el ejercicio del derecho de cancelación por parte del afectado. 3ª inclusión, con fechas de alta 15 de enero de 2012 y baja el 12 de junio de 2012 por petición de la entidad informante. B) En relación a la segunda de las operaciones impagadas (con referencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 09***CTA.1), por un saldo deudor de 159,93 €, se practicaron las siguientes inclusiones: 1ª inclusión, con fechas de alta y baja 15 de mayo de 2011 y 27 de julio de 2011, por proceso automático de actualización semanal. 2ª inclusión, con fechas de alta y baja, 31 de julio de 2011 y 9 de diciembre de 2011, consecuencia del ejerció del derecho de cancelación por parte del afectado. 3ª inclusión, alta de 15 de enero de 2012 y baja el 12 de junio de 2012 por petición de la entidad informante (Folios 49, y 54 a 58) OCTAVO: El denunciante se dirigió a Experian Bureau de Crédito S.A. ejerciendo los derechos ARCO en las siguientes ocasiones: - Solicitó el acceso a los datos que obraban en el fichero Badexcug mediante carta certificada recibida por la entidad el 13 de octubre de 2011, (folios 60 a 65) - Solicitó la cancelación mediante carta certificada de fecha 1 de diciembre de 2012. Experian informó a Vodafone de la petición de cancelación y ante la falta de respuesta de la operadora procedió a cancelar la incidencia, (folios 66 a 70) NOVENO: Ha quedado acreditado que Vodafone informó al fichero ASNEF los datos personales del denunciante (DNI, nombre y apellidos correctos) por dos operaciones impagadas: A) Una operación impagada con un saldo deudor de 184,71 € , con fechas de vencimiento de la obligación, primera y última, el 6 de octubre de 2010 y el 7 de diciembre de 2010, con las siguientes anotaciones: 1ª Alta y baja de 12 de enero de 2012 y 12 de junio de 2012. 2ª Alta y baja de 28 de septiembre de 2012 y 6 de octubre de 2012 (Folios 122 a 126) B) Una operación impagada por un saldo deudor de 159,93 € , con fechas de vencimiento de la obligación, primera y última, el 6 de octubre de 2010 y el 7 de diciembre de 2010, con las siguientes inclusiones: 1ª Alta y baja 12 de enero de 2012 y 18 de abril de 2012 2ª Alta y baja, respectivamente, el 23 de abril de 2012 y el 12 de junio de 2012. 3ª Alta y baja, respectivamente, el 28 de septiembre de 2012 y el 6 de octubre de 2012, (Folios 127 a 132) DÉCIMO: Obra en el expediente aportado por el denunciante el resguardo de la trasmisión de un fax dirigido a Vodafone, al número ***TEL.4, de fecha 21 de octubre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 de 2011, relativo a “Gestión de un fraude”, con el siguiente texto: “Buenos días, según conversación telefónica adjunto la documentación requerida: C) Duplicado de mi DNI por las dos caras D) Copia de la denuncia presentada Teléfonos de contacto: ***TEL.5” (….) Folios 3 y 4. UNDÉCIMO: Los registros que constan en los sistemas de Vodafone, cuyas impresiones de pantalla la denunciada ha remitido a la Agencia, reflejan la siguiente información: << Caso ***NÚMERO.1 (…) Registro telefónico 19/10/2011 (…) (..) se verifican facturas y no hay consumo facturado//// cliente reclama indica nunca dio de alta esas líneas por favor verificar facturas desde ***FACTURA.4 hasta ***FACTURA.7///cliente desconoce líneas// ya se dio información para la comunicación con bajas//no se abona por se imorte alto/por favor validar gracias (…) dni ***DNI.1, número de contacto ***TEL.4 **NOTAS 21/10/2011 (…) Cierro caso ya que se envía a la cola de fraude ya que la línea no presentó consumo y estado DD ** CIERRE DEL CASO 21/10/2011 (..) Contacto al cliente por cambio de cola de la incidencia>> (Folio 36) El subrayado es de la AEPD>> TERCERO: VODAFONE ESPAÑA, S.A., (en lo sucesivo Vodafone o la recurrente) ha presentado en esta Agencia Española de Protección de Datos, en fecha 17 de mayo de 2013, recurso de reposición, en el que reproduce las mismas alegaciones formuladas en el curso del expediente sancionador. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 II Los hechos y Fundamentos de Derecho que la recurrente invoca en el escrito de interposición del recurso de reposición son una reproducción de los hechos, comentarios y argumentos jurídicos que ha hecho valer en el curso del expediente sancionador PS/497/2012, sin que en este trámite se hayan formulado nuevas consideraciones. Así las cosas, habiendo sido detenidamente analizados los argumentos y consideraciones vertidas en sus escritos de alegaciones al acuerdo de inicio y a la propuesta de resolución, estimamos procedente dar por reproducidos los Fundamentos de Derecho II a VII, ambos inclusive, de la Resolución recurrida, que se transcribe a continuación: << II La Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal establece en su artículo 6, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El artículo 4 de la LOPD, relativo a la “Calidad de los datos” dispone: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el artículo 29 del citado texto legal señala en sus apartados 2 y 4, respectivamente: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el creedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”.“Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Estos preceptos deben integrarse con la definición legal de “datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
- h)de la Ley Orgánica 15/1999: “ cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “ “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por otra parte, el Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD ( RLOPD), se ocupa en su artículo 38 de los requisitos que han de concurrir para la inclusión de los datos de un tercero por parte del acreedor o por quien actúe por su cuenta o interés en un fichero común y dispone: “1. Solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida y exigible, que haya resultado impagada “ III Se examina, en primer término, la infracción del artículo 6.1 LOPD que se imputa a Vodafone. A) El artículo 6 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que versa sobre la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. El Tribunal Constitucional en Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y afirma que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” De acuerdo con las disposiciones trascritas en el Fundamento de Derecho II, el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 B) Ha quedado acreditado en la documentación que integra el expediente que en los ficheros de Vodafone los datos personales del denunciante (NIF, nombre y dos apellidos) están asociados a las líneas ***TEL.1 y ***TEL.2, que niega haber contratado. En el hecho probado tercero se precisa que las líneas – ambas – se dieron de alta en Vodafone, asociadas a los datos del denunciante, el 20 de septiembre de 2010 y de baja el 4 de mayo de 2011. Respecto al número ***TEL.1 las impresiones de pantalla aportadas por la operadora denunciada además de acreditar que se vincula al nombre, dos apellidos, y NIF del denunciante, permiten comprobar que los apellidos registrados coinciden plenamente con los del afectado. En la imagen de sus sistemas que obra al folio 30 del expediente, que procede del fichero “Datos del Cliente”, no hay errores de trascripción. Sin embargo, en otras capturas de los registros de la denunciada sí se aprecian errores, de forma que los dos apellidos cambian su última letra, z, por una s, figurando en vez de B.B.B.. La misma consideración puede hacerse sobre los datos personales del denunciante que se asocian al número de línea ***TEL.2. Mientras que en algunas de las impresiones de los registros de la entidad (como por ejemplo la relativa a Datos de la cuenta) los apellidos está escritos correctamente, el mismo error – cambio de la z por la s - aparece en otras impresiones de pantalla, como la destinada a los Datos bancarios, (folios 136 y 137) El domicilio asociado al denunciante en los registros de la operadora no coincide con el del afectado. Tal y como había manifestado en su denuncia policial el domicilio que Vodafone asocia a las líneas controvertidas no es el suyo, radicado en Madrid, sino un domicilio de Barcelona. El tratamiento de los datos personales del denunciante que Vodafone ha venido efectuado sin legitimación para ello se materializó, asimismo, en la emisión de diversas facturas que incluían estos datos ( NIF, nombre y dos apellidos). Vodafone emitió tres facturas (de fechas 26 de septiembre, 26 de octubre y 26 de noviembre de 2011) por cada una de las líneas controvertidas, (hecho probado cuarto). En todo caso es importante subrayar que el tratamiento de los datos personales del denunciante que Vodafone ha venido efectuando se mantuvo, al menos, hasta el 6 de octubre de 2012, fecha en la que se dio de baja en el fichero ASNEF la tercera incidencia que la entidad informó al referido fichero, asociada a los datos personales del denunciante, por un saldo deudor de 159,93 €, (hecho probado noveno) Cuestión esta de gran relevancia, por cuanto, en la medida que la incidencia comunicada a ASNEF estaba asociada al denunciante, necesariamente, en ese tiempo, sus datos personales estaban siendo tratados en los ficheros de la compañía, dado que la existencia de una incidencia en un fichero de morosidad presupone que los datos que han sido informados al fichero común estén incorporados a los registros de la entidad informante y que a ellos se asocie un saldo deudor. C) El núcleo de la controversia suscitada radica en determinar si la denunciada, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 Vodafone, contaba con el consentimiento inequívoco del titular de los datos para el tratamiento que de los mismos ha venido efectuando, tal y como exige el artículo 6.1 de la LOPD. O bien, en el supuesto de que hubiera existido una suplantación de identidad y los datos personales del denunciante se hubieran facilitado por un tercero, que pruebe haber adoptado las medidas que la diligencia exige a fin de acreditar que la persona de quien recabó y obtuvo el consentimiento al tratamiento era el titular de los datos personales. Única hipótesis en la que, pese a no ser el titular de los datos quien otorga el consentimiento, la conducta no sería sancionable siempre que quede probado que la entidad desplegó la diligencia que las circunstancias del caso y el desarrollo de su actividad profesional aconsejan y el estado de la técnica permiten. Debemos comenzar recordando que incumbe a Vodafone la carga de la prueba del consentimiento y que la LOPD exige que sea el titular de los datos quien preste su consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.h de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. La doctrina de la Audiencia Nacional sobre la carga de la prueba ha mantenido siempre la misma orientación. Cabe citar, entre otras, la SAN de 31 de mayo de 2006, Recurso 539/2004, en cuyo Fundamento de Derecho Cuarto indica: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). Más recientemente la STAN de 27 de enero de 2011, (Rec 349/2009) confirma el criterio tradicional y en su Fundamento de Derecho Tercero expone: “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. (El subrayado es de la AEPD). Pues bien, se solicitó a Vodafone durante las actuaciones previas de inspección que aportara la Agencia copia del documento, cualquiera que fuese el soporte en el que conste, que acreditara el consentimiento del titular de los datos para el tratamiento que de ellos ha venido haciendo vinculados al alta de dos líneas de telefonía móvil. Vodafone respondió que la contratación se había efectuado telefónicamente, y añadió que “no ha sido posible localizar la grabación relativa al servicio titularidad del Sr. A.A.A.” (folio 27, hecho probado quinto). El documento al que alude Vodafone y que ha remitido a la Agencia, que denomina “trascripción en sistemas de la grabación realizada en el momento de la contratación la cual aportamos como documento nº 5 al presente escrito”, no es sino una impresión de pantalla en la que se refleja, con el formato de cuestionario, información sobre la identidad del contratante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 En sus alegaciones a la propuesta de resolución Vodafone reitera los argumentos precedentes y considera por ello que, en contra por lo afirmado por la AEPD, sí ha aportado los documentos que corresponden al alta de las líneas, “en concreto, los campos de datos personales e información facilitada por el Sr. A.A.A.”. “Una muestra más de la efectiva contratación por parte del Sr. A.A.A., es el hecho de que esta parte ha podido aportar la trascripción de la grabación realizada por el agente de Vodafone” . Sin embargo, pese a los alegatos de la denunciada, no es posible atribuir a la impresión de pantalla que Vodafone ha aportado la virtualidad probatoria que se otorga a la grabación de la conversación telefónica en la que una persona facilita como suyos datos personales y otorga el consentimiento a la contratación. Esto, porque en el cumplimiento de la obligación impuesta por el artículo 6.1 de la LOPD el responsable del fichero ha de actuar con la diligencia que exige el desarrollo de su actividad empresarial. Para valorar la medida de la diligencia que es procedente observar debe tomarse como referencia, cuando como ahora acontece, estamos en presencia de una contratación telefónica en el marco de un contrato de adhesión, las disposiciones del R.D. 1906/1999, por el que se regula la contratación telefónica o electrónica con condiciones generales en desarrollo del artículo 5.3 de la Ley 7/1998, de 13 de abril, de condiciones generales de la contratación. El artículo 5.3 de la citada Ley 7/1998 establece que “en los casos de contratación telefónica o electrónica será necesario que conste en los términos que reglamentariamente se establezcan la aceptación de todas y cada una de las cláusulas del contrato, sin necesidad de firma convencional. En este supuesto, se enviará inmediatamente al consumidor justificación escrita de la contratación efectuada, donde constarán todos los términos de la misma” (el subrayado es de la AEPD). El R.D. 1906/1999 reitera la obligación de confirmar documentalmente la contratación efectuada por vía telefónica, electrónica o telemática y dispone en su artículo 5.1 y 2 lo siguiente: “1. La carga de la prueba sobre la existencia y contenido de la información previa de las cláusulas del contrato; de la entrega de las condiciones generales; de la justificación documental de la contratación una vez efectuada; de la renuncia expresa al derecho de resolución; así como de la correspondencia entre la información, entrega y justificación documental y el momento de sus respectivos envíos, corresponde al predisponente. 2.A estos efectos, y sin perjuicio de cualquier otro medio de prueba admitido en derecho, cualquier documento que contenga la citada información aún cuando no se haya extendido en soporte papel, como las cintas de grabaciones sonoras, los disquetes y, en particular, los documentos electrónicos y telemáticos, siempre que quede garantizada su autenticidad, la identificación fiable de los manifestantes, su integridad, la no alteración del contenido de lo manifestado, así como el momento de su emisión y recepción, será aceptada en su caso, como medio de prueba en los términos resultantes de la legislación aplicable...” (El subrayado es de la AEPD). Por tanto, el documento sonoro que Vodafone debía haber aportado a esta Agencia con la grabación de la conversación en la que se otorgó el consentimiento a la contratación de dos productos de telefonía y se facilitaron los datos personales del denunciante como si su titular fuera, efectivamente, el contratante es, a tenor del R.D. 1906/1999 precitado, una obligación inexcusable de la operadora para acreditar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 consentimiento al tratamiento de los datos personales del denunciante. Su falta es, al tiempo, una prueba de que no desplegó la diligencia que las circunstancias del caso exigían para dar cumplimiento a la obligación impuesta por el artículo 6.1 LOPD. De manera que ni la trascripción que Vodafone ha aportado - que según afirma reproduce textualmente el contenido de la grabación- es suficiente para estimar acreditado el consentimiento inequívoco que exige la LOPD, ni tienen una especial relevancia a ese respecto el hecho, insistentemente citado por la denunciada, de que que “durante el mes de septiembre de 2011, el Sr. A.A.A. se puso en contacto con Vodafone en diversas ocasiones, (…) para solicitar un terminal móvil concreto”. Esto, porque lo único que podemos afirmar a la luz de ese hecho es que la comunicación se efectuó por alguien que dijo ser el Sr. A.A.A., pero en ningún caso el denunciante. Se concluye de las consideraciones precedentes, que Vodafone no ha aportado ningún documento que acredite, que recabó y obtuvo el consentimiento del denunciante para el tratamiento de sus datos personales, ni tampoco el consentimiento de un tercero que suplantó su identidad y facilitó como suyos el nombre, apellidos y domicilio del denunciante. De haber sido acreditado este último extremo, observando con ello la diligencia que resulta exigible – aportar copia de la grabación de la conversación en la que se otorgó el consentimiento -, al margen de que finalmente hubiera existido una suplantación de personalidad del denunciante, la conducta antijurídica realizada no podría ser sancionada por la AEPD, por falta del elemento subjetivo de la infracción. Habiendo ajustado su comportamiento a la diligencia procedente nada cabría objetar, por cuanto en ningún caso la responsabilidad sancionadora es objetiva ni se exigen comportamientos imposibles. Respondemos con ello al alegato que Vodafone hace en su respuesta a la propuesta de resolución en la que manifiesta que “nada puede hacer mi representada frente a aquellos casos en los que un tercero dispone de los datos personales de otra persona y hace uso de los mismos para gestionar el alta de un servicio ya que no tiene forma de comprobar o analizar que el titular de los datos no es quien dice ser”. La conducta de Vodafone anteriormente descrita vulnera el principio del consentimiento, que consagra el artículo 6.1 de la LOPD, y se encuadra en el tipo sancionador previsto en el artículo 44.3.
- d)de la citada Ley Orgánica. IV Por lo que respecta a la presunta infracción del artículo 4.3 de la LOPD que se imputa a Vodafone, procede señalar lo siguiente: A) Los principios generales de protección de datos regulados en los artículos 4 a 12, que integran el Título II de la Ley Orgánica 15/1999, constituyen el contenido esencial de este derecho fundamental. La Audiencia Nacional en diversas sentencias (entre otras SAN de 24 de marzo de 2004 y 7 de julio de 2006) ha declarado que los principios generales contenidos en el Título II de la LOPD definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En este sentido, la STAN de 25 de julio de 2006 manifiesta: “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 infracciones mediante una remisión a los principios definidos en la propia Ley”. Entre tales principios se recoge –artículo 4.3- el de exactitud o veracidad, a través del cual se trata de garantizar y proteger la calidad de la información sometida a tratamiento – exacta y puesta al día- por la que debe velar quien recoge y trata datos de carácter personal. B) La comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige, por una parte, que la deuda sea cierta, vencida, exigible y que haya resultado impagada, y por otra, que se haya requerido de pago al deudor antes de informar los datos a la entidad responsable de la gestión del fichero. Se añade a lo anterior que es el acreedor que informa los datos al fichero común el responsable de comprobar que éstos se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. Consta acreditado en esta Agencia que las entidades asociadas a los ficheros de solvencia patrimonial suministran, periódicamente, las relaciones de altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas, siendo las entidades informantes las que deciden sobre el alta, el mantenimiento y la cancelación de los datos de los clientes de los referidos ficheros. C) En el presente caso constituye un hecho probado que Vodafone incorporó a sus sistemas informáticos los datos personales del denunciante (nombre, apellidos y NIF) asociados a dos líneas de telefonía móvil que él no contrató, (ver hecho probado tercero). Además, como se indica en el Fundamento Jurídico precedente, la entidad no ha acreditado que el denunciante otorgara su consentimiento inequívoco al tratamiento de sus datos en relación con el alta de las dos líneas de móvil controvertidas. Tampoco podemos considerar que con ocasión de la contratación Vodafone haya adoptado las medidas que la diligencia exige a fin de demostrar que los datos personales objeto de tratamiento fueron facilitados por el contratante. Esto porque no ha aportado copia de las grabaciones de las conversaciones telefónicas a través de las cuales, supuestamente, otorgó el consentimiento a la contratación y facilitó como suyo los datos personales de la denunciante, (ver hecho probado quinto). El artículo 38.1.
- a)del Real Decreto 1720/2007 por el que aprueba el Reglamento de desarrollo de la LOPD (en lo sucesivo RLOPD), precisa que solo será posible la inclusión en los ficheros de de solvencia patrimonial y crédito de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado siempre que concurra, entre otros, el requisito de la existencia previa de una deuda cierta, vencida y exigible, que haya resultado impagada. En el presente caso Vodafone, ante el impago de la deuda generada por las dos líneas de móvil que en los ficheros de la compañía estaban asociadas a los datos personales del denunciante, comunicó a los ficheros ASNEF y BADEXCUG diversas incidencia calificándolo públicamente como deudor. Así, Vodafone incluyó en Asnef los datos del denunciante por dos operaciones impagadas derivadas del servicio facturado por cada una de las líneas controvertidas: En relación con la deuda por importe de 184,71 € informó a Asnef dos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 incidencias: 1ª, con fecha de alta 12 de enero de 2012 y baja el 12 de junio de 2012. 2ª, con fecha de alta 28 de septiembre de 2012 y baja el 6 de octubre de 2012, Por lo que respecta a la deuda de 159,93 €, se comunicaron a Asnef tres inclusiones: 1ª) con fecha de alta y baja el 12 de enero de 2012 y el 18 de abril de 2012. 2ª) Alta y baja el 23 de abril y 12 de junio de 2012. Y 3ª) Alta y baja el 28 de septiembre de 2012 y el 6 de octubre de 2012. (Folios 122 a 126, hecho probado noveno). Respecto al fichero BADEXCUG Vodafone informó también dos operaciones impagadas: Por una de ellas, con un saldo deudor de 184,71 €, figuran tres inclusiones. La última, 3ª, con fechas de alta y baja el 15 de enero de 2012 y baja el 12 de junio de 2012. La segunda anotación, por una deuda de 159,93 €, la 3ª incidencia se informó el 15 de enero de 2012 y se dio de baja el 12 de junio de 2012, (hecho probado séptimo, folios 49, 54 a 58). Debe precisarse, además, que en relación con BADEXCUG la segunda anotación se dio de baja como consecuencia de haber ejercido el denunciante el derecho de cancelación ante la empresa responsable del fichero. Si bien Vodafone, informada por Experian de la petición de cancelación, confirmó la incidencia, la responsable del fichero dio cautelarmente de baja la anotación. En conclusión, los datos personales del denunciante fueron incluidos por Vodafone en sendos ficheros de morosidad vinculados a dos deudas que, desde la perspectiva del denunciante, no eran ciertas, ni vencidas, ni exigibles, por cuanto él no tenía la condición de deudor; de manera que incumplió el requisito del artículo 38.1.a, del RLOPD, a cuya concurrencia supedita la comunicación de datos personales de terceros a un fichero de morosidad. La conducta de Vodafone no se ajustó al principio de calidad del dato, artículos 38.1.
- a)del RLOPD y 4.3 de la LOPD, por remisión del artículo 29.4 de la LOPD. El relato fáctico precedente evidencia que Vodafone vulneró el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD y el artículo 38.1.
- a)del RLOPD, infracción tipificada en el artículo 44.3.
- c)de la citada norma, que dispone: “Son infracciones graves, (..)
- c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. V Procede examinar a continuación si concurre el elemento subjetivo de la culpabilidad, esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido. Una vez constatado que la entidad realizó la acción típica (infracción de los artículos 6.1 y 4.3 de la LOPD) es necesario verificar la presencia del elemento de la culpabilidad, dado que no se admite en nuestro Derecho la imposición de sanciones basadas en la responsabilidad objetiva del presunto infractor. El Tribunal Constitucional en STC 76/1999 afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC proclama el principio de culpabilidad en el procedimiento administrativo sancionador y del tenor del precepto se concluye que bastará la “simple inobservancia” para apreciar la concurrencia de este elemento a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. La Audiencia Nacional ha declarado a este respecto, STAN de 17 de octubre de 2007 (Rec. 63/2006), que “....el ilícito administrativo previsto en el artículo 44.3.
- d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” En el presente caso s indiscutible la presencia del elemento subjetivo de la culpabilidad, que se concreta en la grave falta de diligencia demostrada por Vodafone en dos momentos diferentes. Falta de diligencia al dar de alta en sus ficheros, asociadas a los datos personales del denunciante, dos líneas de teléfono que él no contrató sin recabar su consentimiento y sin que tampoco hubiera adoptado las medidas encaminadas a acreditar que los datos fueron facilitados por el tercero contratante. La falta de diligencia de la entidad denunciada se evidencia en el hecho de no haber aportado documento alguno que demuestre que recabó y obtuvo el consentimiento para el tratamiento de los datos. Falta de diligencia en un momento posterior, por cuanto no comprobó antes de informar a los ficheros de solvencia patrimonial ASNEF y BADEXCUG las incidencias asociadas a los datos del denunciante, que se cumplían los requisitos previstos en el artículo 38.1.
- a)del RLOPD. Recordemos en este sentido que el artículo 43 del RLOPD establece que el acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. La Ley Orgánica 15/1999 en su artículo 43.1 dispone que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por su parte, el artículo 3
- d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Por tanto, Vodafone, en su condición del responsable del fichero al que se incorporaron los datos personales del afectado sin su consentimiento y de la decisión de incluirlos en los ficheros de morosidad, es responsable de la infracción de los artículos 6.1 y 4.3 de la LOPD. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 La Audiencia Nacional en Sentencia de 28 de enero de 2009, (Rec151/2007), resolvió en sentido negativo la posibilidad de apreciar un concurso medial de infracciones al amparo del artículo 4.4 del R.D. 1398/1993, entre los artículos 6.1 y 4.3 de la LOPD. En el Fundamento Jurídico quinto de la citada Sentencia se responde, en los siguientes términos, a la hipótesis ahora planteada por Vodafone sobre un posible concurso medial de infracciones: “Basta con señalar que el artículo 4.4 del Reglamento de Procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto , exige, para la aplicación del concurso medial, una necesaria derivación de unas infracciones respecto de otra u otras y viceversa, por lo que resulta indispensable que las unas no puedan cometerse sin ejecutar las otras, tal es el sentido que ha de conferirse a la expresión reglamentaria de que <<una infracción derive necesariamente la comisión de otra>>. Solo en tal caso puede seguirse la consecuencia propia del concurso medial y es que únicamente se imponga la sanción correspondiente a la infracción más grave cometida. Lo que no concurre en el caso examinado pues ninguna de las contravenciones administrativas sancionadas es un medio para la perpetración de la otra. Ambas pueden realizarse con independencia absoluta, porque protegen principios diferentes, en un caso el consentimiento (artículo 6.1 de la Ley 15/1999 ), y, en otro, la calidad el dato (artículo 4.3 de la citada LO), para la salvaguarda del poder de disposición del titular de los datos personales que integra el derecho fundamental a la protección de los datos.” A la luz de lo expuesto no es admisible la pretensión de la denunciada a favor de la existencia de un concurso medial de infracciones. VII El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". Pero para ello es necesaria la concurrencia de una cualificada disminución de la culpabilidad del imputado, de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Vodafone ha solicitado la aplicación del artículo 45.5 LOPD al amparo del apartado b), del precepto, que alude a que “la entidad infractora haya regularizado la situación irregular de forma diligente”. En apoyo de su pretensión expone que “en ningún momento tuvo conocimiento de la disconformidad del Sr. A.A.A. con el servicio, (..) No fue hasta la apertura del E/2180/2012 cuando Vodafone analizó la información relativa a la cuenta del Sr. A.A.A. para finalmente proceder a la cancelación de la deuda y excluir sus datos personales del fichero de solvencia patrimonial el 12 de junio de 2012. Por tanto, apenas transcurrió una semana desde que Vodafone advirtió la situación y la regularizó demostrando así una gran diligencia y efectividad”. (El subrayado es de la AEPD) Los hechos probados no corroboran, sin embargo, estas declaraciones de Vodafone sino que, más al contrario, las contradicen claramente. El denunciante declaró en la denuncia policial, presentada en la Comisaría el 19 de octubre de 2011 (ver hecho probado segundo), que se había puesto en contacto con Vodafone nada más conocer la inclusión de sus datos personales en ficheros de morosidad. Obra en el expediente impresión de pantalla, procedente de los sistemas de Vodafone, en la que se alude a un registro telefónico de esa misma fecha, 19 de octubre de 2011, con la siguiente leyenda: “cliente reclama indica nunca dio de alta esas líneas”, “por favor verificar facturas desde ***FACTURA.4…” (El subrayado es de la AEPD). Por otra parte, está acreditado el envío por el denunciante a Vodafone, el 21 de octubre de 2011, de un fax, con el que adjuntó copia de la denuncia presentada en la Policía. Si bien es cierto no podemos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 acreditar la recepción por Vodafone del citado fax, es significativo que el texto del escrito remitido haga referencia a la conversación telefónica mantenida. Se añade a lo anterior que obra en el expediente (hecho probado octavo) una anotación de fecha 21 de octubre de 2011 que dice: “Cierro caso ya que se envía a la cola de fraude”. Se desprende de lo expuesto que en esa fecha, 21 de octubre de 2011, Vodafone conocía la existencia de la reclamación del afectado y procedió a pasar la reclamación a la “cola de fraude”. Pues bien, la primera comunicación de los datos del denunciante al fichero de morosidad BADEXCUG se produjo el 15 de mayo de 2011 (dos anotaciones). Lo que implica que habían transcurrido más de cinco meses desde la fecha en la entidad reconoce que tiene constancia de la reclamación del afectado. A esas anotaciones le seguirían otras de 31 de julio de 2011 y 15 de enero de 2012. En el fichero ASNEF las altas son de 12 de enero, 23 de abril y 28 de septiembre de 2012. A la luz de estas consideraciones no puede prosperar el argumento de Vodafone de que “en ningún momento tuvo conocimiento de la disconformidad del Sr. A.A.A. con el servicio”. Y si como afirma en sus alegaciones “No fue hasta la apertura del E/2180/2012 cuando Vodafone analizó la información relativa a la cuenta del Sr. A.A.A.”, tal demora fue debida, exclusivamente, a su falta de diligencia pero no a falta de información acerca de las irregularidades causadas con su conducta. Es conveniente recordar que en el curso del E/ 2180/2012 se notificó a Vodafone la petición de información previa el 5 de junio de 2012 (folio 24). Por tanto, en esa fecha habían transcurrido más de ocho meses desde que el 21 de octubre de 2011 tuvo perfecto conocimiento de los hechos que ahora se enjuician y ante los que demostró una total pasividad. A mayor abundamiento, la pasividad de Vodafone se pone también de manifiesto si tenemos en cuenta que con posterioridad al 5 de junio de 2012, fecha en la que la Inspección de la AEPD le solicita información, procedió a hacer una nueva inclusión de los datos del denunciante en el fichero ASNEF (alta de 28 de septiembre de 2012), hecho probado noveno. Esta anotación se dio de baja el 6 de octubre de 2012. En consecuencia, no es posible apreciar en el supuesto analizado la presencia de la atenuante privilegiada del artículo 45.5.b, LOPD que Vodafone invoca. Al tener la infracción imputada la consideración de infracción grave, en aplicación de lo previsto en el apartado 2 del artículo 45 LOPD, corresponde imponer una sanción cuyo importe oscile entre 40.001 € y 300.000 €. Por lo que atañe a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, entendemos acreditada la presencia de las siguientes circunstancias que operan como agravantes de la conducta que ahora se enjuicia: - El carácter continuado de la infracción imputada, (apartado
- a)del artículo 45.4, pues los datos del denunciante fueron tratados por Vodafone en sus ficheros durante casi dos años, sin estar legitimada para ello, vinculados a dos líneas controvertidas. Como se hace constar en el hecho probado tercero las dos líneas se dieron de alta el 20 de septiembre de 2010 y los datos del denunciante se excluyeron del fichero Asnef el 6 de octubre de 2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20 - “La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal”, apartado c), toda vez que el desarrollo de su actividad empresarial exige un constante tratamiento de datos personales, tanto de clientes como de terceros. -“El importante volumen de negocio”, apartado
- d)del artículo 45.4 de la LOPD, por ser Vodafone uno de los tres grandes operadores del país por cuota de mercado, hecho notorio sobre el que no es necesaria prueba. - “El grado de intencionalidad”, apartado f), expresión que debe entenderse en el sentido de grado de culpabilidad, que abarca tanto el dolo o intencionalidad strictu sensu como la culpa grave e incluso la culpa levísima. A tal efecto merece destacarse la grave falta de diligencia demostrada por la denunciada en la conducta que es objeto de valoración en el expediente, en tanto no adoptó ninguna medida al objeto de acreditar que los datos personales tratados fueron facilitados por la persona que contrató con ella. Concluimos, por tanto, que Vodafone dio de alta dos líneas de telefonía móvil, asociadas a los datos personales del denunciante (nombre, apellidos y NIF), sin que haya acreditado en el curso del expediente que había obtenido el consentimiento del titular de los datos para el tratamiento que ha venido haciendo de éstos, ni que adoptó las medidas que la diligencia mínima que está obligada a desplegar exige con objeto de asegurarse que quien facilita los datos personales al tiempo de la contratación es su titular, toda vez que no ha aportado grabación de la conversación telefónica a través de la cual el contratante de las líneas controvertidas otorgó el consentimiento. Posteriormente, Vodafone comunicó los datos personales del denunciante a los ficheros ASNEF y BADEXCUG en relación a dos operaciones impagadas. Respecto a Badexcug, por cada operación (por importes de 184,71 € y 159,93 €), efectuó tres inclusiones. Las últimas dos incidencias se dieron de baja el 12 de junio de 2012. En cuanto a Asnef, se comunicaron también dos operaciones impagadas. Respecto a la primera se practicaron dos inclusiones y tres respecto a la segunda. El 6 de octubre de 2012 se canceló la última anotación. Como se expone en este Fundamento Jurídico no hubo reacción diligente de la denunciada.>> III Sin perjuicio de las consideraciones precedentes es aconsejable matizar el sentido de la explicación que se ofrece en el Fundamento de Derecho VII de la Resolución en relación con los motivos por los que no pudo prosperar la pretensión de Vodafone de que se estimara a su favor la atenuante privilegiada del artículo 45.5.
- b)LOPD. Así, se dice textualmente que “(..) en esa fecha, 21 de octubre de 2011, Vodafone conocía la existencia de la reclamación del afectado y procedió a pasar la reclamación a la “cola de fraude”. Pues bien, la primera comunicación de los datos del denunciante al fichero de morosidad BADEXCUG se produjo el 15 de mayo de 2011 (dos anotaciones). Lo que implica que habían transcurrido más de cinco meses desde la fecha en la entidad reconoce que tiene constancia de la reclamación del afectado. A esas anotaciones le seguirían otras de 31 de julio de 2011 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 y 15 de enero de 2012. En el fichero ASNEF las altas son de 12 de enero, 23 de abril y 28 de septiembre de 2012.”. La explicación que se recoge en este párrafo es inexacta en la medida que se citan en ella, precisamente, las inscripciones en ficheros de morosidad que Vodafone había instado antes del 21 de octubre de 2011, cuando debían haberse citado otras, exactamente las practicadas después de esa fecha. No obstante, el párrafo mencionado es correcto por cuanto fueron muy numerosas las incidencias que Vodafone informó a los ficheros de esta naturaleza, asociadas a los datos del denunciante, después de la fecha indicada, el 21 de octubre de 2011, esto es, con posterioridad a la fecha en la que conoció la existencia de una reclamación del afectado, tal y como se desprende de los hechos probados de la resolución. Se precisa en la resolución impugnada que las impresiones de pantalla obtenidas de los registros de Vodafone dan fe de que el 19 de octubre de 2011 el denunciante formuló reclamación en la que negaba haber dado de alta a su nombre alguna línea de telefonía. Por otra parte en esa fecha el denunciante interpuso denuncia en la Comisaría de Policía y declaró que se había puesto en contacto con Vodafone. Se añade a lo anterior que en los propios ficheros de la operadora hay una anotación, fechada el 21 de octubre de 2011, indicando que el caso se cierra y se envía a la cola del fraude. Pues bien, a la luz del hecho probado séptimo y noveno de la resolución, consta acreditado que con posterioridad al 21 de octubre de 2011 Vodafone informó los datos del denunciante, asociados a una deuda inexistente, a los ficheros ASNEF y BADEXCUG en numerosas ocasiones. Respecto al fichero ASNEF (hecho probado noveno), y en relación a una deuda por importe de 184,71 €, figura el alta de incidencias en las siguientes fechas: 1º anotación, de 12 de enero de 2012; 2ª de 28 de septiembre de 2012. Respecto a la deuda por importe de 159,93 € que se Vodafone le atribuye, constan anotaciones en las siguientes fechas: alta de 12 de enero de 2012, de 23 de abril de 2012 y de 28 de septiembre de 2012. Respecto a las incidencias que Vodafone informó a BADEXCUG, por lo que atañe a la deuda por importe de 184,71€, la 3ª anotación tiene fecha de alta de 15 de enero de 2012. La deuda por importe de 158, 93 € se informó a este fichero por segunda vez el 15 de enero de 2012. A mayor abundamiento, ni aun en la hipótesis de que se admitiera la versión de Vodafone según la cual fue con ocasión del requerimiento informativo de la Agencia, que se le notificó el 5 de junio de 2012, cuando tuvo la primera noticia de la reclamación del denunciante, la conducta de la operadora se habría ajustado a Derecho, toda vez que constan dos incidencias informadas por ella a ASNEF, asociadas a los datos del denunciante, que se practicaron cuando habían transcurrido más de cuatro meses desde la fecha en la que recibió el requerimiento informativo de la Subdiereccion de Inspección. Así, las dos altas de 28 de septiembre de 2012, por sendas deudas de 184,71 € y 158,93€, como se hace constar expresamente en el Fundamento VII de la resolución. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 Por lo tanto, habida cuenta de que Vodafone no ha aportado en el presente Recurso de Reposición nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada procede su desestimación. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por VODAFONE ESPAÑA, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada en fecha 17 de abril de 2013, en el procedimiento sancionador PS/00497/2012. SEGUNDO: NOTIFICAR la presente resolución a la entidad VODAFONE ESPAÑA, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, según la redacción introducida por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es