REPOSICION-PS-00634-2012

(22126)a Vodafone (Ref. ***REF.1 de bajas y ***REF.2 de fraude) y pide se den de baja las líneas. Da orden a su banco de devolver los recibos de las tres facturas cargadas. (folio 15)

1. 4.00/04/11 (día no acreditado), la persona denunciante recibe en su domicilio A.A.A. un paquete que contiene tres terminales de teléfono móvil, con tres tarjetas SIM pre activadas de Vodafone y con documentos con mis datos personales excepto el de identidad que es NIE F.F.F.. (folios 5)
2. 5.12/04/11, la persona denunciante devuelve el paquete recibido a la empresa de paquetería remitente, tal como le indicaron por teléfono. (folios 5, 14 y 50) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10
3. 6.14/04/11, la persona denunciante envía por fax (***FAX.1) a Vodafone escrito de reclamación que le han pedido por teléfono, indicando su móvil de contacto y dirección de correo electrónico. (folio 15-16)
4. 7.18/04/11, Vodafone remite al domicilio del denunciante aviso de pago por importe de 25,79 €. (folio 17)
5. 8.26/04/11, Vodafone emite la 2ª factura de cada una de las tres líneas a nombre de la denunciante con NIE F.F.F.. (folio 35)
6. 9.26/05/11, Vodafone emite la 3ª factura de cada una de las tres líneas a nombre de la denunciante con NIE F.F.F.. (folio 35)
7. 10.20/06/11, Vodafone, por medio de la empresa de recobros Grupo CRF SA, remite al denunciante reclamación de pago de 40,36 €. (folio 18)
8. 11.26/06/11, Vodafone emite la 4ª factura de cada una de las tres líneas a nombre de la denunciante con NIE F.F.F., por E.E.E.. (folio 35)
9. 12.30/06/11, la persona denunciante efectúa reclamación telefónica

(22126)a Vodafone (Ref. ***REF.3 de bajas) y le informan que las incidencias abiertas en abril y mayo están aún en trámites de resolución. (folio 6) 13. 13.06/07/11, la persona denunciante presenta escrito de reclamación en Vodafone reiterando sus quejas y peticiones. (folios 5-21 y 36) 14. 14.13/07/11, Vodafone, por medio de la empresa de recobros Grupo CRF SA, remite al denunciante reclamación de pago de 40,36 €. (folio 19) 15. 15.05/0811, Vodafone, por medio de la empresa de recobros Grupo CRF SA, remite al denunciante reclamación de pago de 40,36 €. (folio 20) 16. 16.07/09/11, Vodafone, por medio de la empresa de recobros Grupo CRF SA, remite al denunciante reclamación de pago de 40,36 €. (folio 18) 17. 17.30/09/11, la persona denunciante B.B.B. presenta reclamación ante Consumo de la Junta de Andalucía contra Vodafone porque él no ha contratado esas tres líneas y su documento de identidad no es una tarjeta de identificación de extranjeros. (folios 2-21 y 55-76) 18. 18.04/11/11, la Junta de Andalucía da traslado de la reclamación a la AEPD (folio 1) y a Vodafone que la recibe el 14/11/11 (folios 55-77) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 19. 19.30/01/12, Vodafone comunica a la Junta de Andalucía que B.B.B. figura en su base de datos como cliente de la cuenta G.G.G.. (folio 37 y 78) 20. 20.23/02/12, Vodafone recibe escrito de reiteración del de 04/11/11, por ser incompleta su respuesta. (folio 79) 21. 21.06/03/12, Vodafone comunica a la Junta de Andalucía que B.B.B. que el 10/05/11 han dado de baja las líneas C.C.C. y han procedido a anular la facturación emitida, por lo que ya no existe deuda pendiente. (folio 38 y 88) 22. 22.30/03/12, Vodafone emite informe para la AEPD acompañado de varios documentos, entre ellos esquema para, de forma gráfica, exponer el proceso de contratación desde que el agente vende el producto hasta que, superada la fase del verificador, se incorporan los datos en el fichero de la base de datos de la compañía. (folio 89) TERCERO: VODAFONE ESPAÑA SAU ha presentado el 07/06/13 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en la reiteración literal de sus alegaciones presentas en el procedimiento sancionador FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por VODAFONE ESPAÑA SAU, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<< II La LOPD establece: “Artículo 6. Consentimiento del afectado “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7 apartado 6 de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El principio del consentimiento del afectado para la recogida o tratamiento de los datos personales del mismo es uno de los pilares de la protección de datos en el vigente ordenamiento jurídico español, imprescindible para preservar el derecho fundamental constitucionalmente protegido de la intimidad de las personas. Se imputa a la denunciada en el presente procedimiento, la comisión de una infracción del artículo 6.1 de la LOPD, que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...”. Son elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Carece del consentimiento inequívoco de la persona afectada el tratamiento efectuado por VODAFONE ESPAÑA SAU. Sus empleados hacen tratamiento de los datos personales de la persona denunciante ´-nombre apellidos, domicilio, teléfono y cuenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 bancaria - y los trata para la tramitación de contrato de servicio de telefonía fijo/móvil y emitir facturas y reclamaciones. Han sido tratados sin consentimiento de la persona denunciante como titular de un servicio que no ha contratado. La imputada no ha acreditado el motivo, razón o circunstancia que justificara ese tratamiento de datos sin consentimiento de la persona afectada. Y no cabe invocar que dicha persona ya mantenía una relación contractual, pues tenía contratadas tres líneas con la compañía, porque el tratamiento de los datos en el alta nueva, nada tiene que ver con los contratos anteriores vigentes. III El artículo 44.3.

1. b)de la LOPD tipifica como infracción grave: ““Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” VODAFONE ESPAÑA SAU a través de sus empleados o agentes contratados, trata los datos personales de la persona denunciante a pesar de que ha manifestado su voluntad en contra pidiendo la baja de las líneas, emitiendo facturas. En definitiva, es necesario que la persona titular de los datos permita su tratamiento de forma inequívoca. En este caso, ha incurrido en la infracción arriba descrita ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD. La imputada no dispone de contrato escrito ni grabación sonora ni copia del DNI, ni documento escrito de la persona denunciante que acredite el consentimiento necesario. Supone una vulneración de este principio, el del consentimiento, conducta que encuentra su tipificación en este artículo 44.3.
2. b)de la citada Ley Orgánica. IV El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Dado que los hechos objeto de este procedimiento han sido tipificados como infracción grave, la sanción que procede imponer debe ser de un importe comprendido entre 40.001 y 300.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 V El artículo 45.5 de la LOPD, establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
3. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
4. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
5. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
6. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
7. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La imputada en su escrito de alegaciones solicita la aplicación del 45.5 de la LOPD de forma genérica sin determinar que apartado recoge las circunstancias que invoca como suficientes. Esa circunstancia y la no acreditación de otras circunstancias que pudieran ser consideradas, impide la estimación de lo solicitado. Es necesario analizar la reacción de la imputada ante las reclamaciones de la persona denunciante. Los hechos declarados probados no han sido impugnados, no ha aportado documento alguno con las alegaciones. En sus alegaciones tan solo muestra su posición contraria a la tipificación de los hechos como infracción y a la sanción derivada de ella. La primera reclamación acreditada de la persona denunciante a Vodafone es de 04/04/11, la reclamación escrita diez días más tarde, el 30/06/11 la 2ª reclamación por teléfono, el 06/07/11 la 2ª reclamación escrita y el 04/11/11 Vodafone recibe el traslado de la reclamación de Consumo de Andalucía. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 Vodafone ha seguido emitiendo facturas y avisos de pago por empresa de recobro y hasta 06/03/12 no comunica a Consumo de la Junta de Andalucía que las tres líneas están de baja desde 10/05/11 y han anulado las facturas emitidas, ya no hay deuda. Junto a ello consta que, al menos hasta el 07/09/11, Vodafone siguió reclamando el pago a través de la empresa CRF. Hay que resaltar el hecho de que en las tres facturas, aportadas por la persona denunciante, fechadas el 26/03/11 no consta consumo alguno. La imputada no ha aportado copia de ninguna de las facturas, pero de la reseña que hace de las facturas emitidas (folio 35), puede deducirse que tampoco hubo consumo en las siguientes. La actuación de Vodafone encaminada a regularizar la situación irregular dura más de un año. Ha de concluirse que la diligencia empleada es insuficiente para la aplicación del 45.5.
8. b)de la LOPD. VI El artículo 45.4 de la LOPD, establece que: “La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
9. a)El carácter continuado de la infracción.
10. b)El volumen de los tratamientos efectuados.
11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
12. d)El volumen de negocio o actividad del infractor.
13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
14. f)El grado de intencionalidad.
15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 Los criterios de graduación de las sanciones establecidos en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, da lugar a las siguientes observaciones: - El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio de consentimiento durante más de un año. - El volumen del tratamiento es reducido, uno solo. - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que Vodafone España SA es una empresa que tiene como actividad la prestación de servicios de telecomunicaciones y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. - En lo que se refiere al volumen de negocio de Vodafone España SA hay que hacer constar que si bien es un hecho notorio que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa infractora, una de las más importantes en este país y a nivel global. Se deduce el importante volumen de negocio de la entidad infractora, circunstancia a tener en cuenta para la graduación de la sanción. - El beneficio obtenido no se ha acreditado, aunque puede deducirse que no ha habido. - El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó la incorporación en el fichero de clientes sin acreditar la identidad del titular de los datos y su voluntad de contratar no tuviera intención de infringir norma alguna, lo mismo que el responsable de la emisión de facturas y contratación de empresa de recobros, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos pequeños incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. - La imputada ha sido objeto de expedientes sancionadores por infracciones similares. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 - No se ha acreditado daño cuantificable en euros, solo puede computarse la redacción y presentación de escritos de reclamación y denuncias, y todas las gestiones a que se ve obligado la persona denunciante. - Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. El balance de todas las circunstancias contemplados por el 45.4 de la LOPD no es favorable a la imputada. Con la valoración de todas las circunstancias procede fijar la sanción 50.000 €. >>> III Por lo tanto, en el presente recurso de reposición, VODAFONE ESPAÑA SAU no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por VODAFONE ESPAÑA SAU contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 29 de abril de 2013, en el procedimiento sancionador PS/00634/2012. SEGUNDO: NOTIFICAR la presente resolución a la entidad VODAFONE ESPAÑA SAU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 JOSÉ LUIS RODRÍGUEZ ÁLVAREZ DIRECTOR DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es