RESOLUCIÓN: R/02422/2014

1/8 RESOLUCIÓN: R/02422/2014 Procedimiento Nº PS/00409/2014 En el procedimiento sancionador PS/00409/2014, instruido por la Agencia Española de Protección de Datos a la entidad Vodafone España SAU, vista la denuncia y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 7/8/13 se recibe en el registro de la Agencia Española de Protección de Datos escrito de la Dirección General de la Guardia Civil en el que se remite denuncia presentada por Dª A.A.A. (en lo sucesivo la denunciante) y en la que se pone de manifiesto lo siguiente : Que el fecha 2 de abril de 2013, recibió llamada telefónica de un distribuidor de VODAFONE ESPAÑA SA (en lo sucesivo la denunciada) informando del alta de tres líneas a su nombre e indicando que puede pasar a recoger un terminal móvil. En esta misma llamada la denunciante manifiesta no haber contratado, no obstante constan sus datos personales de nombre y apellidos, DNI y cuenta bancaria asociados a un domicilio de La Coruña en el cual no ha residido. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/05054/2013. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 01/07/14. TERCERO: Por el Director de la Agencia Española de Protección de Datos se acordó, con fecha 18/7/14, iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A. por la por la presunta infracción del artículo 6 de la LOPD. CUARTO: Se han presentado escrito de alegaciones, por parte de la entidad denunciada, con fecha 11/8/14 que se ha valorado en la resolución de este expediente QUINTO; Se aperturó periodo de prácticas de pruebas, incorporando la documentación y alegaciones presentadas en el procedimiento de actuaciones previas de investigación, Y así mismo las alegaciones presentadas por la entidad denunciada ante el Acuerdo de Inicio. SEXTO: Que el instructor del expediente dictó propuesta de resolución, con fecha 25/9/14, notificada a la entidad denunciada, en el sentido de que por el Director de la Agencia se sancionase a Vodafone por la infracción del art. 6 de la LOPD. SEPTIMO: Por escrito de 18/10/14 la entidad denunciada ha manifestado su conformidad con el contenido de la propuesta. HECHOS PROBADOS 1º Consta denuncia presentada por Dª A.A.A. en la que manifiesta que con fecha 2/4/13 recibió llamada telefónica de un distribuidor de VODAFONE ESPAÑA SA informando

2/8 del alta de tres líneas a su nombre e indicando que puede pasar a recoger un terminal móvil. En esta misma llamada la denunciante manifiesta no haber contratado, no obstante constan sus datos personales de nombre y apellidos, DNI y cuenta bancaria asociados a un domicilio de La Coruña en el cual no ha residido. 2º Constan en los Sistemas de Información de VODAFONE los datos de la denunciante como titular de dos cuentas de cliente: Cuenta de cliente ***CUENTA.1 con los números de línea ***TEL.1 y ***TEL.2 con fechas de alta el 2 y 3 de abril de 2013 y cuenta de cliente ***CUENTA.2 asociada al número ***TEL.3 con fecha de alta 5 de abril de 2013. Todos estos servicios fueron dados de baja el 19 de abril de 2013 por impago. 3º Manifiesta VODAFONE que se han localizado los contratos asociados a estas líneas, dos de ellos no están firmados y uno sí y aporta copia de los tres contratos. 4º Constan a si mismo manifestaciones de VODAFONE relativas a que dentro de los proyectos internos desarrollados para evitar situaciones de fraude y mejorar los procesos de guarda y custodia de contratos, tras efectuar las oportunas averiguaciones y de manera proactiva, siguiendo los procesos de monitorización y control de las contrataciones, se detectó que existían en este caso pedidos de terminal no recogidos y vinculados a contratos no suscritos por el cliente. 5º Que por parte de Vodafone se contactó con la denunciante con el fin de confirmar con ella las contrataciones, momento en el que ésta reconoció que no había realizado dichas contrataciones y desde la tienda, se pasó el caso al Departamento de Fraude, donde se procedió a efectuar las tipificaciones pertinentes calificando la contratación como fraudulenta y desactivando todos los servicios. 6º Consta copia de las facturas emitidas en abril y mayo de 2013 que han generado una deuda y manifiesta que dicha deuda ha sido cancelada y que no será reclamada a la denunciante tras ser tipificadas, en el mes de abril de 2013, las líneas como fraudulentas. 7º VODAFONE manifiesta que todas estas actuaciones proactivas y diligentes por parte de Vodafone ocasionaron que los servicios únicamente estuviesen activos durante un plazo de 15 días, y sin que dichas contrataciones hayan ocasionado perjuicio alguno a la denunciante. Asimismo todas las acciones demuestran que Vodafone tiene implementados mecanismos de control para solventar casos de este tipo que no puede evitar cuando dependen al final de un acto voluntario de un empleado al margen de las directrices y procesos previstos. Finalmente, consta en VODAFONE un despido de una empleada de la tienda donde fueron contratados los servicios que estaría vinculada con actuaciones de este tipo. La tienda es propia de Vodafone, FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37. g) en relación con el artículo 36 de la LOPD.

3/8 II Se analiza en este procedimiento la denuncia presentada por Dª A.A.A. en la que manifiesta que Vodafone ha dado de alta a su nombre unas líneas de telefonía que no ha contratado ya que no es cliente de la entidad. Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/05054/2013/ se determinó que, salvo prueba en contrario, Vodafone hizo tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco, dando de alta unas líneas a nombre del denunciante sin haber acreditado su contratación. Por parte de Vodafone se han presentado, en síntesis, las siguientes alegaciones al Acuerdo de Inicio: * Que de manera inmediata remitió expediente al departamento de fraude catalogándose los servicios como fraudulentos dándose de baja y cancelando la deuda que se había generado. Estando os servicios apenas activos unos 15 días. * Que Vodafone disponía de los contratos físicos remitidos por el distribuidor, aunque es cierto que faltaba la firma en dos de ellos, lo cual implica una mala gestión por parte del distribuidor a la hora de cumplir con sus obligaciones. * Se trata de un incidente puntual por parte de un distribuidor de Vodafone, no un error en los sistemas o procedimientos de la entidad. * Se solicita la aplicación del art. 45.5 b) y d) al existir una acción diligente por parte de la operadora y atendiendo al reconocimiento de la culpabilidad por parte de Vodafone III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.d) de la LOPD, el responsable del fichero o del tratamiento es la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento. El propio artículo 3 en su apartado c) delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV

4/8 Se imputa a VODAFONE la comisión de la infracción del art. 44.3.b) de la LOPD que establece como infracción grave: Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. El art. 6 de la LOPD establece en su apartado primero que el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. El art. 3 h) de la LOPD define el consentimiento del interesado como toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen : El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado la Audiencia Nacional, sala de lo contencioso administrativo, y, entre otras, en Sentencia de 28/02/2007 -recurso n.236/2005-, el consentimiento ha de ser necesariamente inequívoco. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del consentimiento inequívoco, a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de la AN de 8/11/2012 -recurso n. 789/2010-). En este caso, en los ficheros de VODAFONE consta la denunciante como titular de dos cuentas de cliente: ***CUENTA.1 (con los números de línea ***TEL.1 y ***TEL.2) con fechas de alta 2 y 3 de abril de 2013 y cuenta de cliente ***CUENTA.2 asociada al número ***TEL.3 con fecha de alta 5 de abril de 2013. Dichos servicios fueron dados de baja el 19 de abril de 2013 por impago-. Sin embargo no consta que el tratamiento de los datos de carácter personal de la misma se realizaran con su consentimiento, incurriendo, por ello, en la infracción tipificada en el art. 44.3.b) de la LOPD. Se reconoce por VODAFONE que en este caso si existió un error por parte de dos agentes de una tienda propia de la denunciada, disponiendo de los contratos físicos remitidos por el distribuidor aunque faltaba la firma en dos de ellos. Se deduce la responsabilidad de VODAFONE, independientemente de la existencia del error en el distribuidor, que en todo caso tenía que verificado la identidad del contratante mediante el cotejo de su DNI. En este sentido se ha expresado la Audiencia Nacional en

5/8 diversas ocasiones en relación a asuntos sustancialmente idénticos, así en las sentencias correspondientes al recurso 691/2009 y 657/2008, en los que se ha sancionado por infracción del principio de consentimiento en relación a contrataciones de suministro realizado por medio de empresas comercializadoras. Se razona en esas Sentencias que: la responsabilidad en que, en su caso, haya podido incurrir dicho distribuidor o agente comercial al facilitar a XX XX datos de los denunciantes, sin su consentimiento, no le eximen del cumplimiento de la normativa de protección de datos personales, ya que es ella con quien el interesado firma el contrato de abono, quien incorpora sus datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios, y la que en correlación, debe asegurarse que aquel a quien solita los datos para contratar (aunque la recogida de datos se haga a través de terceros) Respecto del tiempo de dicho tratamiento, se manifiesta por VODAFONE que advertida la situación a raíz del contacto de la Sra. A.A.A. se iniciaron las acciones oportunas para valorar lo ocurrido de tal modo que las líneas sólo estuvieron activas 15 días, aunque el tiempo de reacción fue inferior ya que el contacto por parte del denunciante no fue inmediato. V El artículo 44.3.b) de la LOPD tipifica como infracción grave: Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. Correspondiendo a VODAFONE la carga de la prueba del consentimiento del titular de los datos sometidos a tratamiento y al haber reconocido su culpabilidad debe deducirse que se ha vulnerado este principio, conducta que encuentra su tipificación en este artículo 44.3.b) de la citada Ley Orgánica. VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: 1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a) El carácter continuado de la infracción. b) El volumen de los tratamientos efectuados. c) La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d) El volumen de negocio o actividad del infractor. e) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

6/8 f) El grado de intencionalidad. g) La reincidencia por comisión de infracciones de la misma naturaleza. h) La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. i) La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. j) Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a) Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b) Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c) Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d) Cuando el infractor haya reconocido espontáneamente su culpabilidad. e) Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por consiguiente, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3 d) puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión simple inobservancia permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999.

7/8 El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En este caso existe por parte de VODAFONE un reconocimiento voluntario de su responsabilidad por lo que es de aplicación lo dispuesto en el art. 45.5.d de la LOPD. Junto a ello existen otras circunstancias que minoran de forma cualificada su responsabilidad: * la existencia de una actuación diligente por parte de VODAFONE que a raíz del contacto con la denunciante se solventó la situación en un plazo de quince días. Estando las líneqas activas sólo 15 dias. * Que se trató de un error puntual parte de un distribuidor, no un error en los sistemas o procedimientos de la entidad. En conclusión, al haber evitado Vodafone todo tratamiento de los datos personales de la persona denunciante después de su reclamación y haber reconocido voluntariamente su culpabilidad, procede imponer una sanción de 10.000 por la infracción cometida Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Vodafone España SAU, por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.b) de dicha norma, una multa de 10.000 (diez mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a Vodafone España SAU y Dª A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de

8/8 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos