1/9 Procedimiento nº.: PS/00620/2009 ASUNTO: Recurso de Reposición Nº RR/00430/2010 Examinado el recurso de reposición interpuesto por la entidad France Telecom. España S.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00620/2009, y con base a los siguientes, HECHOS PRIMERO: Con fecha 28/05/2010 el Director de la Agencia Española de Protección de Datos dictó resolución en el procedimiento sancionador PS/00620/2009, en virtud de la cual se imponía a la entidad denunciada una sanción de 60.101,21 euros, por la vulneración de lo dispuesto en el artículo 4.3 en relación con el 29.4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.
- d)de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 02/06/2010 fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00620/2009, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBADOS PRIMERO: Con fecha 26/12/2008 se recibió en la Agencia Española de Protección de Datos la denuncia presentada por D. A.A.A. contra France Telecom por la inclusión de sus datos personales en el fichero de solvencia patrimonial y crédito “Asnef” por una deuda incorrecta, puesto que incluía una penalización por incumplimiento de compromiso de permanencia improcedente (folios 1 – 21). SEGUNDO: documentos: Con su denuncia ha aportado copia de los siguientes
- a)Factura emitida por France Telecom. España, S.A. con fecha de emisión 08/07/2008 (factura B.B.B., periodo facturado 08/06/2008 - 07/07/2008), por importe de 95,15 euros (conceptos facturados sin IVA: cuotas: 2,400 €; consumos 5,6256 €; otros cargos, baja anticipada, cuota módulo ocio: 74,0000 €) (folios 7 – 8).
- b)Escrito de France Telecom. España, S.A. de fecha 03/08/2008, reclamando el pago de la factura de 08/07/2008, por importe de 95,15 euros (folio 9).
- c)Impresión de consulta de movimientos bancarios en la que figura: transferencia efectuada el 29/08/2008 por importe de 13,94 euros, a favor de c. Jorge Juan 6 28001 Madrid 2/9 France Telecom. España, y en el apartado concepto, “Consumo, cuotas Fra. B.B.B.” (folio10).
- d)Escrito de fecha 21/06/2008, remitido por Asnef Equifax, Servicios de Solvencia Patrimonial y Crédito, S.L., comunicando que sus datos personales han sido incluidos en el fichero de solvencia patrimonial y crédito “Asnef”, con fecha 27/10/2008, a instancia de France Telecom. España, S.A. por un importe de 81,21 euros (folio 15).
- e)Factura rectificativa, emitida por France Telecom. España, S.A. con fecha 12/12/2008 (sustituye a la factura de fecha 08/07/2008), por importe de 13,95 euros (folio 20). TERCERO: De acuerdo con la información de France Telecom. España, S.A. D. A.A.A. contrató el servicio de telefonía móvil ***TLF.1, con fecha de alta 27/12/2006, cambió de titularidad el 09/04/2008, pasando de contrato residencial a contrato empresa, y se dio de baja por portabilidad el 20/06/2008 (folios 53 – 54). CUARTO: D. A.A.A. presentó una reclamación ante la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información con fecha 19/08/2008 (folios 131). Con fecha 23/09/2008, la SETSI acusó recibo a D. A.A.A. de la reclamación presentada y comunicó que con la misma fecha solicitaba informe a France Telecom. España, S.A. (folios 14, 129). QUINTO: France Telecom. España, S.A. ha informado que el 10/12/2008 recibió la solicitud de información remitida por la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (folio 11). SEXTO: En los ficheros de France Telecom. España, S.A. figura la siguiente anotación referente a la reclamación del denunciante: “Consta en sistemas que el terminal entregado al cliente en el momento del alta es un terminal libre (…). Consideramos la reclamación como procedente en tanto no existe compromiso adquirido por el cliente al no recibir ningún tipo de subvención por parte de Orange para la adquisición del Terminal por lo que se procede al ajuste de la factura referida anulando así la deuda que mantenía el cliente” (folios 62, 112 – 113). SÉPTIMO: D. A.A.A. ha aportado la contestación de France Telecom. España, S.A. a la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, en la que el operador informa “Recibida la reclamación que nos ocupa, en aras de solucionar la controversia y en calidad de atención al cliente, esta compañía ha resuelto realizar los ajustes que se detallan a continuación: Factura B.B.B., importe ajustado IVA incluido 81,20 euros. La situación de D. A.A.A. , tras los ajustes realizados ha quedo regularizada con esta mercantil” (folio 110). OCTAVO: D. A.A.A. recibió los siguientes requerimientos de pago:
- a)Escrito de Credipor, S.L. de fecha 17/09/2008, reclamando el pago de 81,21 euros en nombre de France Telecom. España, S.A. (folio 11).
- b)Escrito de France Telecom. España, S.A. de fecha 03/10/2008, reclamado el pago de 81,21 euros, correspondiente a la factura 08/07/2008 (folio 13). c. Jorge Juan 6 28001 Madrid 3/9 NOVENO: En el fichero de solvencia patrimonial y crédito “Asnef” figura una incidencia a nombre de D. A.A.A. , a instancia de France Telecom. España, S.A., con fecha de alta 27/10/2008 y fecha de baja 16/12/2008; por un importe de 81,21 euros en las citadas fechas (folios 39 – 41). DÉCIMO: D. A.A.A. solicitó la cancelación de sus datos personales del fichero “Asnef” con fecha 17/11/2008, solicitud que no fue atendida porque France Telecom. España, S.A. confirmó los datos incluidos (folios16 – 19, 42 – 49).>> TERCERO: France Telecom. España S.A. ha presentado recurso de reposición en fecha 01/0/07/2010, que ha sido recibido en esta Agencia Española de Protección de Datos con fecha 16/07/2010, solicitando que se declare que no existe infracción o responsabilidad y, subsidiariamente, la aflicción del artículo 45.4 y 5 de la LOPD, con fundamento básicamente en las siguientes alegaciones, algunas ya formuladas anteriormente: 1. Inexistencia de infracción del artículo 4.3 de la LOPD. France Telecom trató los datos del denunciante con el convencimiento de que estos eran exactos y si considero la existencia de una deuda, obedeció a un error involuntario, detectado el 10/12/2008, cuando la SETSI le trasladó la reclamación del cliente. El email aportado por la SETSI sólo acreditaría el hecho de su envío pero no la recepción del mismo por France Telecom. Una vez recibida la comunicación el 10/12/2008 y la cancelación efectiva de los datos en Asnef (16/12/2008), transcurrieron sólo 4 días hábiles. 2. Aplicación del artículo 45.4 y 5 de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por France Telecom. España S.A., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al V, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<II Se imputa a France Telecom la infracción del artículo 4.3 de la LOPD, que regula el principio de calidad de los datos objeto de tratamiento del siguiente modo: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.” La obligación establecida en el artículo trascrito, impone la necesidad de que c. Jorge Juan 6 28001 Madrid 4/9 los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” El artículo 38 del Reglamento de desarrollo de la LOPD, “Requisitos para la inclusión de datos”, dispone lo siguiente: 1. “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada y respecto de la cual no se haya entablado reclamación judicial, arbitral o administrativa, o tratándose de servicios financieros, no se haya planteado una reclamación en los términos previstos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por Real Decreto 303/2004, de 20 de febrero.
- b)(…).
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. En el presente caso, ha quedado acreditado que el denunciante fue incluido en el fichero de solvencia patrimonial y crédito por una deuda de 81,21 euros, que no era correcta, puesto que correspondía a una penalización por incumplimiento del compromiso de permanencia que no procedía, como figura registrado en sus propios ficheros. Por tanto, con independencia de la fecha en que France Telecom tuvo conocimiento por la SETSI de que el denunciante había interpuesto reclamación administrativa, no cabe duda alguna que la deuda por la que fue incluido en el fichero “Asnef” era incorrecta, puesto que así lo reconoce el operador, ya que el c. Jorge Juan 6 28001 Madrid 5/9 denunciante adquirió un teléfono libre, por lo que no estaba sujeto a ningún compromiso de permanencia. Si France Telecom disponía de esa información en sus sistemas tenía que haber actuado con la diligencia precisa antes de comunicar los datos del denunciante al fichero de solvencia citado. Con posterioridad a la notificación de la propuesta de resolución se ha recibido la información facilitada por la SETSI, que no se ha incluido en los hechos probados, pero que permite constatar, además, que France Telecom tuvo conocimiento de la reclamación presentada por el denunciante el 23/09/2008 (folios 150 – 152). Por lo tanto, se considera que France Telecom ha vulnerado el principio de calidad de datos, recogido en el artículo 4.3 en relación con el artículo 29.4 de la LOPD, al haber incluido al denunciante en el fichero “Asnef” por una deuda inexacta. III Consta acreditado en esta Agencia que las entidades asociadas al fichero “Asnef“ suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el mismo, siendo las entidades informantes quienes deciden sobre el alta o la cancelación de los datos de sus clientes en el fichero de morosidad. Los datos personales de los denunciantes son datos que figuran en los propios ficheros automatizados de la entidad informante, en este caso France Telecom. Adicionalmente son comunicados al responsable del fichero de solvencia a través de cintas magnéticas que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43.1), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este último precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al que lo es del tratamiento de datos personales. Conforme a dicha definición del artículo 3.
- d)el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El Tribunal Supremo en su reciente Sentencia de 26/01/2005, confirma el criterio anteriormente expuesto al señalar que “junto al responsable del fichero – c. Jorge Juan 6 28001 Madrid 6/9 que era en la Ley 5/1992- quien estaba sujeto al régimen sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas veces- el responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
- d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos.” Es preciso, por tanto, determinar si, en el presente caso, France Telecom puede ser considerado responsable del tratamiento. De lo expuesto se deduce que France Telecom es responsable del tratamiento de datos en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa al denunciante no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). De los hechos probados y, como se ha señalado anteriormente, se deduce que France Telecom es responsable de la infracción del artículo 4.3 en relación con el 29.4 de la LOPD, en los términos del artículo 43, en relación con la definición del artículo 3.d), y
- c)de la citada Ley Orgánica. IV El artículo 44.3.
- d)de la LOPD considera infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave.” De acuerdo con lo ya señalado, ha quedado acreditado que France Telecom vulneró el principio de calidad de datos recogido en el artículo 4.3 en relación con c. Jorge Juan 6 28001 Madrid 7/9 el artículo 29.4 de la LOPD, que encuentra su tipificación en el citado artículo 44.3.
- d)de la citada Ley Orgánica. V El artículo 45.2, 4 y 5 de la LOPD establece lo siguiente: “2. Las infracciones graves serán sancionadas con multa de 60.101,21 € a 300.506,05 €.” “4. La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas y a terceras personas, y a cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.” “5. Si, en razón de las circunstancias concurrentes, se apreciara una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que proceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. La Audiencia Nacional en su Sentencia de 24/05/2002 ha señalado en cuanto a la aplicación del citado precepto que la presente regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual insistimos puede darse, por excepción, en casos muy extremos y concretos. Circunstancias que no apreciamos concurran en el caso de autos en el que la entidad bancaria debió adoptar una diligencia mayor y optar por una interpretación en defensa de los intereses del titular del dato, pues no se olvida que este es titular de un derecho fundamental a la libertad informática –STS 202/1999- y las entidades que operan en el mercado de datos y obtienen con ello determinadas ventajas deben siempre obrar con exquisita diligencia y procurar siempre la perfecta comunicación entre el dato y la realidad. El Tribunal Supremo (Sentencias de 05/07/1998 y 02/03/1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 05/07/1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos deben ser especialmente c. Jorge Juan 6 28001 Madrid 8/9 diligentes y cuidadosos a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14/02 y 20/09/2002, y 13/04 y 18/05/2005. France Telecom ha solicitado la aplicación del artículo 45. 4 y 5 de la LOPD, con fundamento, básicamente, en las medidas tomadas en orden a la tutela debida de los derechos de los clientes a la protección de sus datos personales, medidas documentadas en el acta de inspección 952/2006, cuya implantación se manifiesta la constante preocupación de France Telecom por la protección de los datos personales de sus clientes. Conforme al criterio jurisprudencial señalado es evidente que, a pesar de lo alegado por France Telecom para la aplicación del artículo 45.5 de la LOPD, no ha prestado la diligencia debida al comunicar al fichero “Asnef” los datos del denunciante por una deuda incorrecta, como se ha expuesto anteriormente, y no haber actuado con la diligencia exigible para confirmar el cumplimiento de los requisitos materiales para la comunicación citada al fichero “Asnef”. En lo que se refiere a la adopción de medidas para el cumplimiento de los derechos de los clientes de France Telecom, hay que señalar que no puede constituir un elemento de atenuación de la responsabilidad sino que es el cumplimiento de una obligación ordinaria exigible a las empresas que trabajan con grandes volúmenes de datos personales, sin que pueda considerarse la adopción de estas medidas como base para la apreciar disminución de la culpabilidad o de la antijuridicidad. La aplicación del criterio expuesto, aplicado con generalidad, tendría el efecto de beneficiar al infractor reincidente, y el articulo 45.4 ya ha tomado en consideración la reincidencia a los efectos de la fijación del importe indemnizatorio. Se debe tener en consideración el contenido de las medidas puestas en funcionamiento por France Telecom tras el proceso de absorción empresarial, comprobadas por los Servicios de Inspección de la Agencia Española de Protección de Datos en noviembre de 2006, tal y como constan en el Acta de Inspección incoada al efecto E/952/2006-I/1/2006. Estas medidas no deben considerarse como “carta de naturaleza” en la aplicación de futuros hechos que puedan considerarse al margen de la LOPD, ya que su aplicación trae causa en un momento temporal y unas circunstancias concretas, tal como se ha expuesto, y, por tanto, no será de aplicación a hechos ocurridos con posterioridad al citado período de adaptación en la implantación de dichas medidas. Por tanto, ello no se considera suficiente para apreciar que concurran las circunstancias necesarias para que pueda aplicarse en el presente supuesto el artículo 45.5 de la LOPD. No obstante, en relación a los criterios de graduación de las sanciones recogidas en el artículo 45.4 de la LOPD, y, en especial a la ausencia de intencionalidad acreditada en el presente procedimiento, procede la imposición de la sanción en su cuantía mínima. >> III c. Jorge Juan 6 28001 Madrid 9/9 Por lo tanto, en el presente recurso de reposición, France Telecom. España S.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por France Telecom. España S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 28/05/2010 en el procedimiento sancionador PS/00620/2009. SEGUNDO: NOTIFICAR la presente resolución a la entidad France Telecom. España S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Madrid, 23 de julio de 2010 EL DIRECTOR DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS Fdo.: Artemi Rallo Lombarte c. Jorge Juan 6 28001 Madrid