1/10 Procedimiento nº.: PS/00581/2012 ASUNTO: Recurso de Reposición Nº RR/00402/2013 Examinado el recurso de reposición interpuesto por la entidad Vodafone España SAU contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00581/2012, y en base a los siguientes, HECHOS PRIMERO: Con fecha 17 de abril de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00581/2012 , en la que se acuerda Imponer a la entidad Vodafone España SAU, por una infracción del artículo 4.3 de la LOPD, tipificada como tipificada como grave en el artículo 44.3.
- c)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica.. Dicha resolución, que fue notificada al recurrente en fecha 18/04/13, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00581/2012, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS 1. 1.07/07/11, el denunciante A.A.A. llama a Vodafone para reclamar por un producto facturado que no ha contratado, según queda anotado en el registro telefónico.(folio 54) 2. 2.21/07/11, Vodafone emite factura rectificativa –de 12 facturas anteriores a nombre del denunciante A.A.A. por importe de 200,53 €, por la línea de telefonía móvil ***TEL.1, por el concepto de “llamadas”. (folio 76) 3. 3.26/07/11, Vodafone emite factura del periodo 26/06/11 a 25/07/11 a nombre del denunciante A.A.A. por importe de 245,63 €, por las líneas de telefonía móvil ***TEL.1, ***TEL.2, ***TEL.3 y ***TEL.4. El importe es el resultado de la suma de los conceptos de “voz” (196,2351 €), “mensajes” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 (3,4990 €), “internet y datos” (4,8000 €) y “descuentos” (-16,0000 €) de las cuatro líneas. (folios 14,15 y 78-84) 4. 4.09/08/11, Vodafone emite factura rectificativa de la de 26/07/11 con abono de 5,66 €, en concepto de consumos. (folio 77) 5. 5.11/08/11, Vodafone recibe la siguiente reclamación del denunciante: “Servicio de reclamaciones de Vodafone. Ante la información errónea que ustedes nos trasmitieron en las llamadas: 7-julio-2011 20:16 ***TEL.1 al 122 y al 123, y el 7-julio2011 20:22 del ***TEL.3 al 122 comunicando que nuestra permanencia se acababa el 21 de julio, procedimos al cambio de compañía de teléfono de los teléfonos ***TEL.3, ***TEL.4, ***TEL.1 y ante nuestra sorpresa y estupor nos han enviado una factura de ustedes de 446,16 euros por penalización, al ponemos en contacto con ustedes fecha 8/8/2011 nos han comunicado que la fecha que nos habían comunicado no es correcta ya que ustedes dicen que por su cuenta y riesgo ampliaron la permanencia sin comunicárnoslo. Le rogamos que compruebe las llamadas efectuadas ya que están grabadas y anulen la penalización, y la permanencia de la línea ***TEL.2 sin ninguna penalización, también aprovecho para quejarme de que se nos dio de alta sin comunicárnoslo de Internet en la línea ***TEL.4, a pesar de llamadas pidiendo la desconexión de esta tarifa, ustedes no han hecho caso de repetidas llamadas y al día de hoy nos han seguido facturando Internet en esta línea. Espero su pronta contestación (que agradecería que fuese con acuse de recibo).” (folios 4 y 12) 6. 6.26/08/11, Vodafone emite factura del periodo 26/07/11 a 25/08/11 a nombre del denunciante A.A.A. por importe de 60,27 €, por la línea de telefonía móvil ***TEL.2. El importe es el resultado de la suma de los conceptos de “voz” (79,6292 €), “mensajes” (0,4500 €) y “descuentos” (4,0000 €). (folios 85-88) 7. 7.02/09/11, Vodafone recibe traslado de la SETSI de la reclamación sobre el cobro de la tarifa de datos en la factura julio 2011. (folio 55) 8. 8.05/09/11, respuesta de Vodafone a la SETSI “Nos dirigimos a usted en respuesta a su escrito de fecha 1 de septiembre de 2011, en el que nos traslada una cuestión planteada por D. A.A.A., con número de reclamación RC*******/1 1/NT. … Le comunicamos que, el día 11 de agosto de 2011 se reembolsó en la cuenta bancaria del Sr. A.A.A., 5.66 €, impuestos indirectos incluidos, correspondiente a la cuota de datos facturada en el mes de julio, completando así el abono realizado anteriormente por el mismo motivo, pero de las facturas anteriores e importe 200.53 €, impuestos indirectos incluidos. Así mismo, hemos comprobado la factura del mes de agosto, verificando que no hay cargos de cuotas de datos, y por tanto es correcta. También le informamos al Sr. A.A.A. que tiene un saldo pendiente de 305.90 €, impuestos indirectos incluidos, generado por la devolución por parte de D. A.A.A. de la factura de 26 de julio de 2011, y la emisión de la factura de 26 de agosto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 … “. 9. 9.08/09/11, el denunciante envía a Vodafone, certificado con aviso de recibo, escrito de reiteración de otro escrito del mes anterior y de la solicitud de baja de la línea ***TEL.4. (folio 13) 10. 10.26/09/11, Vodafone emite factura del periodo 26/08/11 a 25/09/11 a nombre del denunciante A.A.A. por importe de 17,13 €, por la línea de telefonía móvil ***TEL.2. El importe es el resultado de la suma de los conceptos de “voz” (38,8239 €) y “descuentos” (-2,3226 €). (folios 89-91) 11. 11.06/10/11, entrada en la SETSI de escrito del denunciante dándole traslado de las dos reclamaciones presentadas ante Vodafone. (folio 3, 16, 17) 12. 12.06/11/11, inclusión en Badexcug de los datos personales del denunciante unidos a una deuda de 323,03 € por Vodafone. (folio 18, 41, 45) No consta notificación de requerimiento previo. 13. 13.26/12/11, inclusión en Asnef de los datos personales del denunciante unidos a una deuda de 323,03 € -agosto y octubre de 2011- por Vodafone. (folio 19, 27) No consta notificación de requerimiento previo. 14. 14.23/06/12, Vodafone emite factura rectificativa de las de julio, agosto y septiembre de 2011 con abono de 323.03 €, en concepto de cuotas. (folio 93) 15. 15.27/06/12, Vodafone da de baja la anotación de los datos personales del denunciante en Badexcug. (folio 41) No hay constancia de la cancelación en Asnef. TERCERO: Vodafone España SAU ha presentado el 17/05/13, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en la reiteración literal de sus alegaciones presentas en el procedimiento sancionador.. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 En relación con las manifestaciones efectuadas por Vodafone España SAU, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del HUECO ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: II Se imputa a Vodafone España SAU en el presente procedimiento, la comisión de una infracción del artículo 4.3 de la LOPD, que señala lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Las razones o motivos por los que se ha generado el impago y el importe exacto de ese impago no son objeto del estudio de esta Agencia, temas ajenos a su competencia. En el caso que nos ocupa hemos de circunscribirnos al tratamiento de los datos personales de la denunciante por parte de la denunciada. En el presente caso, ha quedado fijado el hecho: Vodafone España SAU, instó el alta de los datos relativos a la persona denunciante en el fichero Badexcug y Asnef sin haber acreditado que se haya notificado a la persona afectada el requerimiento previo a la anotación en el fichero de morosos. Las anotaciones fueron realizadas a pesar de que le había sido comunicada la reclamación ante la SETSI y pendiente de resolución. Según afirma la imputada, tras una reclamación de la OCU el importe de la deuda reclamada fue anulado y se canceló la anotación en Badexcug. De Asnef nada ha sido acreditado. Ha de concluirse que incluye en loa ficheros de morosos sin notificar el requerimiento previo -por una deuda inexistente, conforme a la actuación posterior-, habiéndole sido notificada la reclamación ante la SETSI y a pesar de todas las reclamaciones. Así pues había sido incluida en los ficheros de morosos por una deuda inexistente. Que ha mantenido anotada más de seis meses La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito. El artículo 38 del Reglamento de desarrollo de la LOPD, “Requisitos para la inclusión de datos” dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 1. “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
- b)(…).
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Por tanto, de acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que ésta haya sido requerida previamente de pago antes de comunicar los datos del deudor al responsable del fichero común. En este caso, Vodafone España SAU informó los datos personales de la persona denunciante a los ficheros de morosos, sin cumplir los requisitos exigidos. Los hechos anteriormente relatados son contrarios al principio de calidad de datos consagrado en el artículo 4.3, en relación con el 29.4 de la LOPD y las normas reglamentarias citadas. III. El artículo 44.3.
- c)de la LOPD considera infracción grave, “Son infracciones graves:
- c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. El principio de calidad de los datos, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional, entre otras, las de fechas 25/05/01 y 05/04/02. En este caso, Vodafone España SAU ha incurrido en la infracción descrita, ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 en relación con el artículo 29 de la LOPD y 38 y 39 del Reglamento de Desarrollo relativa a la prestación de servicios de información sobre solvencia patrimonial y crédito, cuando informó para su inclusión en los ficheros de solvencia patrimonial, los datos personales de la persona denunciante, asociados a una deuda, sin efectuar los requerimientos previos de pago preceptivos y sin que reflejara la situación real de la relación contractual del denunciante afectado. La falta de diligencia observada, configura el elemento de culpabilidad de la infracción administrativa imputable. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 IV El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Dado que los hechos objeto de este procedimiento han sido tipificados como infracción grave, la sanción que procede imponer debe ser de un importe comprendido entre 40.001 y 300.000 euros. V El artículo 45.5 de la LOPD, establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La imputada en su escrito de alegaciones solicita la aplicación del 45.5 de la LOPD de forma genérica sin determinar que apartado recoge las circunstancias que invoca como suficientes. Esa circunstancia y la no acreditación de otras circunstancias que pudieran ser consideradas, impide la estimación de lo solicitado. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 El artículo 45.5 de la LOPD, establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La imputada en su escrito de alegaciones solicita la aplicación del 45.5 de la LOPD de forma genérica sin determinar que apartado recoge las circunstancias que invoca como suficientes. Esa circunstancia y la no acreditación de otras circunstancias fácticas que pudieran ser consideradas, impide la estimación de lo solicitado. Es necesario analizar la reacción de la imputada ante las reclamaciones de la persona denunciante. Los hechos declarados probados no han sido impugnados, no ha aportado documento alguno con las alegaciones para acreditar la notificación del requerimiento previo a la inclusión en Badexcug. En sus alegaciones tan solo muestra su posición contraria a la tipificación de los hechos como infracción y a la sanción derivada de ella. La primera reclamación telefónica acreditada de la persona denunciante a Vodafone es de 07/07/11. La operadora rectifica parte de la facturación, emite la de julio y luego rectifica a primeros de agosto. La primera reclamación escrita es de 11/08/11 (hecho probado 5), pero Vodafone emite el 26/08/11 factura por uno de los móviles dados de baja. En su respuesta a la SETSI Vodafone hace constar que el reclamante adeuda el importe de la factura de julio impagada. La segunda reclamación escrita es de 08/09/11 y reiterativa la anterior. Vodafone incluye a la persona denunciante en Badexcug el 06/11/11 y en Asnef el 26/12/11 por una deuda de agosto y octubre de 2011. No consta notificación de requerimiento previo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 Seis meses más tarde, en junio de 2012 emite facturas rectificativas de las de julio agosto y septiembre y días después cancela la inclusión en Badexcug. Nada se ha acreditado de la de Asnef. Desde la primera reclamación en julio de 2011 hasta la rectificación ultima y la cancelación en uno de los ficheros de morosos en junio de 2012, transcurre casi un año. No es diligente la actuación encaminada a regularizar la situación irregular y ha de concluirse que la diligencia empleada es insuficiente para la aplicación del 45.5.
- b)de la LOPD. VII El artículo 45.4 de la LOPD, establece que: “La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Los criterios de graduación de las sanciones establecidos en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, da lugar a las siguientes observaciones: - El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio de calidad de datos durante casi un año. - El volumen del tratamiento es reducido, uno solo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que Vodafone España SA es una empresa que tiene como actividad la prestación de servicios de telecomunicaciones y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. - En lo que se refiere al volumen de negocio de Vodafone España SA hay que hacer constar que si bien es un hecho notorio que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa infractora, una de las más importantes en este país y a nivel global. Se deduce el importante volumen de negocio de la entidad infractora, circunstancia a tener en cuenta para la graduación de la sanción. - El beneficio obtenido no se ha acreditado, aunque puede deducirse que no ha habido. - El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordeno la inclusión en Badexcug y Asnef no tuviera intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos pequeños incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. - La imputada ha sido objeto de expedientes sancionadores por infracciones similares. - No se ha acreditado daño cuantificable en euros, solo puede computarse la redacción y presentación de escritos de reclamación y denuncias, y todas las gestiones a que se ve obligado la persona denunciante. - Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. El balance de todas las circunstancias contemplados por el 45.4 de la LOPD no es favorable a la imputada. Con la valoración de todas las circunstancias procede fijar la sanción 50.000 €. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 Por lo tanto, en el presente recurso de reposición, Vodafone España SAU no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Vodafone España SAU contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 17 de abril de 2013, en el procedimiento sancionador PS/00581/2012. SEGUNDO: NOTIFICAR la presente resolución a la entidad Vodafone España SAU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. JOSÉ LUIS RODRÍGUEZ ÁLVAREZ DIRECTOR DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es