REPOSICION-PS-00602-2012

1/9 Procedimiento nº.: PS/00602/2012 ASUNTO: Recurso de Reposición Nº RR/00418/2013 Examinado el recurso de reposición interpuesto por la entidad Vodafone España SAU contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00602/2012, y en base a los siguientes, HECHOS PRIMERO: Con fecha 18 de abril de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00602/2012 , en la que se acuerda IMPONER a la entidad Vodafone España SA, por una infracción del artículo 4.3 de la LOPD, tipificada como tipificada como grave en el artículo 44.3.

1. c)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 22/04/13, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00602/2012, quedó constancia de los siguientes: procedimiento sancionador, <<< HECHOS PROBADOS 1. 1.26/09/08, fecha de alta de la persona denunciante, A.A.A., como titular por contrato con Vodafone de las líneas ***TEL.1 y ***TEL.2. (folio 65) 2. 2.01/02/10, Vodafone emite factura del periodo 01/01/10 a 25/01/10 a nombre del denunciante por importe de 258,06 €, por las líneas de telefonía móvil ***TEL.1 y ***TEL.2. El importe corresponde al consumo y 200 € a “cargo por baja de servicio” de ambas líneas. (folios 46 a 49) 3. 3.08/04/10, Vodafone emite aviso de pago dirigido a la persona denunciante, A.A.A., para que abone el importe pendiente de 258,47 €, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 que fue el motivo de la suspensión cautelar de los servicios contratados. (folio 4) 4. 4.18/07/10, Vodafone anota los datos personales del denunciante en el fichero Badexcug asociados a una deuda de 258,47 €. (folios 22 y 27) 5. 5.05/10/10, fecha del escrito que la persona denunciante dirige a “Atención del Cliente” de Vodafone en el que solicita, por la factura de penalización por la baja solicitada por servicio insatisfactorio, la cancelación de la factura y la anotación en el fichero de morosos, y que se abstengan de acciones de cobro. (folio 6) 6. 6.23/11/10, escrito de reclamación ante la SETSI por los mismos motivos. (folio 7-8) 7. 7.05/01/11, Vodafone recibe la notificación de la SETSI sobre la reclamación del denunciante. (folio 10) 8. 8.08/02/11, Vodafone comunica a la SETSI que el importe facturado origen del desacuerdo corresponde a las bajas de las líneas contratadas sin haber cumplido el periodo de permanencia comprometido al contratar. (folio 10) 9. 9.09/02/11, Vodafone emite factura rectificativa de la de 01/02/10 por importe de 200 € (+ IVA) por el concepto de otros abonos. (folio 51) 10. 10.13/02/11, Vodafone cancela la anotación de 18/07/10 en Badexcug. (folios 22 y 27) 11. 11.25/03/11, el denunciante realiza transferencia de 26,47 € a la cuenta de Vodafone en el BSantander. 12. 12.17/04/11, Vodafone anota por segunda vez los datos personales del denunciante en el fichero Badexcug asociados a una deuda de 258,47 €. (folios 22 y 27) 13. 13.01/09/11, escrito del denunciante dirigido a Experian solicitando la cancelación de sus datos en el fichero Badexcug, pues existe un principio de prueba documental que contradice la existencia y legitimidad de la deuda. (folio 14 y 30-37) 14. 14.15/09/11, Experian comunica al denunciante que su cancelación ha sido rechazada por haber sido confirmados los datos por la entidad informante. (folio 16 y 37-39) 15. 15.02/10/11, Vodafone cancela la anotación de 17/04/11 en Badexcug. (folios 22 y 28) >>> TERCERO: Vodafone España SAU ha presentado el 22/05/13 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en la reiteración literal de sus alegaciones presentas en el procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 sancionador. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por Vodafone España SAU, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: II Se imputa a Vodafone España SAU en el presente procedimiento, la comisión de una infracción del artículo 4.3 de la LOPD, que señala lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Las razones o motivos por los que se ha generado el impago y el importe exacto de ese impago no son objeto del estudio de esta Agencia, temas ajenos a su competencia. En el caso que nos ocupa hemos de circunscribirnos al tratamiento de los datos personales de la denunciante por parte de la denunciada. En el presente caso, ha quedado fijado el hecho: Vodafone España SAU, instó el alta de los datos relativos a la persona denunciante en el fichero Badexcug sin haber acreditado que se haya notificado a la persona afectada el requerimiento previo a la anotación en el fichero de morosos. La anotación no fue suspendida a pesar de que había sido objeto de reclamación ante la SETSI y pendiente de resolución. Cuando esta se produjo, el importe de la deuda reclamada fue anulado y se canceló la anotación en Badexcug. El resto del importe de la factura fue pagado por transferencia bancaria, pero menos de un mes después Vodafone España SAU volvió a notar en Badexcug por el mismo importe que la vez anterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 El denunciante solicita la cancelación aportando todos los documentos necesarios, pero Vodafone España SAU mantiene la anotación. Un mes más tarde la cancela. Ha de concluirse que incluye en Badexcug sin notificar el requerimiento previo, por una deuda inexacta, no suspende cuando le es notificada la reclamación ante la SETSI, vuelve a incluir en el fichero de morosos por el mismo importe –anulada una parte y pagada otra-, y rechaza la solicitud de cancelación. Así pues había sido incluida en los ficheros de morosos por una deuda inexistente. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito. El artículo 38 del Reglamento de desarrollo de la LOPD, “Requisitos para la inclusión de datos” dispone lo siguiente: “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. (…). Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Por tanto, de acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que ésta haya sido requerida previamente de pago antes de comunicar los datos del deudor al responsable del fichero común. En este caso, Vodafone España SAU informó los datos personales de la persona denunciante al fichero Badexcug, sin cumplir los requisitos exigidos. Los hechos anteriormente relatados son contrarios al principio de calidad de datos consagrado en el artículo 4.3, en relación con el 29.4 de la LOPD y las normas reglamentarias citadas. III El artículo 44.3.
2. d)de la LOPD considera infracción grave, “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave.” El principio de calidad de los datos, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional, entre otras, las de fechas 25/05/01 y 05/04/02. En este caso, Vodafone España SAU ha incurrido en la infracción descrita, ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 en relación con el artículo 29 de la LOPD y 38 y 39 del Reglamento de Desarrollo relativa a la prestación de servicios de información sobre solvencia patrimonial y crédito, cuando informó para su inclusión en los ficheros de solvencia patrimonial, los datos personales de la persona denunciante, asociados a una deuda, sin efectuar los requerimientos previos de pago preceptivos y sin que reflejara la situación real de la relación contractual del denunciante afectado. La falta de diligencia observada, configura el elemento de culpabilidad de la infracción administrativa imputable. IV El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Dado que los hechos objeto de este procedimiento han sido tipificados como infracción grave, la sanción que procede imponer debe ser de un importe comprendido entre 40.001 y 300.000 euros. V El artículo 45.5 de la LOPD, establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
3. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
4. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
5. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
6. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9
7. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La imputada en su escrito de alegaciones solicita la aplicación del 45.5 de la LOPD de forma genérica sin determinar que apartado recoge las circunstancias que invoca como suficientes. Esa circunstancia y la no acreditación de otras circunstancias que pudieran ser consideradas, impide la estimación de lo solicitado. Es necesario analizar la reacción de la imputada ante las reclamaciones de la persona denunciante. Los hechos declarados probados no han sido impugnados, no ha aportado documento alguno con las alegaciones para acreditar la notificación del requerimiento previo a la inclusión en Badexcug. En sus alegaciones tan solo muestra su posición contraria a la tipificación de los hechos como infracción y a la sanción derivada de ella. La primera reclamación escrita acreditada de la persona denunciante a Vodafone es de 05/10/10, como no recibe respuesta reclama ante la SETSI el 23/11/11 (notificada a Vodafone el 05/01/11), la operadora emite factura rectificativa el 09/02/11 y al día siguiente cancela la anotación en Badexcug. La persona denunciante abona el importe pendiente después de la rectificación el 25/03/11. No queda deuda pendiente. Vodafone, sin notificar requerimiento previo, vuelve a incluir por el mismo importe que la vez anterior los datos del denunciante en Badexcug el 17/04/11. Experian, ante la solicitud de cancelación del titular de los datos, el 15/09/11 informa que su solicitud ha sido rechazada por Vodafone y confirmados los datos. Casi un mes más tarde cancela la inclusión en Badexcug. Vodafone, en realiza la primera inclusión en el fichero de morosos sin notificar requerimiento previo y sin que la deuda sea exacta, y no suspende la inclusión a pesar de tener conocimiento de la reclamación ante la SETSI. No obstante en breve plazo rectifica la facturación y cancela la inclusión. En la segunda inclusión, dos meses después de la cancelación anterior, tampoco notifica requerimiento previo. La deuda que anota es inexistente, pues el importe mayor ha sido anulado con la emisión de la factura rectificativa y el resto había sido abonada por la persona denunciante. A pesar de ello, cuando solicita la cancelación en Badexcug, Vodafone la rechaza y confirma los datos, un mes más tarde cancela. No es diligente la actuación encaminada a regularizar la situación irregular y ha de concluirse que la diligencia empleada es insuficiente para la aplicación del 45.5.
8. b)de la LOPD. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 El artículo 45.4 de la LOPD, establece que: “La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
9. a)El carácter continuado de la infracción.
10. b)El volumen de los tratamientos efectuados.
11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
12. d)El volumen de negocio o actividad del infractor.
13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
14. f)El grado de intencionalidad.
15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Los criterios de graduación de las sanciones establecidos en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, da lugar a las siguientes observaciones: - El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio de calidad de datos durante casi dos años. - El volumen del tratamiento es reducido, uno solo. - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que Vodafone España SA es una empresa que tiene como actividad la prestación de servicios de telecomunicaciones y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. - En lo que se refiere al volumen de negocio de Vodafone España SA hay que hacer constar que si bien es un hecho notorio que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 conocimiento público sobre la empresa infractora, una de las más importantes en este país y a nivel global. Se deduce el importante volumen de negocio de la entidad infractora, circunstancia a tener en cuenta para la graduación de la sanción. - El beneficio obtenido no se ha acreditado, aunque puede deducirse que no ha habido. - El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordeno la inclusión en Badexcug por no tuviera intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos pequeños incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. - La imputada sido objeto de expedientes sancionadores por infracciones similares. - No se ha acreditado daño cuantificable en euros, solo puede computarse la redacción y presentación de escritos de reclamación y denuncias, y todas las gestiones a que se ve obligado la persona denunciante. - Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. El balance de todas las circunstancias contemplados por el 45.4 de la LOPD no es favorable a la imputada. Con la valoración de todas las circunstancias procede fijar la sanción 50.000 €. III Por lo tanto, en el presente recurso de reposición, Vodafone España SAU no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Vodafone España SAU contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 18 de abril de 2013, en el procedimiento sancionador PS/00602/2012. SEGUNDO: NOTIFICAR la presente resolución a la entidad Vodafone España SAU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. JOSÉ LUIS RODRÍGUEZ ÁLVAREZ DIRECTOR DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es