← España

REPOSICION-PS-00561-2012

1/20 Procedimiento nº.: PS/00561/2012 ASUNTO: Recurso de Reposición Nº RR/00439/2013 Examinado el recurso de reposición interpuesto por la entidad VODAFONE ESPAÑA, S.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00561/2012 y en consideración a los siguientes, HECHOS PRIMERO: Con fecha 29 de abril de 2013 se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00561/2012, en virtud de la cual se imponía a la entidad VODAFONE ESPAÑA, S.A., una sanción de 50.000€ (cincuenta mil euros), por vulneración de lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.d), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 30 de abril de 2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00561/2012, se dejó constancia en la resolución recurrida de los siguientes: <<PRIMERO: Respecto al denunciante 1: 1.- El denunciante 1, D. (ver anexo) con DNI (ver anexo) manifiesta que desde que dio de alta el servicio on line respecto a la línea de la que es titular (línea a, ver anexo), tiene acceso a toda la información de un tercero, cliente de la compañía (ver anexo).Añade que la operadora no ha solucionado el problema pese a las múltiples reclamaciones efectuadas (folio 1) 2.- En escrito de fecha 3 de mayo de 2012, mediante el que facilitó a la AEPD su clave de acceso y contraseña al canal on line Mi Vodafone, el denunciante informó que al entrar en MI Vodafone utilizando como clave el número de la línea a, recibe un mensaje de error, pese a que tanto la línea como el terminal funcionan correctamente. Sin embargo, si accedía a Mi Vodafone con su DNI o con el número de las restantes líneas que tiene contratadas con Vodafone, podía obtener información de dichas líneas pero nunca de la línea controvertida, a. Estima que esta es la medida adoptada por la operadora para solucionar la vulneración de la LOPD. (Folio 10) 3.- Obran en el expediente, aportadas por el denunciante 1, diversas impresiones de pantalla procedentes de la página Mi Vodafone, en las que constan datos personales de un tercero, cliente de Vodafone. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20

  1. a)Al folio 2, impresión de pantalla a la que se accede utilizando como clave el número de línea a, de la que el denunciante es titular, y se verifica que el sistema da la bienvenida al “tercero” (consta su nombre, apellidos y DNI)
  2. b)Impresión de pantalla en la que se visualiza la cuenta cliente Vodafone ***CLIENTE.1 (que no pertenece al denunciante) y asociado a ella el número de línea (cuyos últimos dígitos son **1 y que no pertenece al denunciante). Consta el nombre, dos apellidos y DNI del tercero, así como el histórico de pagos desde el 09/01/2011 al 21/09/2011, (folios 2 y 3)
  3. c)Impresión de pantalla en la que se visualiza el número de cuenta ***CLIENTE.2 (que no pertenece al denunciante) y asociado a ella el número de línea (cuyos últimos dígitos son **2, y que no pertenece al denunciante).Constan el nombre, dos apellidos y DNI del tercero, así como el histórico de pagos desde el 20/03/2011 hasta el 02/10/2011(folios 3 y 4)
  4. d)Copia de la factura número ***FACTURA.3, perteneciente al número de cuenta 9***CLIENTE.2, emitida el 15 de septiembre de 2011, por el servicio asociado al número de línea (cuyos últimos dígitos son **2), con el detalle del consumo efectuado. En la factura figura el domicilio del tercero (calle, número, código postal, localidad y provincia), la entidad bancaria de domiciliación del pago, y el número de cuenta bancaria de facturación parcialmente anonimizado (Folios 6 y 7) 4.- Los inspectores de la AEPD accedieron a la página www.canalonline.vodafone.es el 11 de mayo de 2012, utilizando como código de usuario el DNI del denunciante 1, comprobando que el sistema asocia a él diversas líneas telefónicas pero ninguna de éstas es la línea a, (folios 12 y 58) Comprobaron también que al acceder utilizando como contraseña el número de línea a, el sistema da error, (folios 15,16, y 58) 5.- Durante la inspección practicada en la sede de Vodafone se verifica que el denunciante 1 es titular de cuatro cuentas cliente, en particular las siguientes:
  5. a)
  6. b)
  7. c)
  8. d)Cuenta ***CLIENTE.3, que hace referencia a la línea número (ver anexo) Cuenta ***CLIENTE.4, que hace referencia a la línea número (ver anexo) Cuenta ***CLIENTE.5, que hace referencia a la línea número (ver anexo) Cuenta ***CLIENTE.6, que hace referencia a la línea número a, ver anexo 6.- Durante la inspección practicada en la sede de Vodafone los inspectores de la AEPD pudieron verificar los siguientes extremos:
  9. a)Al acceder a través del Sistema de Información General de Clientes ( CLARIFY), utilizando como criterio de búsqueda el DNI, se comprueba que entre los teléfonos asociados al denunciante 1 figura la línea a, asociada a la cuenta cliente Vodafone ***CLIENTE.6, con fecha de activación 28/12/2010 y en estado activo, (folios 44, 46,47 y 18)
  10. b)Al acceder a CLARIFY utilizando como criterio de búsqueda el número de la línea C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 a, el sistema devuelve información del tercero, (folio 48) No obstante, si se teclea sobre esta información se accede a una pantalla con la cuenta cliente ***CLIENTE.6, de la que es titular el denunciante 1, y si se solicita información “Inf Cliente” el sistema devuelve los datos personales del denunciante 1 y asociada a él la línea a, (folios 49 y 50) SEGUNDO: Respecto al denunciante 2: 1.- El denunciante 2, D. (ver anexo) con DNI (ver anexo) manifiesta en su denuncia que al acceder desde la web Mi Vodafone a su apartado personal puede obtener “datos privados” (nombre y apellidos, domicilio, correo electrónico, y cuenta bancaria) de un tercero (ver anexo con datos del tercero), cliente de Vodafone, con el que nunca había tenido contacto alguno (folio 61). 2.- Obran en el expediente, aportadas por el denunciante 2, diversas impresiones de pantalla procedentes de la página Mi Vodafone, en las que constan datos personales de un tercero, cliente de Vodafone, en particular los siguientes: nombre y apellidos, DNI, fecha de nacimiento, dirección postal, correo electrónico y teléfono de contacto. También constan datos de facturación: número de cuenta Vodafone, ***CLIENTE.7, los veinte dígitos de su cuenta bancaria y la fecha de alta en el programa de puntos, el 13/03/2011. (Folios 65 a 67) 3.- Obra en el expediente, aportada por el denunciante, copia de un correo electrónico enviado por el denunciante a www.gestionweb@vodafone.es el 28 de noviembre de 2011, a las 15:12:01, en el que expone que al entrar en la dirección Mi Vodafone la web le ha cambiado automáticamente y le muestra los datos de otro de sus clientes. Informa que no es la primera vez que le sucede, exige mayor seguridad y advierte que si no corrigen esta situación adoptará las medidas oportunas, (folio 63), Obra también en el expediente un correo electrónico de respuesta, enviado al denunciante desde la dirección www.gestionweb@vodafone.es el mismo día, el 28 de noviembre de 2011, a las 20:41 horas, en el que se solicita al denunciante que les facilite la clave de acceso para verificar si hay alguna incidencia y poder realizar las comprobaciones y rectificaciones necesarias, (folio 63) 4.- Los inspectores de la AEPD accedieron el 11 de mayo de 2012 a la dirección https://canalonline.vodafone.es utilizando el código de usuario y contraseña del denunciante que éste remitió a la AEPD el 23 de abril de 2012, ver folio 74). Los inspectores verifican que el sistema proporciona información relativa al tercero. Obtienen impresión de la factura ***FACTURA.1, emitida el 15/04/2012, correspondiente a la cuenta Vodafone 9***CLIENTE.7. En la citada factura figura como titular el tercero, consta su NIF parcialmente anonimizado - siendo los últimos dígitos ***3-, y su domicilio. (Folios 121 a 124) 5.- Los inspectores de la AEPD accedieron a la dirección https://canalonline.vodafone.es ,utilizando el código de usuario y contraseña del denunciante, el 28 de septiembre de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 2012, verificando entonces que el sistema ofrece información, exclusivamente, relativa al denunciante (folios 125 y126) 6.- Durante la inspección practicada en la sede de Vodafone, los inspectores de la AEPD pudieron verificar los siguientes extremos:
  11. a)Al acceder a la web Mi Vodafone a través del número de teléfono móvil del que el denunciante es titular (identificado en el anexo como línea z), se comprueba que el citado número de línea móvil está asociado a los datos del tercero y a dos cuentas cliente de Vodafone : la ***CLIENTE.8 y ***CLIENTE.7, (folios 81 y 82)
  12. b)Se comprueba que al acceder a la cuenta cliente Vodafone ***CLIENTE.8 el sistema devuelve información relativa, exclusivamente, al denunciante 2, y asociado a él constan dos líneas de teléfono: líneas z e y, (folios 83 a 90)
  13. c)Se comprueba también que al acceder a la cuenta cliente Vodafone ***CLIENTE.7 el sistema devuelve información relativa al tercero y asociada a dicha cuenta figura, exclusivamente, la línea telefónica v, (folios 91 a 101) 7.- Los inspectores de la AEPD verificaron durante la inspección practicada en la sede de Vodafone que si el acceso se efectúa a través del Sistema de Información General de Clientes (CLARIFY) se obtienen los siguientes resultados:
  14. a)Si el criterio de búsqueda es el DNI del denunciante 2, este figura como titular de la línea z y asociada a él aparece, únicamente, la cuenta cliente Vodafone ***CLIENTE.8 (folios 102 a 105)
  15. b)Que si el criterio de búsqueda es el DNI del tercero, el sistema asocia a él exclusivamente la línea de móvil de la que es titular, línea v, y la cuenta ***CLIENTE.7 (folios 115 y 116). Cuando el argumento de búsqueda es el número de cuenta ***CLIENTE.7 se comprueba que corresponde al tercero y que asociada a él figura la línea v, (folios 117 y 118).>>
  16. c)TERCERO: VODAFONE ESPAÑA, S.A. (en lo sucesivo Vodafone o la recurrente) ha presentado en fecha 30 de mayo de 2013 en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, en los mismos argumentos que expuso en el curso del procedimiento sancionador. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 II En relación con las manifestaciones efectuadas por VODAFONE ESPAÑA, S.A., en las que reitera las alegaciones presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas fueron analizadas y desestimadas en los Fundamentos de Derecho II a VI, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<II El artículo 9 de la LOPD, bajo la rúbrica “Seguridad de los datos” dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El artículo 10 LOPD, se ocupa del deber de secreto y establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. III Respecto a la infracción del artículo 9 de la LOPD que se imputó a Vodafone en el acuerdo de inicio del expediente sancionador, procede señalar lo siguiente: A) El artículo 7 del Convenio Nº 108 del Consejo de Europa para la protección de las personas en relación al tratamiento automatizado de datos de carácter personal establece sobre la seguridad de los datos que “Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 estos datos, dispone sobre la seguridad de los datos: “1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse”. La LOPD, traspuso al ordenamiento interno la Directiva 95/46 y en su artículo 9 viene a consagrar el “principio de seguridad de los datos”, a tenor del cual se obliga a los responsables de los ficheros y a los encargados de tratamiento a adoptar las medidas de índole técnica y organizativa que eviten la alteración, pérdida, tratamiento o acceso no autorizado a los datos que figuran en sus ficheros. El Tribunal Constitucional ha destacado la importancia de estas medidas protectoras al declarar ( SSTC 143/1994 y 197/2003) que, un sistema normativo que autorizase la recogida de datos, incluso con fines legítimos y de contenido aparentemente neutro, pero no incluyese garantías frente a un uso potencialmente invasor de la vida privada del ciudadano a través de su tratamiento técnico, vulneraría el derecho a la intimidad de la misma manera en que lo harían las intromisiones directas en el contenido nuclear de ésta. El desarrollo reglamentario de la LOPD se llevó a cabo a través del Real Decreto 1720/2007, de 21 de diciembre, (en lo sucesivo RLOPD), cuyo Título VIII se ocupa “De las medidas de seguridad en el tratamiento de datos de carácter personal”. El artículo 79 del RLOPD impone a los responsables de los ficheros y a los encargados de tratamiento la obligación de implantar medidas de seguridad con arreglo a lo dispuesto en el Título VIII, con independencia de cuál sea su sistema de tratamiento. Además, el RLOPD clasifica las medidas de seguridad que deben implantar los responsables de los ficheros y los encargados de los tratamientos en tres niveles: básico, medio y alto. Prevé que las medidas de seguridad de nivel básico se adopten en “todos” los ficheros o tratamientos de datos de carácter personal. B) La conducta de Vodafone que es objeto de valoración en el presente expediente sancionador demuestra que existieron graves irregularidades en el tratamiento de los datos personales de varios clientes de la compañía: los denunciantes 1 y 2, por una parte, y los terceros, también clientes de Vodafone, a cuyos datos personales tuvieron acceso los denunciantes, por otra. - Respecto al denunciante 1 se verificó, con ocasión de la inspección practicada en la sede de la operadora, que el acceso a CLARIFY (Sistema de Información General de Clientes de Vodafone) ofrecía resultados diferentes según que tal acceso se hiciera utilizando como criterio de búsqueda el DNI del denunciante o el número de la línea a, de la que éste es titular. En el primer caso, el sistema informaba que entre los teléfonos contratados por el denunciante 1 se encontraba la línea a, en estado activo, asociada a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 cuenta cliente ***CLIENTE.6. En el segundo caso, cuando se accedía con el número de línea a, el sistema ofrecía información acerca del tercero. No obstante, se verificó que si se solicitaba información adicional sobre la cuenta cliente ***CLIENTE.6 el sistema devolvía información, exclusivamente, sobre el denunciante 1. Debe tenerse en cuenta que el acceso a los datos personales del tercero por parte del denunciante 1 a través de la página Mi Vodafone se ha venido produciendo, que sepamos, hasta primeros de mayo de 2012. El denunciante 1 interpuso su denuncia en la AEPD en diciembre de 2011, por lo que obviamente las impresiones de pantalla que aportó con su denuncia se obtuvieron en fechas anteriores. Por tal razón, entre los documentos aportados por el denunciante 1 en los que constan datos del tercero que él pudo visualizar figuran los siguientes:
  17. a)Impresiones de pantalla asociadas a la cuenta cliente ***CLIENTE.1 (con el nombre, apellidos y NIF del tercero) vinculada a un número de móvil cuyos tres últimos dígitos son **1, con la información del histórico de pagos hasta el 21 de septiembre de 2011, (folios 2 y 3)
  18. b)Impresiones de pantalla asociada a la cuenta cliente ***CLIENTE.2 (con el nombre, apellidos y NIF del tercero), vinculada a un número de móvil cuyos últimos dígitos son 687, con la información del histórico de pagos entre el 20/03/2011 y el 02/10/2011. En el tiempo transcurrido desde que el denunciante 1 interpone denuncia en la AEPD hasta que los inspectores de la AEPD acceden a Mi Vodafone, lo que aconteció el 11 de mayo de 2012 (ver hecho probado primero 4), Vodafone desactivó del canal on line la línea
  19. a)titularidad del denunciante. El resultado de tal desactivación es que el denunciante tuvo cerrada esta vía para acceder a información relacionada con su línea número
  20. a)y, al tiempo, se imposibilitó que pudiera visualizar, como hasta entonces venía ocurriendo, los datos personales del tercero. Esta circunstancia, la desactivación de la línea a), de la que es titular el denunciante, del canal Mi Vodafone, llevada a cabo por Vodafone, está plenamente acreditada. No solo lo verifican los inspectores de la AEPD, que pudieron comprobar que el sistema daba error si se utilizaba como contraseña de acceso a Mi Vodafone el citado número de línea a). También lo manifiesta así el denunciante 1 cuando se dirige a la Agencia en su escrito de 3 de mayo de 2012, en respuesta al requerimiento informativo (ver hechos probados primero dos y cuatro). Y así lo manifestaron también los representantes de Vodafone durante la inspección practicada en su sede, al señalar que <<como medida cautelar procedieron a deshabilitar el acceso utilizando como clave de usuario el número “línea a”>>, (folio 20) En consecuencia tras la inspección practicada en la sede de Vodafone por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 los inspectores de la Agencia se verifica que cuando se solicita el acceso a MI Vodafone utilizando como clave de acceso la línea
  21. a)el sistema daba error y señalaba información de otro cliente, (folio 19, punto 4.2.) Respecto a la información del tercero asociada a la línea
  22. a)de la que es titular el denunciante, que se ofrecía a través de MI Vodafone, la operadora denunciada ha manifestado (alegaciones al acuerdo de inicio) que la información que consta en CLARIFY se vuelca posteriormente en Mi Vodafone, de modo que se arrastran a éste último las incidencias puntuales derivadas de la actuaciones de los agentes, que han llevado a hacer esas vinculaciones entre la línea a, ( titularidad del denunciante 1) y un tercero. - Respecto al denunciante 2 se verificó con ocasión de la inspección practicada en la sede de la entidad denunciada que cuando se accede a la web Mi Vodafone utilizando como código de usuario el número de línea identificado con la letra z), de la que es titular el denunciante 2, el citado número consta asociado a los datos personales de un tercero (ver anexo) así como a dos cuentas cliente: la cuenta ***CLIENTE.8 ( que corresponde al denunciante 2, y que tiene vinculadas las dos líneas de las que él es titular, líneas z e y, ) y la cuenta cliente ***CLIENTE.7, a la que el denunciante 2 es totalmente ajeno y de la que es titular el tercero. En este sentido obtuvieron diversos documentos relativos a la facturación del tercero (copia de las facturas de la cuenta Vodafone 9***CLIENTE.7, del tercero, ***FACTURA.2, emitida el 15 de mayo de 2012, (ver folio 95). En fecha 11 de mayo de 2012 los inspectores actuantes obtienen impresión de la factura ***FACTURA.1, emitida el 15/04/2012, correspondiente a la cuenta Vodafone 9***CLIENTE.7. En la citada factura figura como titular el tercero, consta su NIF parcialmente anonimizado - siendo los últimos dígitos ***3-, y su domicilio. (Folios 121 a 124) En la inspección se concluye por los representantes de Vodafone que el índice secundario generado cuando se accede al sistema a través del número línea z, tiene un error y remite a información de un tercero, que no es el titular de la línea, (folio 129). Pues bien, sin perjuicio de las consideraciones precedentes, en las que se han puesto de relieve importantes irregularidades en el tratamiento de los datos personales de los clientes que Vodafone ha venido efectuando, no ha llegado a probarse de manera indubitada en el curso del procedimiento sancionador que nos ocupa que Vodafone haya incumplido una concreta medida de seguridad de las que está obligada a implementar en sus ficheros. Llegados a este punto resulta conveniente citar la STC 76/1990, de 26 de abril, en la que el Alto Tribunal se pronuncia en los siguientes términos en relación al derecho a la presunción de inocencia y al principio de culpabilidad: “No puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 inocencia comporta: que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” (El subrayado es de la AEPD) Por otra parte la Sentencia del Tribunal Constitucional de 20 de febrero de 1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En definitiva, los principios indicados impiden imputar una infracción administrativa si no se ha obtenido una prueba de cargo de los hechos que fundamentan la imputación, o de la intervención en los mismos del presunto infractor. En el asunto que nos ocupa no ha llegado a probarse, fuera de toda duda razonable, que los hechos acaecidos sean debidos a la omisión de alguna de las medidas de seguridad que la normativa de protección de datos, (Título VIII del RLOPD y artículo 9 de la LOPD) impone y que Vodafone está obligada a observar. A la luz de la información y documentación que obra en el expediente, recabada durante las Actuaciones de Investigación Previa, se concluye que no es posible determinar, con la certeza que un procedimiento sancionador exige, que Vodafone hubiera omitido la adopción de las medidas de seguridad a las que viene obligada por la normativa específica de protección de datos Se ha de operar, en consecuencia, conforme al criterio mantenido por Tribunal Constitucional, en beneficio de la presunción de inocencia de la entidad imputada, estimando por ello que los hechos declarados probados no demuestran, con la certeza necesaria, que la conducta de la denunciada constituya una infracción del artículo 9 de la LOPD, por lo que no es subsumible en el tipo sancionador del artículo 44.3.
  23. h)de la citada Ley Orgánica. Las razones apuntadas aconsejan acordar el archivo de las presentes actuaciones seguidas en el PS/561/2012 contra Vodafone, por infracción del artículo 9 de la LOPD. IV Se imputa a Vodafone la infracción del artículo 10 de la LOPD, como consecuencia de la revelación de los datos de sus clientes que obran en los ficheros de la compañía. A) El artículo 10 de la Ley Orgánica 15/1999, del deber de secreto, precepto que se trascribe en el Fundamento Jurídico II de esta resolución, tiene como finalidad evitar que quienes están en contacto con los datos personales de terceros, almacenados en ficheros, realicen filtraciones no consentidas por sus titulares. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 Muy significativa es a efectos de la infracción del artículo 10 LOPD, la Sentencia del Tribunal Superior de Justicia de Madrid de 19 de julio de 2001, en la que el Tribunal expone: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En el mismo sentido se ha pronunciado la Audiencia Nacional en Sentencias de 14 de septiembre de 2001 y 29 de septiembre de 2004 en las que ha declarado que “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. El Tribunal Constitucional en STC 292/2000 considera que el artículo 10 de la LOPD contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> . Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>>, que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. B) En el presente caso consta acreditado en el expediente, que el denunciante 1 tuvo pleno conocimiento de datos personales de un tercero. Así, no solo tuvo conocimiento de su nombre, dos apellidos, DNI, domicilio, nombre de la entidad bancaria en la que tiene domiciliado el pago de las dos líneas de teléfono que tiene contratadas con Vodafone (una de las líneas cuyos últimos dígitos son “**2” asociada a la cuenta cliente Vodafone 9***CLIENTE.2, y otra cuyos últimos dígitos son “**1” asociada a la cuenta Vodafone ***CLIENTE.1), sino también del histórico de pagos de ambas cuentas (de la primera entre el 20/03/2011 y el 02/10/2011, y de la segunda entre el 09/01/2011 y el 21/009/2011). Además el denunciante aportó con su denuncia copia de la factura ***FACTURA.3, de la cuenta Vodafone del tercero 9***CLIENTE.2, por el servicio asociado a la línea número (cuyos últimos dígitos son **2) en la que se detalla el consumo efectuado (hecho probado primero. 3, folios 2 a 4 y 7). Por lo que se refiere al denunciante 2, ha quedado igualmente probado en el expediente que tuvo conocimiento de los datos personales de un tercero. No solo nombre y apellidos, DNI, fecha de nacimiento, dirección postal, correo electrónico, teléfono de contacto, los veinte dígitos de la cuenta bancaria de facturación y el número de cuenta cliente Vodafone ***CLIENTE.7 a la que se asocia la línea v, titularidad del tercero, (ver hecho probado segundo.2 folios 65 a 67). En el mismo sentido, los inspectores de la AEPD verifican durante la inspección practicada en la sede de Vodafone que cuando el denunciante accede a Mi Vodafone utilizando como clave el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 número de línea de la que es titular, línea
  24. z)se comprueba que está asociada también a una cuenta cliente Vodafone del tercero, cuenta ***CLIENTE.7, y que recibe información de la línea número v), (hecho probado segundo.6. c, folios 91 a 101). En tal sentido se obtuvo copia de la factura correspondiente a esa cuenta Vodafone y número de línea del tercero, número ***FACTURA.2, emitida el 15 de mayo de 2012, en la que además de constar la identificación del tercero se refleja el desglose del consumo facturado, (folios 95 a 97). Por otra parte, obra también en el expediente copia de la factura ***FACTURA.1, emitida el 15 de abril de 2012, que corresponde a la misma cuenta Vodafone del tercero y a la misma línea precitada (línea número v), que obtuvieron los inspectores antes de acudir a la sede de Vodafone al acceder al canal on line Vodafone utilizando como código de usuario y contraseña los facilitados por el denunciante 2, (ver hecho probado segundo. 4, folios 124 a 124) En consecuencia, la conducta antijurídica de Vodafone, la revelación de los datos personales de dos clientes de la operadora (los terceros), en tanto la entidad ha posibilitado tal conocimiento como consecuencia de haber asociado en sus ficheros la línea a, de la que es titular el denunciante 1, con los datos personales de un tercero, y respecto al denunciante 2, haber asociado la línea z con los datos de un tercero, constituye un hecho incontrovertido. Nos remitimos a este respecto a los hechos probados primero 3 y segundo 2, 4, y 6. También Vodafone reconoce en sus alegaciones al acuerdo de inicio del expediente que “Tal y como ha quedado acreditado, durante ciertos periodos de tiempo, los denunciantes 1 y 2 pudieron ver datos de terceros (cada uno de uno) a través de la plataforma “Mi Vodafone”, (folio 151) La Audiencia Nacional considera que la infracción tipificada en el artículo 44.3.
  25. d)de la LOPD, (antes de la reforma operada por la LES, artículo 44.3.g de la LOPD) es una infracción de resultado, que exige, para que pueda apreciarse su comisión, que conste acreditado que alguna persona ha tenido conocimiento de los datos sobre los que existe un deber de guardar secreto. A este respecto, en STAN de 7 de mayo de 2009, la Audiencia Nacional declaró lo siguiente: "En el presente caso la Sala no aprecia que se haya producido la revelación de secretos que se imputa a AAA, por varias razones: Por un lado, porque no ha resultado acreditado que los datos personales de D... respecto de los que hubiera deber de secreto profesional por parte de AAA, hayan sido revelados a persona alguna. La infracción tipificada en el art. 44.3.
  26. g)es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional –como aquí ocurre en relación con el número de la cuenta corrientese hayan puesto de manifiesto a un tercero, sin que pueda presumirse que tal revelación se ha producido.” (El subrayado es de la AEPD) C) La denunciada ha alegado en su defensa que no existe infracción del artículo 10 LOPD porque guarda y ha guardado siempre el secreto profesional de los datos personales de los denunciantes 1 y 2 “ya que ningún tercero pudo acceder a sus datos personales, sino que fueron los denunciantes 1 y 2 quienes pudieron ver los datos de un tercero”. Conviene recordar que la infracción imputada a Vodafone, vulneración del deber C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 de secreto, se encuentra plenamente acreditada en el expediente. Y que a estos efectos es irrelevante, por cuanto en todo caso la conducta de Vodafone es contraria al precepto mencionado, que los datos personales que se han visto afectados por la revelación sin el consentimiento del titular sean los de los denunciantes 1 y 2 o los de otros clientes de Vodafone; datos en definitiva sobre los que Vodafone tenía una obligación de custodia. Como es bien sabido el procedimiento sancionador se inicia siempre de oficio por el órgano administrativo competente, en este caso el Director de la AEPD, teniendo la denuncia exclusivamente un valor de “notitia criminis”, de vehículo mediante el que se pone en conocimiento de la Agencia un presunta infracción administrativa, por lo que el hecho de que no sean los datos personales de los denunciantes los que han sido conocidos por terceros sino al contrario, los denunciantes quienes conocieron los datos de otros clientes de la denunciada, no es óbice para la comisión de la infracción imputada. Argumenta también en su defensa que falta el elemento subjetivo de la infracción, porque dice, estamos en presencia de un hecho puntual y aislado que tiene su origen en un error del agente de la operadora que al dar de alta en la misma fecha las líneas de las que son titulares los denunciante y los terceros efectuó una indebida vinculación entre ambas. Sobre esta cuestión nos remitimos a las consideraciones que se hacen en el Fundamento de Derecho siguiente ( V) Teniendo en cuenta que es responsabilidad de Vodafone la custodia de los datos que se incorporan a sus ficheros, y dado que es incuestionable que los denunciantes 1 y 2 tuvieron perfecto conocimiento de datos personales de terceros, también clientes de esa compañía, se concluye que la citada entidad incurrió en sendas infracciones del artículo 10 de la LOPD. Vulneración del deber de secreto que tipifica el artículo 44.3.
  27. d)de la citada norma en los siguientes términos: “Son infracciones graves: (..) La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. V Corresponde examinar a continuación si la conducta de Vodafone, que contraviene el artículo 10 de la LOPD, puede subsumirse en el tipo sancionador contemplado en el artículo 44.3.
  28. d)y si, en tal caso, la infracción es Imputable a la operadora. A) Respecto a la primera de estas cuestiones, constatado que la entidad realizó la acción típica – infracción del deber de secreto de los datos incorporados a sus ficheros–, se debe verificar si concurre el elemento subjetivo de la culpabilidad, cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor.El Tribunal Constitucional en STC 76/1999 afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC proclama el principio de culpabilidad en el marco C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. En ese sentido la Audiencia Nacional, Sentencia de 17 de octubre de 2007 (Rec. 63/2006), expone que “....el ilícito administrativo previsto en el artículo 44.3.
  29. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la Sentencia anteriormente citada la Audiencia Nacional precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Vodafone aduce en su defensa que falta el elemento subjetivo de la infracción, porque, dice, estamos en presencia de un hecho puntual y aislado que tiene su origen en la conducta de un agente de la operadora que incurrió en un error con ocasión de haber dado de alta en la misma fecha las líneas de las que son titulares los denunciantes y los terceros, efectuando una indebida vinculación de las líneas de ambos clientes. En sus dos escritos de alegaciones, al acuerdo de inicio y a la propuesta de resolución, la denunciada insiste en que el origen de los hechos es un error humano del agente que tramitó el alta “frente al cual poco puede hacer mi representada a pesar de poner todos los medios técnicos posibles para garantizar el deber de secreto de los datos personales de los clientes”. Sin embargo, en respuesta a este alegato debemos recordar que cuando el error es muestra de falta de diligencia el tipo es aplicable. La Audiencia Nacional en Sentencia de 21 de septiembre de 2004 (RCA 937/2003), se pronuncia en los siguientes términos: “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
  30. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” (el subrayado es de la AEPD). También en esta misma línea es procedente traer a colación la STAN de 25 de marzo de 2011, (Rec 766/2009). En el citado procedimiento se impugnó la resolución de la AEPD que sancionaba a Iberdrola por vulneración del artículo 4.3 de la LOPD, al haber trasladado, con ocasión de una contratación telefónica, al fichero de clientes de la suministradora de servicios los datos de la contratante del servicio telefónico cambiando el nombre de la titular. Iberdrola formulo recurso contencioso administrativo y alegó en su defensa que existió un error en los datos de identidad del cliente argumentando que fue posiblemente el agente telefónico que realizó la contratación quien incurrió en un error. Alegó entonces la recurrente que el error en la identidad del titular del contrato de telefonía no podía ser causa de un procedimiento sancionador y menos tipificarse como infracción. La STAN de 25 de marzo de 2011 desestimó la invocación del error y expuso lo siguiente en su Fundamento de Derecho Cuarto: “ En el caso de autos ese principio se ha vulnerado pues el error alegado por la recurrente no era invencible y pudo ser subsanado y evitado con una conducta diligente por parte de Iberdrola, siendo indicativo de una falta de diligencia o cuidado que hace a dicha entidad responsable de la infracción apreciada. Efectivamente, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/19992 dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aun a título de simple inobservancia. (…) Existencia de culpa o negligencia que se aprecia en el caso de autos, al haberse trascrito de forma errónea y sin adoptar las cautelas necesarias, un dato personal de la denunciante”. (El subrayado es de la AEPD) En el supuesto que nos ocupa la falta de diligencia de Vodafone es notoria. Por una parte es evidente que el error en el que, según ha declarado Vodafone, habría incurrido su agente era vencible. Basta como prueba en tal sentido señalar que en la misma fecha se contrataron otras líneas de telefonía por el denunciante 1 y por el tercero que no se vieron afectadas por la vinculación irregular que se produjo entre la línea
  31. a)titularidad del denunciante 1 y las del tercero y que derivó en la revelación de datos del cliente de la compañía. Tampoco es admisible la tesis de Vodafone según la cual estamos en presencia de un error puntual y aislado. Recordemos que en este expediente se valora la conducta de Vodafone en relación que deriva de dos denuncias por los mismos hechos, y que si bien la actuación de Vodafone es la misma en ambos casos tuvo lugar en fechas distintas y afectó a personas diferentes, por lo que difícilmente puede admitirse que estemos ante una actuación aislada. A la vista de estas consideraciones se infiere que el elemento subjetivo de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 culpabilidad sí está presente en el asunto que nos ocupa y se concreta en la falta de diligencia demostrada por Vodafone en el tratamiento de los datos de sus clientes (los terceros), con ocasión del desarrollo de su actividad empresarial. B) Respecto a la segunda de las cuestiones planteadas, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por su parte, el artículo 3
  32. d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En consecuencia, Vodafone, en su condición del responsable del fichero al que se incorporan los datos personales de sus clientes (los terceros) que han sido revelados a los denunciantes 1 y 2, es responsable de la infracción del artículo 10 de la LOPD que se le imputa. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  33. a)El carácter continuado de la infracción.
  34. b)El volumen de los tratamientos efectuados.
  35. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  36. d)El volumen de negocio o actividad del infractor.
  37. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  38. f)El grado de intencionalidad.
  39. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  40. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  41. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 procedimientos no debida a una falta de diligencia exigible al infractor.
  42. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  43. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  44. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  45. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  46. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  47. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". En primer término hay que destacar que no concurren en el asunto que nos ocupa las circunstancias descritas en los apartados a), c),
  48. d)y
  49. e)del precepto. Vodafone ha solicitado la aplicación de la atenuante privilegiada del artículo 45.5.
  50. b)de la LOPD que justifica en la “diligencia ….en cuanto a la implementación de medidas tendentes a garantizar la seguridad de los datos”. Sin embargo, en aras a valorar la procedencia de aplicar el artículo 45.5.
  51. b)LOPD lo relevante es la reacción demostrada por la entidad una vez conocidos los hechos con el propósito de poner fin a la situación irregular generada. A la vista de la documentación que obra en el expediente se ponen de manifiesto las siguientes circunstancias:
  52. a)Denunciante 1: El denunciante manifestó en su denuncia que desde que dio de alta la línea
  53. a)en el servicio on line de Vodafone tuvo acceso a la información de un tercero (hecho probado primero 1, folio 1). Además, obran en el expediente, aportadas por Vodafone durante la inspección practicada en su sede, impresiones de pantalla de los sistemas de la entidad en las que consta un registro telefónico asociado al denunciante 1, de fecha 26 de septiembre de 2011, con la siguiente anotación: “El cliente indica que con su línea (línea número a)cuando consulta on line C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 aparecen otras tres líneas a nombre de otro cliente y puede ver los datos de otro cliente ( especifica el nombre y apellidos) , ve hasta su cta bancaria. Las líneas que aparecen con la suya son (especifica número de línea del tercero, cuyos últimos dígitos son 001, **1, y **2) y están a nombre de (especifica el nombre del tercero), (folio 55). Recordemos que el escrito de denuncia entró en la Agencia el 9 de diciembre de 2011. Por tanto, cuando habían transcurrido más de dos meses desde que el denunciante comunicó a la operadora que visualizaba los datos personales de un tercero a través del canal on line (lo que aconteció el 26 de de septiembre de 2011) y sin que Vodafone hubiera subsanado la incidencia. Habrá que esperar hasta el 3 de mayo de 2012, fecha en la que el denunciante envía a la AEPD su escrito de respuesta responde al requerimiento informativo de la Inspección sobre cómo acceder al canal Mi Vodafone, para que se tenga por primera vez noticia de que Vodafone ha adoptado alguna medida al respecto. La decisión de Vodafone consistió en impedir al denunciante 1 acceder al canal on line utilizando como clave el número de su línea a). En definitiva, no conocemos en qué fecha Vodafone adoptó la citada medida ( el denunciante se limita a manifestar en su escrito de 3 de mayo que “ahora mismo me da un mensaje de error”, folio 10), pero es incuestionable que desde la fecha en la que consta comunicada la incidencia a Vodafone y registrada en sus sistemas (el 26 de septiembre de 2011) hasta la presentación de la denuncia en la AEPD, el 9 de diciembre de 2011, fecha en la que aún no se había puesto fin a la situación irregular, transcurrieron más de dos meses. Un prolongado periodo de tiempo que impide calificar la actuación de esta operadora de diligente. b)Denunciante 2: Está acreditado que el denunciante 2 dirigió en fecha 28 de noviembre de 2011 un correo electrónico a Vodafone informándole que cuando accede a Mi Vodafone, tras identificarse, visualiza los datos personales de otro cliente de la compañía. En el citado correo electrónico el denunciante 2 informa del nombre del cliente cuyos datos se hacen públicos y se identifica a sí mismo ante la operadora con su número de NIF (folio 63, hecho probado segundo 3). Paralelamente consta acreditado que cuando los inspectores de la AEPD accedieron el 11 de mayo de 2012 al canal on line de Vodafone utilizando la clave de acceso del denunciante 2, su número de línea de teléfono (línea número z), aún podían visualizarse los datos del tercero, (hecho probado segundo 4). Esto significa que transcurrieron más de cinco meses desde que el denunciante 2 puso en conocimiento de Vodafone la revelación de los datos personales del tercero sin que tengamos constancia de la adopción por la operadora de alguna medida destinada a poner fin a tal situación. Vodafone argumenta que el mismo día 28 de noviembre de 2011 respondió al correo electrónico del denunciante solicitándole sus claves de acceso para poder verificar los hechos, pero que el denunciante 2 no respondió. Efectivamente, tal y como consta en la documentación que obra en el expediente el denunciante 2 no respondió a la petición de Vodafone (folio 63). No obstante, el hecho de que el denunciante no respondiera - en lugar de ello presentó su reclamación en la OMIC que a su vez la remitió a la AEPD – no excusa a la entidad de la obligación de adoptar las medidas pertinentes para salvaguardar el secreto de los datos de sus clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20 Las razones expuestas impiden estimar la pretensión de Vodafone de que se aplique el efecto jurídico descrito en el artículo 45.5 LOPD, al amparo de su apartado b). Por tanto, al no concurrir ninguna de las atenuantes privilegiadas del artículo 45.5 de la LOPD, y puesto que infracción imputada tiene la consideración de infracción grave, procede imponer una multa cuyo importe oscile entre 40.001 € y 300.000 €, en aplicación de lo señalado en el apartado 2 del citado artículo 45. Centrándonos en los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, se valora la presencia de diversas circunstancias que operan como agravantes de la conducta que ahora se enjuicia: - “El volumen de los tratamientos efectuados”, apartado b), pues los datos personales que han sido revelados pertenecen a dos clientes de la entidad. - “La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal”, apartado c), dado que el desarrollo de su actividad empresarial exige un constante tratamiento de datos personales, tanto de clientes como de terceros. -“El importante volumen de negocio”, apartado
  54. d)del artículo 45.4 de la LOPD, por ser Vodafone uno de los tres grandes operadores del país por cuota de mercado, hecho notorio sobre el que no es necesaria prueba. - “El grado de intencionalidad”, apartado f), expresión que debe entenderse en el sentido de grado de culpabilidad. A tal efecto merece destacarse la grave falta de diligencia demostrada por la operadora en la conducta que se enjuicia en este expediente. Debe tomarse en consideración, en este sentido, la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Estas empresas deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar, siempre, por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos como de forma reiterada sostiene la Audiencia Nacional, entre otras, en Sentencia de 26 de noviembre de 2008. Se concluye que Vodafone reveló los datos personales de dos de sus clientes (los terceros) a los denunciantes 1 y 2, al haber posibilitado el acceso a tal información desde la página web Mi Vodafone. Esa información incluye no solo nombre, apellidos, domicilio y en uno de los casos los veinte dígitos de la cuenta bancaria, sino también el desglose de la facturación. La información que consta en Mi Vodafone se obtiene del volcado de datos desde el Sistema de Información General de Clientes (CLARIFY). Ha quedado probado que, en relación con el denunciante 1, cuando se accede a este sistema utilizando como clave el número de línea
  55. a)de la que él es titular, el sistema ofrece información de un tercero. Respecto al denunciante 2 se verificó que cuando se accede utilizando como clave el número de línea z), de la que este denunciante es titular, se accede a información de un tercero. Esta equivocada vinculación de información de unos clientes con otros permitió que los denunciantes 1 y 2 estuvieran durante varios meses visualizando los datos de terceros, también clientes de Vodafone, al acceder con sus claves a la página C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 on line de Mi Vodafone. Tomando en consideración, por una parte, que no es posible aplicar el efecto jurídico previsto en el artículo 45.5 LOPD, por cuanto no concurre ninguna de las circunstancias descritas en el precepto, y, por otra, la presencia de varias de las circunstancias del artículo 45.4 de la citada Ley Orgánica que operan como agravantes de la antijuridicidad de la conducta y/o de la culpabilidad de la entidad, se acuerda sancionar a Vodafone, por la infracción del artículo 10 de la LOPD, con una multa de 50.000 €.>> III Por lo tanto, examinado el presente recurso de reposición interpuesto por VODAFONE ESPAÑA, S.A., habida cuenta de que la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, debe acordarse su desestimación. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por VODAFONE ESPAÑA, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 29 de abril de 2013 en el procedimiento sancionador PS/00561/2012. SEGUNDO: NOTIFICAR la presente resolución y el Anexo a la entidad VODAFONE ESPAÑA, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, según redacción introducida por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.