antecedentes primero: xfera mÓviles, s.a., · 2/25 de julio de 2016, emitida el 01/08/2016, por...

1/25

Procedimiento Nº PS/00251/2018

RESOLUCIÓN: R/01774/2018

En el procedimiento sancionador PS/00251/2018, instruido por la AgenciaEspañola de Protección de Datos a la entidad XFERA MÓVILES, S.A., vista ladenuncia presentada por D. A.A.A. y en consideración a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 29/08/2017 ha tenido entrada en la Agencia Española deProtección de Datos (AEDP) un escrito de D. A.A.A. (en lo sucesivo, el denunciante)en el que expone que XFERA MÓVILES, S.A., (en lo sucesivo, XFERA o ladenunciada) ha tratado sus datos personales (nombre, apellidos y NIF) sin suconsentimiento vinculados al alta de tres líneas telefónicas que no ha contratado y losha incluido en ficheros de solvencia patrimonial asociados a una deuda que procedede los contratos que a los que es ajeno y la entidad le atribuye, deuda que no lepertenece.

Explica que, en abril de 2016, con ocasión de solicitar una tarjeta de crédito ensu entidad financiera, le comunicaron que se encontraba incluido en un fichero demorosidad por una deuda de 3.000 euros relativa a empresas de telefonía, pero sinllegar a facilitarle el nombre de la operadora, lo que le ha obligado a efectuar diversasgestiones que le han supuesto un coste económico hasta conocer que fue XFERAMÓVILES, S.A., quien incluyó sus datos en ASNEF.

Anexa a su denuncia, entre otros, los siguientes documentos:

- Escrito de EQUIFAX en el que parece responder al ejercicio del derecho deacceso. Consta en el escrito que a fecha 20/04/2017 existe en el ficheroASNEF una incidencia asociada al NIF del denunciante, informada porXFERA MÓVILES, S.A., siendo la fecha de alta de la anotación el 24/06/2016y el importe de la deuda de 3.064,91 euros. Asociados al nombre, dosapellidos y NIF del denunciante figura la dirección ***DIRECCION.1.

- Varias facturas emitidas por YOIGO (XFERA MÓVILES, S.A.), giradas anombre del denunciante, en las que también consta su NIF. La direcciónpostal no coincide con la indicada por el denunciante en el escrito dedenuncia y es la anteriormente reseñada ubicada en ***DIRECCION.1. Entodas ellas los servicios que se facturan corresponden a las líneas***TELEFONO.1 (i) ***TELEFONO.2 (ii) y ***TELEFONO.3 (iii):

De marzo de 2016, emitida el 01/04/2016, por importe de 311,11 euros

De abril de 2016, emitida el 01/05/2016, por importe de 200,84 euros.

De mayo de 2016, emitida el 01/06/2016, por importe de 191,96 euros.

De junio de 2016, emitida el 01/07/2016, por importe de 177 euros.

C/ Jorge Juan, 6 www.agpd.es28001 – Madrid sedeagpd.gob.es

2/25

De julio de 2016, emitida el 01/08/2016, por importe de 177 euros.

De agosto de 2016, emitida el 01/08/2016, por importe de 2.007 euros

SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, porlos Servicios de Inspección de esta Agencia se solicitó información a XFERAMÓVILES, S.A., teniendo conocimiento de los siguientes extremos que se detallan enel Informe de Actuaciones de Investigación Previa que reproducimos:

<< XFERA MÓVILES, S.A. (XFERA) Marca comercial YOIGO.

4.1. En los sistemas de XFERA están registrados los datos personales deldenunciante, nombre, dos apellidos y NIF. Consta asociada a tales datos la direcciónelectrónica ***EMAIL.1 y el teléfono de contacto ***TELEFONO.4. La dirección postales ***DIRECCION.1.

4.2. En los sistemas de XFERA, vinculadas a los datos del denunciante, hayconstancia de la contratación de las líneas de teléfono ***TELEFONO.1 (I);***TELEFONO.2 (II) y ***TELEFONO.3 (III) en fechas, respectivamente, 1,3 y 7 demarzo de 2016. Las líneas se dieron de baja el 26/07/2016.

XFERA manifiesta que la contratación de las líneas fue presencial ante eldistribuidor The Phone House, S.L.U.

La operadora ha aportado copia del NIF del denunciante y de los documentoscontractuales correspondientes a las líneas ***TELEFONO.2 (II) y ***TELEFONO.3(III). Ambos contratos están firmados; en ambos la cuenta de domiciliación del pago esla misma (entidad XXXX y finalizada en los dígitos YY). Además, en ambos contratosse adquiere un terminal “Apple IPH 6S 64gb plata”.

No se ha aportado copia del contrato de la línea ***TELEFONO.1 (I). XFERAmanifiesta a ese respecto que ha sido solicitado al distribuidor The Phone House perono lo ha recibido.

La entidad declara que no existen reclamaciones o comunicaciones efectuadaspor el afectado o por terceros. Únicamente les consta la petición de duplicados de lasfacturas realizada en fecha 24/04/2017.

4.3. XFERA reconoce que existían facturas pendientes de pago vinculadas aldenunciante derivadas de los contratos celebrados a su nombre. La documentaciónaportada no detalla cuáles fueron las facturas impagadas ni su importe.

4.4. Ficheros de solvencia patrimonial: Los datos personales del denunciante secomunicaron a ficheros de solvencia patrimonial. Así lo reconoce, XFERA que noespecifica ni el nombre del fichero ni el importe de la deuda que motivo la inclusión.

Detalla que la fecha de alta de la incidencia fue el 23/06/2016 y que la anotaciónse dio de baja el 19/04/2017 con motivo de la cesión de deuda a SALUSINVERSIONES y RECUPERACIONES, S.L.

4.5. XFERA aporta copia del contrato de agencia suscrito con The Phone House,S.L.U., con CIF 81846206 celebrado el 22/02/2010.

El punto 7 del contrato, denominado “Procedimientos Operativos”, detalla lospasos que de forma obligatoria habrá de seguir The Phone House, S.L.U., (el agente).


3/25

En síntesis, los siguientes:

- Recabar documentos: Tratándose de personas físicas, fotocopia de alguno deéstos –todos ellos vigentes en la fecha de firma del contrato-: DNI, NIF,pasaporte y si el cliente fuera extranjero tarjeta de residente y número deidentificación fiscal de extranjeros. Si el contrato es de pospago, documentoacreditativo de los datos del cobro: El adeudo domiciliado de antigüedadsuperior a tres meses en el que figuren los veinte dígitos de la cuenta y eltitular, o bien fotocopia de la portada de la cartilla bancarias con más de tresmeses de antigüedad y fotocopia de movimientos domiciliados de al menostres meses.

- Cumplimentar el formulario de alta a través de los sistemas de XFERA y en elformato suministrado por la entidad, asegurándose de que todos los campos secumplimentan. En el formulario, en el apartado “Datos bancarios”, se advierteque el titular de la cuenta debe ser el mismo que el titular del contrato.

- Solicitar la firma del formulario tras la cumplimentación

- Entregar al cliente la copia del formulario de alta y de las CondicionesGenerales del servicio y envío a XFERA de la documentación que deberá estaren su poder con periodicidad trimestral

4.6. XFERA aporta un certificado expedido por INTRUM IUSTITIA IBÉRICA, S.A.U.,de fecha 12/12/2017, en el que declara que tiene encomendado el envío de cartas derequerimientos previos de pago a sus clientes y que han realizado la impresión,manipulado y envío para los datos siguientes: A.A.A., ***DIRECCION.1.

Del escrito aportado parece colegirse que en fecha 01/06/2016 se produce laimpresión, manipulado y envío de la carta informativa de requerimiento de pago; queen fecha 27/07/2016 se produce la impresión, manipulado y envío de la carta alabogado de requerimiento de pago y que no consta devolución postal, siendo esteservicio gestionado por Correos y Telégrafos, S.A.

La documentación aportada por XFERA, a través de INTRUM, para acreditarque hizo el preceptivo requerimiento previo de pago es la siguiente:

1. Certificado de Intrum Justitia antes mencionado.

2. Carta personalizada a nombre del denunciante a la dirección postal que figuraen los ficheros de XFERA (***DIRECCION.1), con código de referencia08804420, de fecha 01/06/2016. En ella le requieren el pago de la deudapendiente, que asciende a 511, 95 euros y le advierten que en caso de impagosus datos podrán ser incluidos en los ficheros de solvencia ASNEF yBADEXCUG.

3. Un certificado de fecha 12/12/2017 firmado por DIFUSIÓN 7. En primertérmino se ofrece la siguiente información: <<Nombre de los ficherosoriginales: YOIGO 01/06/2016; ABOGADOS 27/07/2016. (…) Nombre deldestinatario: A.A.A.. CIF del destinatario: DNI: ***DNI.1. Nº de Referencia:***TELEFONO.3-REF.>>.

Seguidamente se indica que Mailing Difusión 7, S.L.U., como “proveedor debuena fe”, certifica que los registros en cuestión pertenecientes a los ficherosdenominados YOIGO 01/06/2016 y ABOGADO 27/7/2016, fueron procesadosen las fechas indicadas, procediéndose a imprimir las cartas destinadas a D.


4/25

A.A.A. y, tras manipularlas y clasificarlas junto con el resto de las remesas, sedepositaron en los operadores postales UNIPOST y CORREOS.

4. Copia de un albarán de entrega en Correos, que lleva impreso sello de fecha28/07/2016, relativo a la entrega de un total de 5.996 envíos en fecha28/07/2016. La copia de un email de D.ª B.B.B. , Responsable de Producciónde la empresa DIFUSIÓN, dirigido a ***EMAIL.2. En la copia del correoaportada no consta fecha y su texto es el siguiente: <<Buenos días, Hoy osvamos a entregar un nuevo mailing de Yoigo>>, seguidamente detalla quecorresponde a 2.611 envíos. Esta copia del email lleva impreso un sello deUNIPOST, S.A., con la fecha 03/06/2016 y debajo la leyenda “Conforme salvoexamen departamento control admisión”.>>

TERCERO: Con fecha 12/06/2018 la Directora de la Agencia Española de Protecciónde Datos acordó iniciar procedimiento sancionador a XFERA MÓVILES, S.A., porpresunta infracción de los artículos 6.1 y 4.3, en relación con el 29.4, de la LeyOrgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal(en lo sucesivo LOPD), tipificadas ambas como infracciones graves en los artículos44.3.b) y 44.3.c) de dicha norma, pudiendo ser sancionada cada una, con multa de40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la referida Ley Orgánica.

CUARTO: Notificado el acuerdo de inicio, XFERA MÓVILES, mediante escrito defecha 28/06/2018, formuló alegaciones en las que solicitó que se acordara elsobreseimiento del expediente con el consiguiente archivo de actuaciones;subsidiariamente, para el caso de que no prosperase su pretensión, que se leimpusiera una sanción por infracción leve en su grado mínimo y, subsidiariamenterespecto a las pretensiones anteriores, la imposición de una sanción por infracciónleve en su grado medio.

En apoyo de tales pretensiones invocó los siguientes argumentos:

1.- Manifiesta que los datos personales del denunciante fueron tratados “con base enel consentimiento recabado por YOIGO”. Afirma que el tratamiento se efectuó, entodo momento, de acuerdo con el artículo 6.1 LOPD y los artículos 12 y siguientesdel RLOPD. De ello concluye que no están presentes los elementos integrantesdel tipo infractor, por lo que la AEPD, en su opinión, incurre en una vulneración delprincipio de tipicidad.

Explica que los datos de carácter personal del denunciante fueron tratados envirtud del consentimiento recabado por YOIGO con ocasión de la contrataciónpresencial, a través del distribuidor The Phone House (TPH), de las líneas demóvil ***TELEFONO.1 (i), ***TELEFONO.2 (ii) y ***TELEFONO.3 (iii).

Considera que el acuerdo de inicio procede de forma errónea al motivar la

imputación de la infracción del artículo 6.1 LOPD en el tratamiento de los datos deldenunciante vinculado a la línea ***TELEFONO.1 (i), pues los contratos de laslíneas (ii) y (iii) se celebraron dos y cinco días después, respectivamente, al de lalínea ***TELEFONO.1 (i) y en el mismo establecimiento, lo que indica que fue lamisma persona, quien se identificó mediante la aportación y exhibición de sudocumento de identidad, quien realizó las tres contrataciones y prestó su


5/25

consentimiento en las tres ocasiones para que YOIGO tratara sus datos.

Ante la falta de la copia del contrato relativo a la línea ***TELEFONO.1 (i), ladenunciada rechaza que esta circunstancia pueda ser analizada y valorada deforma aislada, sin tener en cuenta las otras dos contrataciones que, en su opinión,la misma persona celebró en el mismo establecimiento pocos días después. Yañade que esa copia del contrato se haya en poder de TPH y procederá asolicitarla en fase de prueba.

2.- Respecto a la inclusión de los datos del denunciante en ficheros de solvenciaexpone que no se cumplen los elementos del tipo que integran la infraccióntipificada en el artículo 44.3.c LOPD, por lo que se ha vulnerado el principio detipicidad.

A ese respecto afirma que la inclusión en el fichero ASNEF de los datos deldenunciante se produjo con todas las condiciones que legalmente se exigen.

Añade que, antes de que le fuera notificado por la AEPD el requerimientoinformativo del E/05110/2017, condonó la deuda al denunciante y dio de baja susdatos del fichero ASNEF. Y que, una vez que el requerimiento de información delexpediente E/05110/2017 le fue notificado comunicó a SALUS INVERSIONES YRECUPERACIONES la denuncia que el denunciante había interpuesto.

3.- Considera que la AEPD ha vulnerado los principios de presunción de inocencia ytipicidad. Indica que la conducta infractora que le atribuye se basa en la ausenciade determinados documentos (la copia del contrato de la línea móvil (i) lo que noes suficiente a su juicio, dadas las circunstancias que concurren, para podersancionar sin infringir el principio de tipicidad.

4. Respecto a las circunstancias que inciden en la determinación del importe de lasanción, discrepa de la decisión de la Agencia y considera que procede aplicar losapartados b) y a) del artículo 45.5 LOPD.

En ese sentido alega que anuló las facturas emitidas a nombre del denuncianteantes de que la Inspección le notificara el requerimiento informativo. Además,suspendió el procedimiento de recobro al denunciante y finalizó el tratamiento desus datos, incluida la comunicación a ASNEF, tal y como lo acreditó en el curso delas actuaciones de investigación previa.

Considera errónea la aplicación que la AEPD hace en el acuerdo de inicio delartículo 45.4 LOPD, pues únicamente aprecia la existencia de circunstanciasagravantes. Solicita la aplicación como atenuantes de las circunstancias descritasen los apartados b), c), d) e), f) h) e i) del artículo 45.4 LOPD.

QUINTO: Con fecha 31/10/2018, de conformidad con lo establecido en el artículo 77de la Ley 39/2015, de Procedimiento Administrativo Común de las AdministracionesPúblicas (LPACAP), se abrió un período de prueba en el que se acordó practicar lassiguientes diligencias:

1. Dar por reproducidos a efectos probatorios la denuncia interpuesta y su


6/25

documentación adjunta, los documentos obtenidos y generados por losServicios de Inspección ante XFERA MÓVILES y el Informe de actuacionesprevias de Inspección; documentos que integran el expediente E/05110/2017.

2. Dar por reproducidas a efectos probatorios las alegaciones al acuerdo de iniciodel PS/00251/2018 presentadas por la denunciada y la documentación que aellas acompaña.

3. Se incorporan al expediente, a efectos de prueba, los escritos presentados enesta Agencia por el denunciante en fecha 16/06/2018, con número de registrode entrada 179425/2018 y 179878/2018, así como la documentación anexa alprimero de ellos en lo que guarde relación con los hechos que motivan laapertura del presente expediente.

4. Se solicita al denunciante que remita los documentos relacionados con loshechos objeto de la denuncia que obren en su poder y que no hubiera aportadoanteriormente. Se le informa de que, por razones tecnológicas, no es posibleacceder a la dirección de DROPBOX que nos facilitó para obtener másdocumentación vinculada a los hechos denunciados, por lo que se le insta aque nos de traslado de los documentos depositados en tal dirección queguarden relación con la denuncia si así lo estima oportuno.

5. Se solicita a XFERA MÓVILES que remita a esta Agencia copia de losdocumentos siguientes:

5.1. Los que acrediten que -tal y como afirmó en sus alegaciones al acuerdode inicio, folio 4 del escrito presentado- comunicó a SALUS INVERSIONES YRECUPERACIONES, S.L., la denuncia interpuesta por el denunciante. Se leinforma de que debería aportar la copia de la comunicación y de losdocumentos que acrediten el envío y su recepción por la entidad destinataria.

5.2. Copia de cualquier otra comunicación dirigida a SALUS INVERSIONES YRECUPERACIONES, S.L., que guarde relación con los hechos que son objetodel presente expediente sancionador.

A. La notificación a XFERA MÓVILES del acuerdo de apertura del periodo deprueba y de las pruebas a las que debía dar respuesta en un plazo de diez díashábiles tuvo lugar el 02/11/2018, fecha en la que la entidad accedió a la notificación(folio 479).

Así pues, el plazo otorgado para evacuar ese trámite finalizaba el día 19/11/2018.En esa misma fecha se recibió en la Subdirección de Inspección de Datos un email delrepresentante de XFERA MÓVILES, D. C.C.C. en el que expuso que, “dado que elRegistro Electrónico de la AEPD se encuentra no disponible”, “Ante el riesgo de nopoder presentar los documentos requeridos”, solicitaba conforme al artículo 32 de laLPACAP que se le concediera una ampliación del plazo inicialmente otorgado. Sobre ese particular han de hacerse varias consideraciones:

La primera de ellas, que a fecha de hoy no se ha recibido en esta Agencia ladocumentación que fue solicitada a XFERA en fase probatoria, aunque sí se hanrecibido otros escritos de la entidad, como el de fecha 26/11/2018 (a través de la sedeelectrónica) en el que pide copia del expediente. Recordemos que se le pidió comoprueba que acreditara documentalmente haber notificado a SALUS INVERSIONES Y


7/25

RECUPERACIONES, S.L., que puso en su conocimiento, nada más recibir elrequerimiento informativo de la Inspección de Datos, la denuncia interpuesta por elafectado. Esto, porque en su escrito de alegaciones al acuerdo de inicio (folio 4 de suescrito, folio 469 del expediente administrativo) declaró:

“Así mismo, y a este respecto, hemos de poner de manifiesto que una vez elrequerimiento de información del Expediente nº E/05110/2017 fuese notificado aYOIGO, mi representada comunicó la Denuncia interpuesta por el Denunciante a laempresa SALUS INVERSIONES Y RECUPERACIONES, S.L.”

En segundo término, que, si bien cabe aceptar que durante algunas horas en eltranscurso del día 19/11/2018 el registro electrónico de la AEPD pudiera no haberestado operativo - existen numerosos documentos presentados en la sede en esafecha- esa circunstancia no era óbice para que XFERA pudiera haber remitido ladocumentación mediante correo postal o bien, adjunta a su escrito, a través de email.En todo caso podría haberlos presentado con posterioridad al transcurso del plazo deprueba, al amparo de lo prevenido en el artículo 76.1 de la LPACAP. Lo cierto es, sinembargo, que al tiempo de dictar la resolución no se tiene noticia de su presentaciónen el registro de este organismo. Sobre esta cuestión se ha de añadir que el email quela entidad denunciada remitió a la dirección electrónica de la Inspección de Datossolicitando una ampliación del plazo fue comunicado al instructor del expediente diezdías después, el 29/11/2018, cuando ya estaba firmada y notificada la propuesta deresolución y, por tanto, sin que cupiera posibilidad de acordar la ampliación de plazosolicitada.

En relación con el denunciante, a quien se le remitió por correo postal una cartacon las pruebas a las que debía responder -documento firmado el 31/10/2018-, no setiene constancia de que a fecha 20/11/2018 la carta enviada por la AEPD haya sidoentregada por el Servicio de Correos.

B. XFERA MÓVILES propuso en sus alegaciones al acuerdo de inicio delPS/251/2018 que la AEPD practicara la siguiente prueba:

“…que se requiera a The Phone House Spain, S.L.U., con domicilio en EdificioÁtica I, Vía de las Dos Castillas 33,28224, Pozuelo de Alarcón, Madrid(España) para que aporte toda la documentación e información que conserve,bien directamente, bien a través de cualquiera de sus contratistas y/oproveedores en relación con el contrato de alta de la línea de teléfono móvilcon número ***TELEFONO.1 celebrado el 1 de marzo de 2016 entre YOIGOy A.A.A. con NIF ***DNI.1, incluyendo una copia del citado contrato”. (Elsubrayado es de la Agencia)

En el mismo escrito en el que la instructora del expediente comunicaba a XFERAMÓVILES la apertura del periodo de prueba y las diligencias probatorias a las quedebía responder se le informó -razonando el porqué de tal decisión- de que la pruebaque había propuesto (alegación sexta de su escrito de alegaciones al acuerdo deinicio) había sido rechazada debido a su manifiesta improcedencia.

La prueba propuesta por XFERA MÓVILES –que consistía en que la Agenciarequiriese a THE PHONE HOUSE (TPH) para que le facilitara el contrato celebrado


8/25

entre YOIGO y el denunciante relativo a la línea ***TELEFONO.1– implicaba trasladara esta Agencia la carga probatoria que única y exclusivamente a ella le incumbe.

XFERA, en su condición de responsable del tratamiento de los datos personalesdel denunciante, quien figura en sus sistemas como titular de un servicio contratadocon ella a través del Distribuidor TPH y vinculado a la línea ***TELEFONO.1,necesariamente debía tener en su poder la documentación que le permitiera acreditarante la Agencia Española de Protección de Datos que ese tratamiento fue legítimo yrespetuoso con el principio de exactitud y veracidad.

La falta de diligencia de la denunciada resulta más evidente a la luz del contratode Agencia que tenía suscrito con TPH. En él se estipulaba que, en un plazo máximode tres meses desde la fecha de cada uno de los contratos que se realizaran a nombrede XFERA a través del Distribuidor, éste debía remitir a XFERA -responsable delfichero- los documentos recabados del cliente: la copia del contrato firmado, la copiadel DNI y de un documento acreditativo de la titularidad de los datos bancariosfacilitados para la domiciliación del pago de facturas (estipulación 7.1.1.6, folio 378).

Se pone de manifiesto, por tanto, que XFERA MÓVILES no efectuó ningúncontrol ni verificó si esa documentación le había sido remitida por TPH y obraba en supoder o si, por el contrario, faltaba la documentación vinculada al contrato que laDistribuidora debió de haberle enviado, lo que le habría permitido reclamar ladocumentación en un plazo prudencial.

SEXTO: El 26/11/2018 la denunciada solicitó que se le hiciera entrega de una copiadel expediente. En fecha 29/11/2018 se le dio traslado por correo postal de la copia delexpediente ante la imposibilidad técnica, por el excesivo volumen, de hacer el envío através de la aplicación notific@.

SÉPTIMO: Con fecha 22/11/2018 se formuló propuesta de resolución en los siguientestérminos:

<<PRIMERO: Que por la Directora de la Agencia Española de Protección deDatos se sancione a XFERA MÓVILES, S.A. con NIF A82528548, con multa de 70.000euros (setenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada comoinfracción grave en el artículo 44.3.b) de dicha norma.

SEGUNDO: Que por la Directora de la Agencia Española de Protección deDatos se sancione a XFERA MÓVILES, S.A. con NIF A82528548, con multa de 80.000euros (ochenta mil euros) por la infracción del artículo 4.3 de la LOPD en relación conel artículo 29.4 de la misma norma, y en relación con el artículo 38.1.a) del RLOPD,tipificada como infracción grave en el artículo 44.3.c) de dicha norma.>>

OCTAVO: En fecha 22/11/2018 se puso a disposición de XFERA MÓVILES en sudirección electrónica habilitada la notificación de la propuesta de resolución.

La denunciada accedió a la notificación en fecha 26/11/2018. Así consta en elCertificado expedido por el Servicio de Notificaciones Electrónicas y de DirecciónElectrónica Habilitada de la FNMT-RCM.


9/25

Por tanto, a tenor del artículo 73 de la LPACAP, el plazo para formularalegaciones a la propuesta de resolución terminaba el 11/12/2018.

Con fecha 12/12/2018 no consta en esta Agencia que la entidad denunciadahaya presentado dentro del plazo otorgado a tal fin sus alegaciones a la propuesta deresolución.

De las actuaciones practicadas en el presente procedimiento, han quedadoacreditados los siguientes

HECHOS PROBADOS

PRIMERO: A.A.A., con NIF ***DNI.1 y dirección electrónica ***EMAIL.3, denunciaque XFERA MÓVILES ha dado de alta varias líneas telefónicas a su nombre sin suconsentimiento las cuales han generado deudas cuyo impago ha motivado que susdatos hayan sido comunicados a ficheros de solvencia patrimonial.

SEGUNDO: El denunciante ha aportado copia de una denuncia formulada ante laGeneralitat de Cataluña (CAT12), relativa al alta sin su consentimiento de varias líneastelefónicas en una tienda de THE PHONE HOUSE en ***LOCALIDAD.1.

En escrito adjunto indica que al solicitar una tarjeta de crédito a su entidadbancaria le ha sido denegada por estar incluido en el fichero de morosos ASNEF,averiguando posteriormente que la inclusión la realiza XFERA por una deuda de 3.064euros, consiguiendo que le envíen las facturas e informándose que la contratación delas líneas se realizó en ***LOCALIDAD.2 en una tienda de THE PHONE HOUSE.

TERCERO: El denunciante aportó en fecha 15/09/2017, en respuesta al requerimientode información de la Inspección de Datos, la copia de su DNI; dicho documento tienecomo fecha límite de validez el 13/07/2020 e incorpora como domicilio la***DIRECCION.2.

En escrito de 22/09/2017 el denunciante aporta su DNI “antiguo no caducado”.El documento tiene como fecha límite de validez el 28/02/2018 e incorpora comodomicilio ***DIRECCION.3. El denunciante explica que “en las facturas he visto quehan puesto esta dirección en alguna. Entiendo que tienen una fotocopia de mi DNIantiguo. Mi DNI nuevo ya lo adjunté con dirección en ***LOCALIDAD.3 (aunque ahoravivo en ***LOCALIDAD.4)”.

El denunciante mediante escrito de 16/06/2018 comunica un cambio de domicilioque radica ahora en ***LOCALIDAD.5.

CUARTO: Consta que el denunciante se dirigió a EQUIFAX el 19/04/2017 ejercitandoel derecho de acceso a los datos que figuraban en el fichero ASNEF.

La entidad le respondió el 20/04/2017 aportando la información asociada a suidentificador (NIF) en la que figuraba la inclusión de sus datos personales en el citadofichero como consecuencia de una deuda por importe de 3.064,91 euros, dada de altael 24/06/2016, constando como entidad informante XFERA MOVILES, S.A. (Folio 32)


10/25

QUINTO: En los sistemas informáticos de XFERA figuran registrados los datospersonales del denunciante: nombre y apellidos, NIF, dirección electrónica ***EMAIL.1y como teléfono de contacto la línea asociada al número ***TELEFONO.4; comodirección postal la ***DIRECCION.1.

Asimismo, figuran vinculados al denunciante tres líneas de telefonía móvilasociadas a los números ***TELEFONO.1 (i) ***TELEFONO.2 (ii) y ***TELEFONO.3(iii):

SEXTO: XFERA no ha aportado copia del contrato de la línea de telefonía móvilasociada al número ***TELEFONO.1 (i) señalando que “ha sido solicitado aldistribuidor The Phone House, S.L.U. sin que a fecha del presente escrito haya sidoremitido por él”.

XFERA ha aportado copia de los contratos de las líneas ***TELEFONO.2 (ii) y***TELEFONO.3 (iii). Estos contratos fueron suscritos en el Distribuidor THE PHONEHOUSE el 03/03/2016 y el 07/03/2016 respectivamente. Se aporta copia del DNI deldenunciante con fecha de validez hasta el 13/07/2020 y cuya firma no parece coincidircon la que consta en los contratos.

SÉPTIMO: XFERA manifestó, en respuesta al requerimiento de la Inspección de laAEPD, que se emitieron a nombre del denunciante las facturas que relaciona en elpunto 1.3 de su escrito:

1- ***FACTURA.1, marzo de 2016, con un importe de 311,11 euros2 - ***FACTURA.2, abril de 2016, con un importe de 200,84 euros3 - ***FACTURA.3, mayo de 2016, con un importe de 191,96 euros4 - ***FACTURA.4, junio de 2016, con un importe de 177,00 euros5 - ***FACTURA.5, julio de 2016, con un importe de 177,00 euros6 - ***FACTURA.6, agosto de 2016, con un importe de 2.007,00 euros

Añadió que en la actualidad todas ellas se encuentran “condonadas en lossistemas de YOIGO por cesión de créditos realizada en fecha 19 de abril de 2017 a laempresa SALUS INVERSIONES Y RECUPERACIONES, S.L.” (Folio 425)

OCTAVO: XFERA manifestó en su escrito de respuesta al requerimiento informativo dela Inspección de la AEPD que “las facturas que motivaron la inclusión de los datos enficheros de solvencia y crédito son las que aparecen relacionadas en el apartado 1.3del presente escrito”. (Folio 428)

NOVENO: Obran en el expediente, aportadas por el denunciante, la copia de lasfacturas mencionadas en el Hecho Probado séptimo de las que XFERA facilitó a estaAgencia únicamente una relación. Identificadas por el número de orden, la 1 obra alfolio 37, la 2 en el folio 38, la 3 en el 39, la 4 en el 40, la 5 en el 41 y la 6 en el folio 11.

En todas ellas existen importe facturados por el servicio prestado por la líneanúmero***TELEFONO.1 (i)


11/25

DÉCIMO: XFERA ha aportado copia del contrato suscrito con THE PHONE HOUSE el22/02/2010. En su Clausula 7, Procedimientos Operativos, se señala que TPH ennombre de XFERA formalizará con el cliente el formulario de alta asegurando sudebida cumplimentación y deberá solicitar, en caso de personas físicas:

“ Fotocopia del Número de Identificación Fisca del firmante, o fotocopia dePasaporte ….vigentes a la fecha del contrato.

Solo para pospago: documentos acreditativos de los datos de cobro: adeudodomiciliado de antigüedad anterior a tres meses en el que figuren identificadoslos 20 dígitos de la cuenta y su titular o titulares o Fotocopia de portada decartilla bancaria con más de tres meses de antigüedad y fotocopia demovimientos domiciliados de menos de tres meses (…)

7. Verificar la documentación a presentar por el cliente (…)

En el momento de la contratación, The Phone House verificaráinexcusablemente los datos de identificación del cliente, y en su caso, los delfirmante con los documentos originales.

En ningún caso se procederá a dar un Alta para un cliente cuyos datos y/odocumentación presenten alguna duda en cuanto a su veracidad/vigencia.

Las verificaciones que siempre deben realizarse son las siguientes:

a Que las fotocopias de los documentos coinciden con los originalespresentados.

b Que los datos de los documentos acompañados coinciden con loscumplimentados en el contrato de abono.

c Que la firma del DNI, Pasaporte, etc., coincide con la del formulario dealta.

d Que la persona que firma coincide con la del documento de identidad y esmayor de dieciocho años

The Phone House no comercializará el servicio bajo ningún concepto a alguienque se niegue a identificarse o no presente alguno de los documentosmencionados en la presente estipulación”.

FUNDAMENTOS DE DERECHO

I

Es competente para resolver este procedimiento la Directora de la AgenciaEspañola de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g)en relación con el artículo 36 de la LOPD.


12/25

II

Los principios generales de protección de datos regulados en los artículos 4 a 12de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD),que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial deeste derecho fundamental.

La Audiencia Nacional, en diversas sentencias (entre otras SSAN de 24/03/2004y 7/07/2006) ha señalado que los principios generales descritos en dicho Título definenlas pautas a las que debe atenerse la recogida, tratamiento y uso de los datos decarácter personal.

El artículo 6 de la LOPD se refiere al principio del consentimiento en eltratamiento de los datos de carácter personal y dispone bajo la rúbrica“Consentimiento del afectado”:

“1. El tratamiento de los datos de carácter personal requerirá el consentimientoinequívoco del afectado, salvo que la ley disponga otra cosa.

2. No será preciso el consentimiento cuando los datos de carácter personal serecojan para el ejercicio de funciones propias de las Administraciones Públicas en elámbito de sus competencias; cuando se refieran a las partes de una relación negocial,laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”.

El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en elapartado 3:

“Los datos de carácter personal serán exactos y puestos al día de forma queresponsan con veracidad a la situación actual del afectado”.

El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4:

“Podrán tratarse también datos de carácter personal relativos al cumplimiento oincumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúepor su cuenta o interés. En estos casos se notificará a los interesados respecto de losque hayan registrado datos de carácter personal en ficheros, en el plazo de treintadías desde dicho registro, una referencia de los que hubiesen sido incluidos y se lesinformará de su derecho a recabar información de la totalidad de ellos, en los términosestablecidos en la presente Ley”.

“Sólo se podrán registrar y ceder los datos de carácter personal que seandeterminantes para enjuiciar la solvencia económica de los interesados y que no serefieran, cuando sean adversos, a más de seis años, siempre que respondan converacidad a la situación actual de aquellos”.

El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba elReglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los“Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo38, bajo la rúbrica “Requisitos para la inclusión de los datos”:


13/25

“1. Sólo será posible la inclusión en estos ficheros de datos de carácter personalque sean determinantes para enjuiciar la solvencia económica del afectado, siempreque concurran los siguientes requisitos: a) Existencia previa de una deuda cierta,vencida, exigible, que haya resultado impagada (….)

. El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o

interés estará obligado a conservar a disposición del responsable del fichero común yde la Agencia Española de Protección de Datos documentación suficiente que acrediteel cumplimiento de los requisitos establecidos en este artículo y del requerimientoprevio al que se refiere el artículo siguiente”. (El subrayado es de la AEPD).

El artículo 44.3. de la LOPD tipifica como infracciones graves:

“b) Tratar datos de carácter personal sin recabar el consentimiento de laspersonas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en estaLey y sus disposiciones de desarrollo.

c) Tratar datos de carácter personal o usarlos posteriormente con conculcaciónde los principios y garantías establecidos en el artículo 4 de la presente Ley y lasdisposiciones que lo desarrollan, salvo que sea constitutivo de infracción muy grave”.

III

Se atribuye a XFERA la comisión de dos infracciones de la LOPD, artículos 6.1 y4.3, materializadas en haber tratado los datos personales del denunciante asociados aun contrato de telefonía móvil vinculado al número ***TELEFONO.1 (i) sin suconsentimiento y en la posterior inclusión en ficheros de morosidad de sus datospersonales asociados a una deuda derivada también del citado contrato, por lo que ladeuda informada no era cierta, ni vencida ni exigible respecto a su persona.

Por lo que concierne a la infracción del artículo 6.1 de la LOPD se hacen lassiguientes reflexiones:

A. A tenor del artículo 6 de la LOPD el tratamiento de datos personales exige recabarel consentimiento de su titular; consentimiento que la ley obliga a que sea“inequívoco”, esto es, que no admita duda o equivocación.

A través del consentimiento al tratamiento de los datos personales que otorga sutitular otorga éste ejerce de forma efectiva el poder de control y de disposición sobreellos. En esa línea, el Tribunal Constitucional, en su STC 292/2000, de 30 denoviembre (Fundamento Jurídico 7), señala que “(…)Estos poderes de disposición ycontrol sobre los datos personales, que constituyen parte del contenido del derechofundamental a la protección de datos se concretan jurídicamente en la facultad deconsentir la recogida, la obtención y el acceso a los datos personales, su posterioralmacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea elestado o un particular (…)” (El subrayado es de la AEPD)

La LOPD prevé que sea el titular de los datos quien otorgue su consentimientoinequívoco al tratamiento, pues a él, y no a un tercero, le corresponde el poder dedisposición sobre ellos. Con toda claridad el artículo 3.h) de la LOPD, al definir elconsentimiento, se refiere a la manifestación de voluntad que el interesado hace


14/25

respecto a los “datos que le conciernan”.

El tratamiento de los datos personales sin contar con el consentimientoinequívoco de su titular, o sin otra habilitación amparada en la Ley, constituye unavulneración de este derecho fundamental. Sólo el consentimiento, con las excepcionescontempladas en la ley, legitima el tratamiento de los datos personales. No obstante, elapartado 2 del artículo 6 LOPD dispensa de la necesidad de recabar el consentimientodel afectado cuando el tratamiento se refiere a las partes de un contrato o precontratoy es necesario para su mantenimiento o cumplimiento. Esto, porque el consentimientopara tratar los datos personales está implícito en el consentimiento otorgado a lacontratación, pero, únicamente, en la medida en que el referido tratamiento sea elpreciso para la ejecución del contrato y si quien facilita los datos personales conocasión de la contratación ha sido efectivamente su titular.

B. La documentación que obra en el expediente demuestra que XFERA incorporó asus ficheros y trató los datos personales del denunciante (nombre, dos apellidos y NIF)vinculados a la línea móvil ***TELEFONO.1 (i).

Como se recoge en el Hecho Probado quinto, en los sistemas informáticos deXFERA se encuentran registrados los datos personales del denunciante, nombre,apellidos y NIF, asignándole como dirección postal la ***DIRECCION.1 (que nocoincide con ninguna de las que él nos ha facilitado), asociados a la línea***TELEFONO.1 (i). Sus datos aparecen también vinculados a otras dos líneas:***TELEFONO.2 (ii) y ***TELEFONO.3 (iii).

El denunciante ha negado haber contratado con XFERA ninguna de las treslíneas precitadas, por lo que se debe tener en cuenta que la Audiencia Nacional vieneconsiderando que cuando el titular de los datos niega la contratación corresponde lacarga de la prueba a quien afirma su existencia. Reiteradamente ha manifestado queel responsable del tratamiento de datos de terceros debe recabar y conservar ladocumentación necesaria para acreditar el consentimiento del titular. Citamos, portodas, la SAN de 31/05/2006 (Rec. 539/2004) que en su Fundamento de DerechoCuarto dice:

“Por otra parte es al responsable del tratamiento (por todas, sentencia de estaSala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse deque aquel a quien se solicita el consentimiento, efectivamente lo da, y que esapersona que está dando el consentimiento es efectivamente el titular de esos datospersonales, debiendo conservar la prueba del cumplimiento de la obligación adisposición de la Administración, encargada de velar por el cumplimiento de la Ley”(El subrayado es de la AEPD)

En el curso de las actuaciones de investigación previa, con la finalidad de que

XFERA pudiera demostrar que recabó y obtuvo del afectado el consentimiento para eltratamiento de sus datos personales, se requirió a la entidad para que aportara algúndocumento que probara la supuesta contratación por el afectado.

La operadora aportó, respecto a las líneas ii y iii la copia de sendos contratossuscritos a nombre del denunciante (nombre, dos apellidos y NIF) en fechas 3 y 7 demarzo de 2016 (folios 364 a 367)


15/25

Ambos contratos -que incluyen terminales móviles financiados Apple IPH 6S- secelebraron en un punto de venta del Distribuidor TPH. En ellos constan como datos deltitular el nombre, dos apellidos y NIF del denunciante y una dirección postal en***DIRECCION.1. Los datos bancarios para la domiciliación de los pagos en amboscontratos pertenecen a la entidad XXXX y a una cuenta finalizada en YY que eldenunciante no reconoce como suya. La denunciada facilitó, asimismo, la copia de unDNI del denunciante (idéntico al que el denunciante remitió a la AEPD) con fecha límitede validez 13/07/2020 (folios 361 y 362) pudiendo constatar que existe a simple vistauna diferencia importante entre la firma que nos ofrece el DNI y la de los contratos.

Como se expuso en el acuerdo de inicio, habida cuenta de que XFERA adoptóuna mínima diligencia con ocasión de la contratación de esos servicios a fin deacreditar la identidad del contratante, y pese a que la conducta en sí misma pudieraser antijurídica -como sucedería en el caso de que, como parece haber ocurrido, untercero suplantara la identidad del denunciante- no cabría exigir a la entidadresponsabilidad administrativa sancionadora.

Sin embargo, XFERA no ha aportado, en relación con la línea ***TELEFONO.1(i), ningún contrato que legitime el tratamiento de los datos personales del denuncianteque la entidad llevó a cabo vinculado a aquélla. La entidad se ha limitado a afirmar queesta línea se dio de alta a través del mismo Distribuidor, TPH, en fecha 01/03/2016.Según éstos sería la primera contratación de las tres que XFERA efectuó a nombre deldenunciante, pues las otras dos datan del 03/03/2016 y del 07/03/2016 (Hechoprobado sexto)

XFERA MÓVILES no ha podido aportar ningún documento, en ningún soporte,del que se infiera que recabó y obtuvo el consentimiento del denunciante a lacontratación del servicio que dio de alta a su nombre, ***TELEFONO.1 (i), ni tampocodocumento alguno del que se pueda concluir que obró, en el presente caso, con ladiligencia mínima exigible a fin de identificar a la persona que facilitó como suyos losdatos personales que han sido objeto de tratamiento.

La denunciada ha justificado la omisión de ese documento en que TPH se hanegado a facilitárselo. Por tal motivo solicitó en sus alegaciones al acuerdo de inicioque la AEPD recabara en pruebas esta documentación a TPH, prueba que fuedesestimada por considerarla manifiestamente improcedente ya que implicabatrasladar a esta Agencia la carga probatoria que incumbe exclusivamente a ladenunciada.

En definitiva, XFERA MÓVILES carecía de legitimación para el tratamiento de losdatos del denunciante que llevó a cabo en relación con la línea ***TELEFONO.1 (i) Nocabe amparar el tratamiento efectuado en el artículo 6.2 LOPD, pues ni ha acreditadoque existiera un contrato a nombre del afectado ni que él fuese la persona que otorgóel consentimiento a la contratación. Tampoco acredita haber obrado diligentemente yhaber verificado la identidad de quien facilitó como suyos el nombre, apellidos y NIFdel denunciante.

C. XFERA ha alegado en su defensa que la ausencia de documentación acreditativade la contratación de la referida línea no puede analizarse ni valorarse, dice, “de forma


16/25

aislada” “sin tener en cuenta las otras contrataciones” que se hicieron unos díasdespués en el mismo Distribuidor y, en su opinión, por la misma persona.

Efectivamente la línea ***TELEFONO.1 (i) se habría contratado, a tenor de lainformación facilitada por XFERA, el 01/03/2016 en tanto que las otras dos son defechas 3 y 7 de marzo de 2016.

Lo único cierto, sin embargo, es que estamos en presencia de tres contratosindependientes entre sí celebrados en días distintos, a través de un mismo Distribuidory que respecto al más antiguo de los tres la operadora no ha aportado ningúndocumento que acredite la contratación y, por tanto, el consentimiento para eltratamiento de los datos personales asociados a aquél. Tampoco documento oelemento alguno del que pueda inferirse una actuación diligente de la denunciada enel cumplimiento de las obligaciones que le imponen la LOPD y normas de desarrollo.Pretender justificar que el tratamiento de los datos del denunciante asociados a lalínea ***TELEFONO.1 (i) es legítimo porque XFERA ha aportado copia de loscontratos firmados y del DNI del denunciante en relación con otras dos líneas distintasque fueron contratadas unos días después por una persona que también se identificócon el nombre, apellidos y NIF del denunciante y con el mismo domicilio, carece desoporte jurídico.

D. El nacimiento de responsabilidad sancionadora presupone la existencia delelemento de la culpabilidad en cualquiera de sus manifestaciones: dolo, culpa o culpalevísima. En el ámbito del Derecho Administrativo Sancionador no es posible imponersanciones basadas en la responsabilidad objetiva del presunto infractor dado que lassanciones administrativas participan de la misma naturaleza que las penales, al seruna de las manifestaciones de la potestad punitiva del Estado y, como exigenciaderivada de los principios de seguridad jurídica y legalidad penal consagrados en losartículos 9.3 y 25.1 de la CE, es imprescindible que este elemento esté presente comopresupuesto para su imposición (STC 76/1999)

La entidad ha omitido la diligencia que, con carácter mínimo, es exigible parapoder acreditar su legitimación para el tratamiento de los datos personales deldenunciante vinculados a la contratación de la línea ***TELEFONO.1 (i).

Llegados a este punto procede recordar que según el contrato de Agenciasuscrito entre XFERA MÓVILES y la Distribuidora TPH ésta debía darle traslado conperiodicidad trimestral de los originales de los contratos que celebraran los clientes,firmados por el titular, así como de la copia del DNI o pasaporte solicitado al clientepara validar su identidad y del resguardo bancario que hiciera prueba de su condiciónde titular de la cuenta bancaria de domiciliación de pagos.

La omisión, en relación con la línea controvertida, de toda la documentaciónprecitada evidencia que XFERA MÓVILES no verificó si la Distribuidora había actuadocon arreglo a las estipulaciones contractuales y si, efectivamente, le había remitido losdocumentos vinculados al contrato de telefonía. Documentos que constituían unaprueba indispensable de la legitimidad del tratamiento de datos efectuado; prueba queXFERA debía obtener y conservar en su poder para estar en condiciones de demostrarque actuó con arreglo a la normativa de protección de datos al vincular los datos deldenunciante a la línea controvertida.


17/25

Es más, a la luz de los hechos que constan en el expediente XFERA no sólo noverificó si tenía en su poder los medios necesarios para demostrar la legitimidad deltratamiento de datos personales efectuado al tiempo de dar de alta la línea detelefonía -del protocolo descrito en el contrato con TPH se desprende que bastaba conque la Distribuidora incorporase los datos a los sistemas de la operadora-. Tampocohizo esa comprobación en los tres meses siguientes (plazo máximo previsto para quelos documentos pasaran de TPH a XFERA) ni más adelante, cuando tomó la decisiónde vender la deuda atribuida al denunciante a SALUS INVERSIONES YRECUPERACIONES, S.L. Recordemos que XFERA MÓVILES ha declarado que ladeuda fue cedida a esta entidad y que ese fue el motivo por el cual en fecha19/04/2017 canceló la incidencia del fichero ASNEF.

En definitiva, en tanto XFERA MÓVILES trató los datos del denunciantevinculados al alta de una línea móvil sin recabar su consentimiento y sin actuar con ladiligencia mínima exigible en el cumplimiento de la obligación impuesta por la LOPD,vulneró el artículo 6.1 LOPD, conducta subsumible en el tipo infractor del artículo44.3.b) de dicha Ley Orgánica.

III

Por lo que respecta a la presunta infracción del artículo 4.3 de la LOPD que seimputa a XFERA han hacerse las siguientes consideraciones:

Las normas jurídicas reproducidas en el Fundamento de Derecho I ponen demanifiesto que la comunicación de los datos de un tercero a un fichero de solvenciapatrimonial exige que la deuda sea cierta, vencida, exigible y que haya resultadoimpagada.

Como se expone en el Fundamento precedente, XFERA no ha acreditado que eldenunciante fuera la persona que contrató el servicio de la línea ***TELEFONO.1 (i), loque implica que tampoco ha acreditado su condición de deudor; esto es, que él sea eltitular de la deuda que deriva de dicho contrato.

Paralelamente, consta en el expediente que XFERA informó los datospersonales del denunciante al fichero ASNEF con fecha de alta 24/06/2016 por unsaldo impagado de 3.064,91 euros y que a fecha 19/04/2017 esa incidenciapermanecía aún incluida en el fichero.

XFERA, con carácter previo a la comunicación de los datos de un tercero a unfichero común, tenía la obligación de asegurarse de que se cumplían todos losrequisitos a los que las normas de protección de datos supeditan la legalidad de talcomunicación; por lo que aquí interesa que la deuda informada era cierta, vencida yexigible respecto a la persona del denunciante (artículo 38.1.a. RLOPD)

Pues bien, en los Hechos Probados séptimo y noveno se contienen una relaciónde las facturas que la denunciada emitió a nombre del denunciante (entre marzo de2016 y agosto de 2016) Del contenido de las facturas (Hecho probado noveno) seevidencia que, en todas ellas, se incluyen entre los conceptos facturados el servicio dela línea controvertida, ***TELEFONO.1 (i). Esto implica, por tanto, que en la deuda que


18/25

XFERA informó a ASNEF asociada a los datos personales del denunciante estabacomprendido el importe de los servicios prestados a nombre del denunciante perorespecto a los cuales la denunciada no ha podido acreditar que fuera él quien prestó elconsentimiento a la contratación ni tampoco que respecto a ella tuviera el denunciantela condición de deudor.

Insistir, por otra parte, en que el artículo 43 del RLOPD refuerza la diligencia quees exigible al acreedor que informa al fichero datos adversos de un tercero puesestablece:

“El acreedor o quien actúe por su cuenta o interés deberá asegurarse queconcurren todos los requisitos exigidos en los artículos 38 y 39 en el momento denotificar los datos adversos al responsable del fichero común. 2. El acreedor o quienactúe por su cuenta o interés será responsable de la inexistencia o inexactitud de losdatos que hubiera facilitado para su inclusión en el fichero, en los términos previstosen la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD)

Se concluye de lo expuesto que los datos personales del denunciante fueronincluidos por XFERA en un fichero de morosos vinculados a una deuda a la que él eraajeno; deuda que no era cierta, ni vencida ni exigible desde la perspectiva del afectadopor cuanto no se ha acreditado su condición de deudor. La información relativa aldenunciante que XFERA comunicó a ASNEF no se ajustó al principio de exactitud yveracidad, corolario del principio de calidad del dato que proclama el artículo 4.3 de laLOPD.

La conducta anteriormente descrita, vulnera el principio de calidad del datoconsagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificadaen el artículo 44.3.c) de la citada norma.

V

Parece conveniente hacer una breve referencia a las afirmaciones efectuadaspor la denunciada en sus escritos de respuesta al requerimiento informativo y dealegaciones al acuerdo de inicio, dada la relevancia que quiere hacer derivar de ellasen aras de la aplicación del artículo 45.5.b) LOPD. Reacción diligente que a su juiciose concretaría en una pretendida “condonación de la deuda” al denunciante y en una“cancelación de la incidencia” asociada a sus datos en el fichero ASNEF.

La denunciada aduce (folio 6 de su escrito, 471 del expediente administrativo)que “…anuló las facturas emitidas al denunciante mucho antes de la notificación aYOIGO del requerimiento de información del Expediente nº E/05110/2017, y procedióa la suspensión de todo procedimiento de recobro de la deuda así como a lafinalización de los tratamientos de sus datos, incluidos su comunicación a ASNEF…”

Alega también (folio 4 de su escrito, 469 del expediente administrativo) que“antes de que el requerimiento de información del Expediente nº E/0510/2017 fuesenotificado a YOIGO, mi representada ya había condonado la deuda con elDenunciante y había dado de baja sus datos en el fichero ….ASNEF.” Y añade que,“una vez que el requerimiento de información del Expediente nº E/05110/2017 fuesenotificado a YOIGO, mi representada comunicó la denuncia interpuesta por el


19/25

denunciante a la empresa SALUS INVERSIONES…” (El subrayado es de la AEPD)

Esta última afirmación ha de ponerse en relación con lo manifestado en el cursode las investigaciones previas en las que manifestó que “las facturas se encuentrancondonadas en los sistemas de YOIGO por cesión de créditos realizada en fecha 19de abril de 2017 a la empresa SALUS INVERSIONES…” (folio 425)

Hay una evidente la confusión de la entidad cuando se refiere a lasconsecuencias de un negocio jurídico lucrativo, como es la venta o cesión de uncrédito -en este caso la deuda atribuida al denunciante y derivada del servicio de lalínea ***TELEFONO.1 (i) que dio de alta a nombre del afectado sin legitimación paraello-, como “condonación” de la deuda.

En ningún caso pudo haberse condonado al denunciante la deuda que le atribuíay, al mismo tiempo, ceder la deuda a un tercer adquirente, SALUS INVERSIONES.Otra cosa distinta es que, en la medida en que cedió la deuda a una tercera entidaddejó de figurar en su haber y, en tanto XFERA no era ya formalmente titular del créditotuvo que poner fin a las gestiones de cobro y a su comunicación a ficheros comunes.

La conducta de XFERA antes mencionada no sólo no permite apreciar lapretendida reacción diligente; más al contrario, lo que se observa es un nuevotratamiento de los datos del denunciante -materializado en la comunicación a untercero, el cesionario del crédito- sin legitimación para ello. Se añade a lo expuestoque, iniciadas las actuaciones de investigación previa, la denunciada no ha llegado aacreditar que, tal y como afirmó, había puesto en conocimiento de SALUSINVERSIONES la falta de certeza de la deuda vendida, pues de haberlo hecho nohabría tenido ninguna dificultad en probar ese extremo, lo que le fue requerido en fasede prueba.

VI

El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por laLey 2/2011, de 4 de marzo, de Economía Sostenible, establece:

“1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros.

2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000euros.

3. Las infracciones muy graves serán sancionadas con multa de 300.001 a600.000 euros.

4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:a) El carácter continuado de la infracción.b) El volumen de los tratamientos efectuados.c) La vinculación de la actividad del infractor con la realización de tratamientosde datos de carácter personal.d) El volumen de negocio o actividad del infractor.e) Los beneficios obtenidos como consecuencia de la comisión de la infracción.f) El grado de intencionalidad.


20/25

g) La reincidencia por comisión de infracciones de la misma naturaleza.h) La naturaleza de los perjuicios causados a las personas interesadas o aterceras personas.i) La acreditación de que con anterioridad a los hechos constitutivos deinfracción la entidad imputada tenía implantados procedimientos adecuados deactuación en la recogida y tratamiento de los datos de carácter personal,siendo la infracción consecuencia de una anomalía en el funcionamiento dedichos procedimientos no debida a una falta de diligencia exigible al infractor.j) Cualquier otra circunstancia que sea relevante para determinar el grado deantijuridicidad y de culpabilidad presentes en la concreta actuación infractora.

5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escalarelativa a la clase de infracciones que preceda inmediatamente en gravedad aaquella en que se integra la considerada en el caso de que se trate, en lossiguientes supuestos:

a) Cuando se aprecie una cualificada disminución de la culpabilidad delimputado o de la antijuridicidad del hecho como consecuencia de laconcurrencia significativa de varios de los criterios enunciados en el apartado 4de este artículo. b) Cuando la entidad infractora haya regularizado la situación irregular deforma diligente.c) Cuando pueda apreciarse que la conducta del afectado ha podido inducir ala comisión de la infracción.d) Cuando el infractor haya reconocido espontáneamente su culpabilidad.e) Cuando se haya producido un proceso de fusión por absorción y lainfracción fuese anterior a dicho proceso, no siendo imputable a la entidadabsorbente.”

A. XFERA MÓVILES solicitó en sus alegaciones al acuerdo de inicio que se aplicarael artículo 45.5 LOPD, cuyo efecto jurídico es la imposición de la sanción con arreglo ala escala que precede en gravedad a aquella prevista para la infracción efectivamentecometida.

La denunciada ha solicitado que se aplique el apartado b, del precepto, “Cuandola entidad infractora haya regularizado la situación irregular de forma diligente”,pretensión que ha de ser rechazada.

Argumenta XFERA para justificar la estimación de esa atenuante cualificada que“anuló las facturas emitidas al Denunciante mucho antes de la notificación a YOIGOdel requerimiento de información del Expediente E/5110/2017 y procedió a lasuspensión de todo procedimiento de recobro de la deuda así como a la finalizaciónde los tratamientos de datos, incluida la comunicación a ASNEF” (folio 471)

Pues bien, el requerimiento informativo de la Inspección se hizo en fecha08/11/2017. A fecha 20/04/2017 figuraban los datos incluidos en el fichero desolvencia. Sentado lo anterior no puede obviarse que XFERA manifestó en surespuesta al requerimiento informativo de la Inspección que dio de baja la anotaciónen ASNEF el 19/04/2017 “con motivo de la cesión de deuda a SALUS INVERSIONES


21/25

Y RECUPERACIONES, S.L.”. En esa línea argumental hemos de recordar tambiénque esta entidad manifestó que las deudas atribuidas al denunciante se encontraban“condonadas en los sistemas de YOIGO por cesión de créditos realizada el 19 de abrilde 2017” a SALUS INVERSIONES.

Así pues, resulta evidente que el motivo por el que XFERA dio de baja del ficherode solvencia los datos del denunciante y anuló la deuda que le atribuía no respondió auna reacción diligente ante la constatación por su parte de que había vulnerado lanormativa de protección de datos sino a su interés empresarial. No existió en ningúncaso -no consta acreditado- la condonación a la que se alude y que implicaría unaextinción del crédito que afirma haber ostentado frente al denunciante. De ser cierta lapretendida condonación no cabría cesión de crédito alguna ya que la condonación escausa de extinción de la deuda y esa deuda no podría haber sido objeto de cesión aSALUS. En definitiva, no están presentes en el asunto examinado los elementos queintegran esa atenuante cualificada.

Respecto a la aplicación del artículo 45.5 a) LOPD que se solicita tampocoprocede su estimación. Nos remitimos a tal fin al examen de las circunstanciasdescritas en el artículo 45.4 LOPD cuya aplicación en calidad de atenuantes sesolicita: apartados b, c, d, e, f y h.

En relación con el apartado b) - volumen de tratamientos efectuados- que seinvoca como atenuante en consideración a que se han visto afectados por la conductainfractora los datos de una única persona se indica que, por razones lógicas, estacircunstancia puede operar sólo como agravante y no como atenuante. La vulneraciónde la normativa de protección de datos respecto a uno solo de los datos personales orespecto a una única persona, es presupuesto indispensable para que la conductainfractora exista. Será a partir de entonces cuando podrá valorarse, atendiendo alvolumen de los datos que han sido objeto de tratamiento, si es exponente de unamayor antijuridicidad o culpabilidad de la conducta. En cualquier caso, los datospersonales tratados sin consentimiento son el NIF, nombre y dos apellidos, por lo quede apreciarse en el presente caso sería como agravante de la conducta enjuiciada.

Por lo que atañe a los apartados c), d) y f) del artículo 45.4 LOPD la AEPD estima queambas operan como agravantes, por lo que nos remitimos a los comentarios que másadelante se recogen. Sobre la pretensión de que se estime como atenuante el apartado e), ausencia debeneficios, indicar que la Audiencia Nacional, Sala de lo Contencioso Administrativo,en SAN de 17/04/2018 (Rec. 254/2017) rechazó la pretensión de la demandante,sancionada por la AEPD, de que se estimara esta circunstancia explicando que “Encuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por laresolución recurrida, respecto a que lo relevante es que la actuación de Abanca síestuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de queaquél no llegara finalmente a obtenerse no puede servir de fundamento a unaatenuación de culpabilidad o antijuridicidad de su conducta”. Este mismo espíritu es elque recoge la SAN de 31/03/2017 (Rec. 845/2015)

Tampoco es admisible estimar como atenuante el apartado h) del artículo 45.4 LOPD,la naturaleza de los perjuicios causados. Basta recordar que el denunciante conoció su


22/25

inclusión en ficheros en 2017 cuando le denegaron una financiación; que ha estadoincluido en un fichero de morosidad durante más diez meses y que, como ha señaladola Audiencia Nacional, SAN 16/02/2002, (Rec 1144/1999) “...Ha de decirse que lainclusión equivocada o errónea de una persona en el registro de morosos, es unhecho de gran trascendencia de la que se pueden derivar consecuencias muynegativas para el afectado, en su vida profesional, comercial e incluso personal, queno es necesario detallar. En razón a ello, ha de extremarse la diligencia para que losposibles errores no se produzcan, ...”

B. En aras a graduar el importe de la sanción que corresponde imponer por las dosinfracciones de la LOPD de las que se responsabiliza a XFERA, además de noapreciar la aplicación del artículo 45.5 LOPD estimamos que concurren las siguientescircunstancias del artículo 45.4 LOPD en calidad de agravantes: -“El carácter continuado de la infracción” (apartado a). Circunstancia queresulta aplicable tanto respecto a la vulneración del principio del consentimiento comodel de calidad de los datos, pues los datos personales del denunciante (DNI, nombre ydos apellidos) han sido objeto de tratamiento sin legitimación para ello desde la fechade alta de la línea, el 01/03/2016, y hasta al menos el 19/04/2017, cuando, dice laentidad, dio de baja la incidencia en ASNEF. Respecto al fichero ASNEF, habidacuenta de que la fecha de alta de la anotación fue el 23/06/2017, los datos delafectado permanecieron incluidos por XFERA, vulnerando el principio de exactitud yveracidad en relación con el artículo 38.1.a) RLOPD, durante casi diez meses. -“La vinculación de la actividad del infractor con la realización de tratamientosde datos de carácter personal” (apartado c,) La actividad empresarial de XFERA, porsu naturaleza, exige un continuo tratamiento de datos de carácter personal.

La Audiencia Nacional, en SAN de 17/10/2007 (Rec. 63/2006), ha exigido aaquellas entidades en las que el desarrollo de su actividad conlleva un continuotratamiento de datos de clientes y terceros que observen un adecuado nivel dediligencia y precisa que “….el Tribunal Supremo viene entendiendo que existeimprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando elinfractor no se comporta con la diligencia exigible. Y en la valoración del grado dediligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y nocabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrentees de constante y abundante manejo de datos de carácter personal ha de insistirse enel rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”.

- “El volumen de negocio o actividad del infractor” (apartado d). Constituye unhecho notorio, que no precisa prueba, el importante volumen de negocio de estaentidad, que tiene la consideración de gran empresa del sector de telecomunicaciones.

- El grado de intencionalidad” (apartado, f) expresión que debe interpretarsecomo equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006)indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, comoaquí acontece, existe culpabilidad y la conducta merece sin duda un reprochesancionador sin que el hecho de que no exista actuación dolosa deba conllevarnecesariamente una disminución aún mayor de la sanción cuando ésta ha sidoimpuesta en su grado mínimo”.


23/25

La falta de diligencia demostrada por XFERA en el cumplimiento de laobligación que le impone la LOPD respecto al tratamiento de los datos de terceros es,en el supuesto analizado, especialmente significativa. Esto, porque la entidad no sóloincumplió la obligación de recabar y obtener el consentimiento del titular de los datosen el momento inicial sino que además tampoco verificó que el tratamiento efectuadofuera legítimo cuando procedió a comunicar a una tercera entidad (SALUSINVERSIONES) el supuesto crédito que decía ostentar frente al afectado derivado deuna línea telefónica que había dado de alta sin recabar su consentimiento.

Se suma a lo expuesto que, por lo que concierne al artículo 4.3 en relacióncon el 29.4 y el 38.1.a, del RLOPD, el artículo 43.1 del RLOPD “refuerza” la diligenciaexigible a quien informa datos de un tercero a un fichero de solvencia patrimonial alestablecer que el acreedor “deberá asegurarse” que se cumplen esos requisitoscuando informa los datos personales a un fichero de morosidad.

De aplicación exclusiva a la infracción del principio de calidad de los datostipificada en el artículo 44.3.c) LOPD, junto con las ya descritas, se aprecia laconcurrencia de la agravante prevista en el artículo 45.4.g LOPD: “La reincidencia porcomisión de infracciones de la misma naturaleza”

Disposición que ha de integrarse con el artículo 29.3 de la Ley 40/2015, deRégimen Jurídico del Sector Público, que al referirse a los criterios que serán objeto deespecial consideración en la graduación de la sanción menciona, apartado d), “Lareincidencia, por comisión en el término de un año de más de una infracción de lamisma naturaleza cuando así haya sido declarado por resolución firme en víaadministrativa.

Exponente de la agravante de reincidencia que opera en relación con lainfracción tipificada en el artículo 44.3.c) LOPD, cabe citar entre otras resoluciones, lasdictadas por la AEPD en los expedientes sancionadores PS/559/2017, firmada el26/04/2018; el PS/00097/2017, firmada el 17/11/2017 o PS/00400/2016, firmada el26/01/2017. En todas ellas se sancionó a XFERA por infracción del artículo 4.3 LOPD:

Vistos los preceptos citados y demás de general aplicación,

la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a la entidad XFERA MÓVILES, S.A., con NIF A82528548, poruna infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en elartículo 44.3.b) de la LOPD, una multa de 60.000 € (sesenta mil euros), deconformidad con lo establecido en el artículo 45.2 de la citada LOPD.

SEGUNDO: IMPONER a la entidad XFERA MÓVILES, S.A., con NIF A82528548, poruna infracción del artículo 4.3, en relación con el 29.4, de la LOPD, tipificada comoinfracción grave en el artículo 44.3.c) de la LOPD, una multa de 70.000 € (setenta mileuros), de conformidad con lo establecido en el artículo 45.2 de la citada LOPD.

TERCERO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A.


24/25

CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectivauna vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en elartículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento AdministrativoComún de las Administraciones Públicas, en el plazo de pago voluntario que señala elartículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 dediciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 00000000, abierta a nombre de la Agencia Española de Protección de Datos en el BancoCAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en períodoejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentraentre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pagovoluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si seencuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pagoserá hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en laredacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidasfiscales, administrativas y del orden social, la presente Resolución se hará pública, unavez haya sido notificada a los interesados. La publicación se realizará conforme a loprevisto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española deProtección de Datos sobre publicación de sus Resoluciones y con arreglo a lodispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por elReal Decreto 1720/2007, de 21 diciembre.

Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD),y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas,los interesados podrán interponer, potestativamente, recurso de reposición ante laDirectora de la Agencia Española de Protección de Datos en el plazo de un mes acontar desde el día siguiente a la notificación de esta resolución o directamenterecurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de laAudiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 dela disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de laJurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde eldía siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 delreferido texto legal.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la Ley 39/2015,de 1 de octubre, del Procedimiento Administrativo Común de las AdministracionesPúblicas, se podrá suspender cautelarmente la resolución firme en vía administrativa siel interesado manifiesta su intención de interponer recurso contencioso-administrativo.De ser éste el caso, el interesado deberá comunicar formalmente este hecho medianteescrito dirigido a la Agencia Española de Protección de Datos, presentándolo a travésdel Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de lacitada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia ladocumentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso


25/25

contencioso-administrativo en el plazo de dos meses desde el día siguiente a lanotificación de la presente resolución, daría por finalizada la suspensión cautelar.

Mar España MartíDirectora de la Agencia Española de Protección de Datos


antecedentes primero: xfera mÓviles, s.a., · 2/25 de julio de 2016, emitida el 01/08/2016, por...

Documents