1/21
Procedimiento Nº: PS/00114/2019
938-300320
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 22/06/2018 tiene entrada en la Agencia Española de Protección
de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la reclamante) en el que
declara que “MOVISTAR”, nombre comercial bajo el que operan TELEFÓNICA
MÓVILES ESPAÑA, S.A.U., y TELEFÓNICA DE ESPAÑA, S.A.U., ha tratado sus
datos personales -nombre, dos apellidos, NIF y datos bancarios- sin su
consentimiento, pues ha dado de alta a su nombre tres líneas telefónicas que ella
niega haber contratado y le ha pasado al cobro tres facturas en su cuenta bancaria.
Expone que presentó una reclamación ante MOVISTAR por estos hechos, puso
en su conocimiento que ella no había realizado ningún contrato y consiguió que dieran
de baja “los números de teléfono el 27 de abril de 2018” si bien, pese a ello, le han
seguido pasando al cobro nuevas facturas en su cuenta bancaria. Añade que la
contratación fue telefónica y que MOVISTAR se ha negado a facilitarle la grabación de
la contratación que supuestamente ella habría realizado.
Aporta una copia de la denuncia que interpuso en la Policía (Oficina de
Denuncias- ***LOCALIDAD.1) el 25/04/2018 en la que hace estas declaraciones:
- Que en una cuenta bancaria de la que es titular en la entidad CAIXABANK,
(número finalizado en los dígitos ***DÍGITOS.1) le cargaron las siguientes facturas de
MOVISTAR: (i) Factura ***FACTURA.1, de 01/03/2018, por importe de 83,91 euros.
(ii)Factura ***FACTURA.2 de 01/04/2018, por importe de 71,72 euros.
- Que cuando formula reclamación telefónica ante la compañía le informan de
que en el mes de enero se realizó una contratación telefónica del producto
“MOVISTAR FUSIÓN” asociado a los números de línea ***TELÉFONO.1,
***TELÉFONO.2 y ***TELÉFONO.3.
- Que la operadora le había confirmado que la contratación la efectuó otra
persona “llamada B.B.B., que dijo ser su marido, tal y como se puede escuchar en la
grabación que guardan sobre la contratación y que manifestó la teleoperadora”.
- “Que precisamente la denunciante se encuentra divorciada hace más de diez
años, llamándose casualmente su exmarido B.B.B.”
En fecha 11/06/2018 la reclamante interpuso una nueva denuncia ante la Policía
(Oficina de Denuncias- ***LOCALIDAD.1), ampliatoria de la anterior, en la que expone
que, pese a haber dado de baja el 27/04/2018 las líneas fraudulentas, ha recibido una
nueva factura de MOVISTAR, de fecha 01/06/2018, que detalla el consumo realizado
por las referidas líneas en el periodo comprendido entre el 18/04/2018 y el 17/05/2018,
factura ***FACTURA.3.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/21
Anexa copia de las siguientes facturas del producto “Fusión”, que llevan el
anagrama de MOVISTAR y la indicación TELEFÓNICA DE ESPAÑA, S.A.U. (en
adelante TDE o la reclamada):
1.- ***FACTURA.1, emitida el 01/03/2018. En ella consta el nombre de la
reclamante, como titular del contrato y como destinataria de la factura, y su NIF
***NIF.1 (del que aporta una copia). Los servicios contratados son una línea fija
(***TELÉFONO.1) y la línea móvil ***TELÉFONO.2.
2.- ***FACTURA.2 de 01/04/2018, con idénticos datos
3.- ***FACTURA.4, de 01/05/2018, con idénticos datos
4.- ***FACTURA.3, de 01/06/2018, con idénticos dato.
SEGUNDO: A la vista de los hechos expuestos, la AEPD desplegó las siguientes
actuaciones:
A.- En el ámbito del expediente de referencia E/4627/2018, la AEPD, mediante escrito
de fecha 16/08/2018, dio traslado a TELEFÓNICA MÓVILES ESPAÑA, S.A.U., (TME)
de una copia de la reclamación y le solicitó explicaciones sobre su actuación en
relación con los hechos reclamados. La notificación, a través de la aplicación notific@,
fue aceptada por esta operadora el 20/08/2018.
TME respondió a la solicitud de información -en el marco del E/4627/2018- en
fecha 10/09/2018 haciendo constar como “cuestión previa” lo siguiente:
“Interesa poner de manifiesto que la reclamación de la Sra. …está dirigida a
movistar que es el nombre comercial de TME y de Telefónica de España, S.A.U., en
adelante TDE, resultando ser esta última la que presta el servicio de
telecomunicaciones al que se refiere la mencionada reclamación”.(El subrayado es de
la AEPD)
TME hizo las declaraciones y aportó los documentos que se detallan:
- Que ha enviado un escrito a la reclamante en contestación a la reclamación
que ella ha formulado ante la AEPD y que ha sido resuelta definitivamente.
Acompaña, como anexo 1, copia de la carta que envió a la reclamante, de
fecha 06/09/2018, firmada por la Oficina del DPD, con el siguiente texto:
<<(…) damos contestación a la reclamación presentada por usted ante la
Agencia Española de Protección de Datos …(…) le informamos que se ha
dado respuesta a la AEPD especificando las causas que han motivado la
incidencia que dio lugar a su reclamación así como el detalle de las medidas
adoptadas…(…) informarle que dadas las especiales circunstancias que han
concurrido en el caso, se ha procedido por parte de mi representada a anular
todas las facturas emitidas en relación con las líneas cuya baja fue tramitada,
quedando el asunto definitivamente solucionado>>.
Que reconoce que la reclamante solicitó en fecha 25/04/2018 la baja de las
líneas ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3, respecto a las
que había resultado contratado el servicio Movistar Fusión y que, además de
su solicitud de baja, la reclamante presentó una reclamación a la que la
reclamada respondió por carta, cuya copia aporta, integrada en los
documentos del anexo 2. Forman parte del anexo 2 que la reclamada envía a
la AEPD los documentos siguientes:
(i) Un escrito que la reclamante dirigió a MOVISTAR, con fecha de firma
11/06/2018, en el que detalla que fue cliente de MOVISTAR durante
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/21
muchos años y se dio de baja en noviembre de 2017. Que en enero de
2018 “alguien suplantó mi identidad y Movistar siguió pasándome
cuotas en mi cuenta bancaria”. Que, después de hablar con varios
operadores de esa compañía, consiguió dar de baja los números el 27
de abril de 2018 “Y puse en su conocimiento que yo no había realizado
ese contrato. Contrato que se hizo mediante grabación telefónica”. Que
MOVISTAR se niega a hacerle entrega de una copia de la grabación de
la contratación. Solicita la devolución de los importes cobrados.
(ii) La copia de la denuncia que la reclamante interpuso en la Comisaría de
Policía el 25/04/2018 y las denuncias ampliatorias de la anterior, de
fechas 04/05/2018 y 11/06/2018.
(iii) Copia de una carta que MOVISTAR envía a la reclamante, de fecha
13/07/2018, vinculada al número de teléfono ***TELÉFONO.1, de la
que reproducimos estos fragmentos: <<…le indicamos que hemos
revisado su caso al detalle, indicándole que hemos realizado las
gestiones oportunas, a fin de cancelar la deuda existente
correspondiente a las líneas ***TELÉFONO.1, ***TELÉFONO.2 y
***TELÉFONO.3.>>
- Añade que todas las facturas que se emitieron en relación con las tres líneas
precitadas fueron anuladas; que ninguna fue abonada, por lo que no procede la
devolución a la reclamante de ningún importe, y que sus datos personales no
fueron comunicados a ficheros de solvencia patrimonial.
B.- Con fecha 13/12/2018 - en el marco del expediente de referencia E/10190/2018- se
practican actuaciones de investigación dirigidas a TELEFÓNICA DE ESPAÑA, S.A.U.
(TDE o la reclamada)
Con fechas 21/12/2018 y 21/01/2019 la reclamada ha remitido la siguiente
información en relación con los servicios contratados a nombre de la reclamante:
1. Según la información que consta en sus sistemas, las líneas de
teléfono ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3, cuyos
servicios se comercializan a través del servicio “Fusión”, se dieron de alta a
nombre de la reclamante en fechas 22/01/2018 la primera y el 14/01/2018
las dos últimas. Se dieron de baja con fechas 01/05/2018 (la primera) y
25/04/2018, las dos últimas.
2. Aportan copia de los contactos que constan en sus ficheros
asociados a la denunciante, donde figuran, los siguientes:
2.1 . Bajo la indicación “Información del asunto”, “Tipificación Venta-
Contratación…Hera plus web”, “Tipo de gestión pedido”, se recoge esta
anotación en el apartado observaciones:
“emergia canarias b.alta de fijo destino fusión + futbol con porta de móvil
***TELÉFONO.2 y alta de adicional ***TELÉFONO.3. Grab
***GRABACIÓN.1(…)” (El subrayado es de la AEPD)
. Bajo la indicación “Información General del Contacto
***CONTACTO.1” consta el número de cliente “*** Nº CLIENTE.1”, la
fecha de inicio y fin de contacto, en ambos casos el 23/04/2018 a las
14.47.26 y a las 14.58.19, respectivamente; la indicación canal telefónico
y en el apartado observaciones esta anotación: “Solicita baja por
suplantación de identidad, pero no facilita el número a dar de baja. Le
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/21
remito a tienda. Facilito código de portabilidad para la entrega de los
equipos en tienda”
(El subrayado es de la AEPD)
1. Aporta copia impresa de un documento con el encabezado
“Expediente de reclamación”. Bajo la rúbrica “Identificación de la
reclamación” consta el número de reclamación “***RECLAMACIÓN.1”; como
“Tipología” “Facturación”; como “fecha de recepción” el “12/07/2018”; como
“Fecha objetivo” el “19/07/2018”; como “Importe bonificado” “171,29”; como
“Estado de la reclamación”, “estimada” y en el apartado “Confirmación de la
orden de pago”, “sí”.
2. Se aporta una grabación relativa a la contratación de los servicios de
fusión a nombre de la reclamante.
En ella, la interlocutora de la compañía informa de la fecha -el 14/01/2018- y
le solicita el nombre y apellidos. Se escucha una voz, lejana y con sonido en
eco, que facilita como datos identificativos el nombre y apellidos de la
reclamante.
La interlocutora de la compañía solicita el número de DNI y la contratante
facilita el número del documento del que es titular la reclamante. La
interlocutora de la compañía le informa de que ha contratado el servicio
“Fusión”. Le pregunta si la cuota se pasa al cargo en la cuenta bancaria que
ha facilitado a lo que la contratante responde afirmativamente.
TERCERO: Los hechos expuestos en la reclamación quedan sometidos a las
disposiciones del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo,
de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al
Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), que
es de aplicación efectiva desde el 25/05/2018.
No es óbice para la aplicación del RGPD que la conducta presuntamente
infractora se hubiera iniciado cuando estaba vigente la Ley Orgánica 15/1999, de
Protección de Datos de Carácter Personal (LOPD). En tal sentido, se ha de indicar, por
una parte, que la reclamante ha manifestado -y la reclamada lo ha confirmado en su
respuesta al requerimiento de esta Agencia, en el expediente E/4627/2018, de fecha
10/09/2018- que solicitó a la reclamada el 25/04/2018 la baja de las líneas telefónicas
que se habían dado de alta a su nombre integradas en el producto “FUSIÓN”.
Por otra, que entre las facturas que la reclamada emitió a nombre de la
reclamante figura una de 01/06/2018 (cuando ya era de aplicación efectiva el RGPD),
factura ***FACTURA.3, por el servicio prestado tanto por la línea fija como por la línea
móvil ***TELÉFONO.2. Con idéntica finalidad argumental cabe mencionar que en
fecha 13/07/2018 la reclamada dirige una carta a la reclamante en la que le informa de
que ha realizado las “gestiones oportunas a fin de cancelar la deuda existente
correspondiente a las líneas ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3”.
Cabe mencionar asimismo el documento - captura de pantalla- remitido por la
reclamada con su respuesta durante las actuaciones de investigación previa
(expediente E/10190/2018) que tiene como rúbrica “Expediente de reclamación” y
versa sobre la reclamación de fecha “12/07/2018” del tipo “facturación” por importe de
171,29 euros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/21
Los documentos citados evidencian que cuando el Reglamento (UE) 2016/679
era de efectiva aplicación (el 25/05/2018), la reclamada continuaba tratando los datos
personales de la reclamante sin legitimación, asociados a una deuda a la que la
reclamante era ajena derivada, entre otros, de los servicios prestados por la línea
móvil ***TELÉFONO.2.
Si bien la reclamada inició el tratamiento de los datos personales de la
reclamante en enero de 2018 (fecha en la que se dieron de alta asociadas a sus datos
personales las tres líneas controvertidas), por tanto cuando aún estaba vigente la
LOPD, la conducta en la que se concreta la vulneración de la normativa de protección
de datos personales se ha mantenido en el tiempo hasta, al menos, principios de julio
de 2018, ya que, como reconoce la reclamada en su carta de 13 de julio, es entonces
cuando procede a anular los importes que había facturado a la reclamante por las
líneas que dio de alta a su nombre, entre las que se encontraba, como se ha indicado,
la línea móvil ***TELÉFONO.2.
La infracción de la que se responsabiliza a la reclamada participa de la
naturaleza propia de las denominadas infracciones permanentes, en las que la
consumación se proyecta en el tiempo más allá del hecho inicial y se extiende durante
todo el periodo de tiempo en el que el dato o datos personales son objeto de
tratamiento. De modo que, aunque en la fecha en la que se inició la conducta
infractora la norma aplicable era la LOPD, la normativa que resulta aplicable es la que
está vigente cuando la infracción se consuma.
El Tribunal Supremo se ha pronunciado sobre la norma que procede aplicar en
aquellos supuestos en los que las infracciones se prolongan en el tiempo y ha habido
un cambio normativo mientras se comete la infracción.
La STS de 17/04/2002 (Rec. 466/2000) aplicó una disposición que no estaba
vigente en el momento inicial de comisión de la infracción, pero sí en los posteriores
en los que continuaba la conducta infractora. La Sentencia examinó un supuesto que
versaba sobre la sanción impuesta a una Jueza por incumplimiento de su deber de
abstención en unas Diligencias Previas. La sancionada alegaba la no vigencia del
artículo 417.8 de la LOPJ cuando ocurrieron los hechos. La STS consideró que la
infracción se había venido cometiendo desde la fecha de la incoación de las
Diligencias Previas hasta el momento en que la Jueza fue suspendida en el ejercicio
de sus funciones por lo que esa norma sí era de aplicación. En idéntico sentido se
pronuncia la SAN de 16/09/2008 (Rec.488/2006)
CUARTO: Con fecha 29 de julio de 2019, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador frente a TELEFÓNICA
DE ESPAÑA, S.A.U., (en adelante TDE o la reclamada), con arreglo a lo dispuesto en
los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la
presunta infracción del artículo 6.1. del RGPD, tipificada en el artículo 83.5 del RGPD.
QUINTO: Notificado el acuerdo de inicio, en fecha 26/08/2019 la reclamada presenta
alegaciones y solicita el archivo del procedimiento sancionador por inexistencia de
responsabilidad. En apoyo de su pretensión aduce los argumentos siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/21
- Comienza indicando que concurren una serie de circunstancias que justifican
que TDE hubiera tratado los datos de la reclamante vinculados a la línea
***TELÉFONO.2. Se transcriben las circunstancias descritas por la reclamada:
“Con fecha 14 de enero de 2018, B.B.B. (titular de la numeración
***TELÉFONO.2) solicita la portabilidad de la línea a Movistar, con
el objeto de integrar la línea en el contrato Fusión, se aporta
grabación de la verificación de la portabilidad, la línea se instala en
Movistar en un contrato prefusión a la espera de completar los
trámites.
En la misma fecha D.ª A.A.A. [la reclamante] contacta con la
compañía para formalizar el Contrato Fusión de las líneas
***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3 (incluyendo
la línea de referencia)
Con fecha 8 de febrero de 2018, bajo mandato verbal D. B.B.B. y
en nombre y autorización de su esposa [nombre de la reclamante]
con DNI [ el DNI de la reclamante], solicita el cambio de datos
bancarios”
(El subrayado es de la AEPD).
- Incorpora escaneado el correo electrónico enviado el 23/08/2019 a la
Subdirección de Inspección de la AEPD con este mensaje:
“...en relación con el expediente sancionador PS/00114/2019 se aporta como
prueba del consentimiento de las gestiones efectuadas sobre las líneas
***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3 a nombre de [la
reclamante].
Grabación del verificador de la línea ***TELÉFONO.2 se adjuntan las
siguientes grabaciones de voz.
Grabación de la contratación de Fusión ***TELÉFONO.1, ***TELÉFONO.2 y
***TELÉFONO.3. Grabación de cambio de cuenta bancaria del contrato
Fusión”.
- Afirma que los cargos en la cuenta bancaria de la reclamante empezaron a
generarse a partir del momento en que D. B.B.B. (en lo sucesivo D. B.B.B. o
el suplantador) realiza el cambio de domiciliación “supuestamente bajo
mandato verbal de su esposa”.
- Invoca la “apariencia de legitimidad con la que actuó” TDE ya que los datos
facilitados por el suplantador eran veraces y existía una apariencia de que era
la reclamante quien prestaba el consentimiento.
- A propósito de la prueba del consentimiento de la reclamante, carga que
corresponde a la entidad reclamada, manifiesta que “Como es obvio, y así se
desprende de lo expuesto en el expediente, es imposible que mi representada
pueda acreditar el consentimiento de la denunciante sin la existencia de la
grabación, pero sí se puede acreditar mediante la existencia del pago de
facturas y acciones sobre la línea que sólo como titular puede realizar”.
- Insiste en la inexistencia de una infracción del artículo 6.1. RGPD y añade que
“una prueba de que TDE ha actuado conforme a la norma” es “el engaño
utilizado y la usurpación de datos por el suplantador”.
- Invoca el principio de presunción de inocencia, habida cuenta de que el
suplantador se identificó ante TDE como el esposo de la reclamante y le
facilitó correctamente todos los datos identificativos que se le pidieron (nombre,
apellidos y DNI). Aduce que toda resolución sancionadora requiere la certeza
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/21
de los hechos imputados y la certeza del juicio de culpabilidad y que este
último no concurre. Concluye por ello que ni procede imponer sanción alguna ni
procedía tampoco, dadas las circunstancias, la apertura de este expediente
sancionador.
SEXTO: Con fecha 11/06/2020 se abre un período de prueba en el que se acuerda
practicar las siguientes diligencias probatorias:
Dar por reproducida la reclamación presentada y la documentación anexa a ella;
los documentos y declaraciones obtenidos tanto en el trámite de solicitud informativa
previa a la admisión a trámite de la reclamación, que se pidió a TELEFÓNICA
MÓVILES, S.A.U., y a TELEFÓNICA DE ESPAÑA, S.A.U. (TDE), como los obtenidos
en virtud del requerimiento informativo que la Inspección de Datos hizo a TDE y el
Informe de actuaciones previas de Inspección. Documentos todos ellos que integran,
respectivamente, el E/4627/2018 y el E/10190/2018. Asimismo, se dieron por
reproducidas las alegaciones al acuerdo de inicio PS/00114/2019 presentadas por
TDE y la documentación que a ellas acompaña.
Se solicitó a la reclamada que aportara al procedimiento los documentos
siguientes:
“3.1.- La grabación sonora - audible- de la conversación mantenida entre esa
entidad y D. B.B.B. en fecha 08/02/2018 en la que -según tiene declarado TDE- esa
persona, “en nombre y autorización de su esposa D.ª [la reclamante] con DNI ****,
solicita el cambio de datos bancarios”. En el escrito de notificación de apertura de
prueba se informaba a TDE que la grabación que dijo aportar con sus alegaciones al
acuerdo de inicio, en tanto era inaudible, resultaba inexistente a efectos de prueba.
3.2.- Documento -cualquiera que sea el soporte en el que conste- que acredite
que la reclamante bien consintió que TDE tratara sus datos bancarios o bien otorgó su
representación a D. B.B.B. a efectos de que en su nombre facilitara a TDE sus datos
bancarios para la domiciliación de las facturas derivadas de unos contratos que la
reclamante no celebró.
3.3.- El documento que acredite que el titular de la línea móvil ***TELÉFONO.2
-B.B.B. - quien había solicitado la portabilidad de esta línea, de la que era titular,
desde Vodafone a “MOVISTAR” -como lo acredita la grabación de la empresa
verificadora que la reclamada ha remitido a esta Agencia- consintió el cambio de
titularidad de la línea a nombre de la reclamante y ésta prestó asimismo su
consentimiento a dicho cambio de titularidad.”
A. La reclamada evacuó el trámite de prueba en fecha 11/06/2020 y respondió en los
siguientes términos:
1.- Respecto a la prueba solicitada en el punto 3.1, TDE respondió que la “mencionada
grabación resultaba y resulta audible”. Aporta la grabación y explica cómo acceder al
documento sonoro. En el anexo aportado incluye en el punto 1 la denominada
“Grabación solicitud cambio datos bancarios” que pasamos a reproducir. Desde el
segundo 00:18,25 se escucha:
“-Con fecha de hoy, día 8 de febrero de 2018 procedemos a grabar el cambio de
cuenta de cargo que usted solicita. Díganos el número de línea del que quiere hacer la
solicitud.
- ***TELÉFONO.1
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/21
-Sí
-Eh...***TELÉFONO.1
-Dígame por favor un nombre, apellidos y DNI del titular.
-Perdona, perdona, te di el número mal.
-Es ***TELÉFONO.1 pero el resto de números los ha dicho bien.
- Ah, vale, de acuerdo.
-Efectivamente.
-Indique el nombre, apellidos y DNI del titular de la línea
- Sí, A.A.A.
- ¿DNI?
- ***NIF.1
- Dígame su nombre, apellidos y DNI
- B.B.B.
-Sí
-***NIF.2
- ¿El parentesco que tiene usted con el titular?
-Marido
-Perfecto
-Díganos el número de cuenta bancaria de cargo en la que quiere hacer, solicita, el
cambio
-XXXX XXXX XXXXXXXX XXXX
- ¿Nos autoriza a que se efectúen los cargos de tipo recurrente en esta cuenta
bancaria?
- Sí
-Procedemos a hacer la modificación. Damos por finalizada la grabación...”
2.- Respecto a la prueba solicitada en el punto 3.2 del escrito de notificación de
pruebas, la reclamada respondió en los siguientes términos:
“En este sentido, se adjunta de nuevo la grabación en la que Dª. A.A.A. contacta
con la compañía para formalizar el contrato Fusión de las líneas ***TELÉFONO.1,
***TELÉFONO.2 y ***TELÉFONO.3, en el documento anexo Nº 1 y como epígrafe 2.2.
En la misma grabación la Sra. A.A.A. autoriza expresamente la realización de
los cargos en la cuenta bancaria indicada por la misma, tal como recoge el Acuerdo de
inicio del procedimiento sancionador de referencia.” (El subrayado es de la AEPD)
El anexo aportado por TDE con la respuesta a las pruebas, punto 2.2., incluye un
documento sonoro con esta rúbrica: “Documento, cualquiera que sea el soporte en el
que conste que acredite que la reclamante consintió que TDE tratara sus datos
bancarios” Transcribimos el documento sonoro. En el segundo 00:18,65 se escucha:
<<-Mire, con fecha de hoy, 14 de enero de 2018, hacemos la contratación con
MOVISTAR. ¿Nos puede indicar su nombre y dos apellidos?
-Sí, A.A.A.
- ¿Y su DNI?
-***NIF.1
- Vale, usted solicitó contratar lo que es la fusión plus, ¿de acuerdo?, por una
cuota de 70,74 incluido (¿?), ¿de acuerdo? Aceptó recibir nuestra factura en correo
electrónico, que también la puede recibir en papel. Ha sido informada de todas las
condiciones en Movistar.es/contratos. ¿Nos autoriza a efectuar los cargos indicados
en su cuenta bancaria, que nos ha indicado? ¿Conoce usted las condiciones del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/21
servicio?
-Sí
-Vale, ya está la grabación.>>
3.-Respecto a la prueba solicitada a TDE en el punto 3.3. del escrito de notificación de
prueba que consistía en que acreditara que D. B.B.B. había consentido realizar un
cambio de titularidad de la línea ***TELÉFONO.2 a nombre de la reclamante y que, la
reclamante, había consentido dicho cambio de titularidad-, respondió en los siguientes
términos, remitiéndose a la respuesta a la pregunta del punto 3.2.:
“En el documento Anexo Nº1 y como epígrafe 2.2 se adjunta la grabación en la
que D.ª A.A.A. contacta con compañía para formalizar , el contrato Fusión de las
líneas ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3.
Asimismo, en el Anexo Nº1 y en el epígrafe 2.1. se adjunta el cambio de cuenta
de cargo de las mencionadas líneas por parte de D. B.B.B.
En este sentido, interesa poner de relieve que la contratación de la línea móvil
***TELÉFONO.2 con tarifa prefusión tenía por objeto la integración de la mencionada
línea en un contrato Fusión cuya línea principal era la ***TELÉFONO.1 y cuya
contratación se llevó a cabo por quien se identificó como A.A.A. en la grabación
aportada como Anexo Nº 1 epígrafe 2.2.”
B. El resultado de las pruebas practicas fue el siguiente:
1º Pese a que se le requirió en fase de prueba, TDE no ha aportado ninguna
grabación en la que la reclamante, o quien venía suplantando su identidad, consintiera
cambiar a su nombre la titularidad de la línea número ***TELÉFONO.2 que pertenecía
a D. B.B.B. y que -según ha declarado la operadora- fue objeto de portabilidad desde
el operador VODAFONE en la misma fecha de 14/01/2018 en la que supuestamente la
reclamante celebró el contrato FUSION.
2º En la grabación de la conversación mantenida el 14/01/2018 entre TDE y la
persona que se identificó con el nombre, dos apellidos y NIF de la reclamante y
consintió la contratación del producto Fusión, no se mencionan los números de línea
objeto del contrato Fusión ni los veinte dígitos de la cuenta bancaria.
3º En la grabación de la conversación mantenida el 08/02/2018 entre TDE y D. B.B.B.
en la que éste solicita cambiar la cuenta bancaria de domiciliación de las facturas del
producto Fusión, el número de cuenta que comunica a la operadora pertenece a la
reclamante. Es la cuenta bancaria de la reclamante tal y como ésta declaró en su
denuncia policial. Es en esa cuenta en la que MOVISTAR le giró las facturas, dos
cargos, por productos que no había contratado.
4º En la grabación de la conversación mantenida el 08/02/2018 entre TDE y D. B.B.B.
en la que éste solicita llevar a cabo un cambio de los datos bancarios de domiciliación
de las facturas, no consta grabación del consentimiento de la titular para que sus datos
bancarios fueran tratados con tal finalidad. Tampoco consta, ni por parte de la
operadora ni por parte de D. B.B.B., una declaración relativa a que estuviera actuando
en nombre y representación de la supuesta titular, esto es, de la reclamante o en
virtud de mandato verbal (tal y como sostiene TDE)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/21
SÉPTIMO: El Real Decreto 463/2020, “por el que se declara el estado de alarma para
la gestión de la crisis sanitaria ocasionada por el Covid 19”, publicado en el BOE el
14/03/2020, en su Disposición Adicional tercera, “Suspensión de plazos
administrativos”, dispuso:
“1. Se suspenden términos y se interrumpen los plazos para la tramitación de los
procedimientos de las entidades del sector público. El cómputo de los plazos se
reanudará en el momento en que pierda vigencia el presente real decreto o, en su
caso, las prórrogas del mismo.
2. La suspensión de términos y la interrupción de plazos se aplicará a todo el
sector público definido en la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas.”
Esta suspensión se alzó con fecha 01/06/2020. El Real Decreto 537/2020,
publicado en el BOE el 23/05/2020, establece en el artículo 9:
“Plazos administrativos suspendidos en virtud del Real Decreto 463/2020, de 14
de marzo”. “Con efectos desde el 1 de junio de 2020, el cómputo de los plazos
administrativos que hubieran sido suspendidos se reanudará, o se reiniciará, si así se
hubiera previsto en una norma con rango de ley aprobada durante la vigencia del
estado de alarma y sus prórrogas” (El subrayado es de la AEPD)
SEXTO: El Real Decreto 463/2020, “por el que se declara el estado de alarma para la
gestión de la crisis sanitaria ocasionada por el Covid 19”, publicado en el BOE el
14/03/2020, en su Disposición Adicional tercera, “Suspensión de plazos
administrativos”, dispuso:
“1. Se suspenden términos y se interrumpen los plazos para la tramitación de los
procedimientos de las entidades del sector público. El cómputo de los plazos se
reanudará en el momento en que pierda vigencia el presente real decreto o, en su
caso, las prórrogas del mismo.
2. La suspensión de términos y la interrupción de plazos se aplicará a todo el
sector público definido en la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas.”
Esta suspensión se alzó con fecha 01/06/2020. El Real Decreto 537/2020,
publicado en el BOE el 23/05/2020, establece en el artículo 9:
“Plazos administrativos suspendidos en virtud del Real Decreto 463/2020, de 14
de marzo”. “Con efectos desde el 1 de junio de 2020, el cómputo de los plazos
administrativos que hubieran sido suspendidos se reanudará, o se reiniciará, si así se
hubiera previsto en una norma con rango de ley aprobada durante la vigencia del
estado de alarma y sus prórrogas” (El subrayado es de la AEPD)
La fecha de finalización del procedimiento sancionador, fecha en la que debe
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/21
haberse dictado y notificado la resolución es el día 16/07/2020. Se deben adicionar a
la fecha en la que se alzó la suspensión de plazos (01/06/2020) los días naturales que
restaban en la fecha en la que se tuvo efecto la suspensión para finalizar el plazo de
duración máxima del procedimiento (prevista para el 29/04/2020)
Se debe subraya que la adición de días tras el levantamiento de la suspensión
de plazos es de los días naturales que mediaron entre la fecha en la que tuvo efecto la
suspensión y la fecha en la que el procedimiento debía haber terminado de no haberse
producido la citada suspensión. Matización importante en tanto que en la propuesta de
resolución se indicó erróneamente que el procedimiento finalizaba el día 13/07/2020
como consecuencia de haber adicionado únicamente los días hábiles y no los días
naturales.
OCTAVO: La propuesta de resolución se firmó el 22/06/2020 y se notificó
electrónicamente en la misma fecha. La aceptación de la notificación electrónica por
TDE, según consta acreditado en el expediente, tuvo lugar el 26/06/2020 por lo que el
plazo de diez días hábiles otorgado para formular alegaciones finalizó el 10/07/2020. A
fecha 15/07/2020 no se tiene noticia de que la reclamada haya formulado
alegaciones.
De las actuaciones practicadas en el presente procedimiento y de la
documentación obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: La reclamante, titular del DNI ***NIF.1, cuya copia obra en el expediente,
manifiesta que TDE ha dado de alta a su nombre varias líneas telefónicas que ella no
ha contratado y le ha pasado al cobro varias facturas relacionadas con esas líneas en
una cuenta bancaria de su titularidad en la entidad CAIXABANK.
SEGUNDO: La reclamante ha aportado la copia de las denuncias que presentó en la
Comisaría de Policía por estos hechos
a. En la primera, de fecha 25/04/2018 (número de Atestado 3956/2018) relata que
observó que en su cuenta bancaria con numeración ZZZZ ZZZZ ZZ ZZZZZZZZZZ,
MOVISTAR le había cargado dos recibos por los importes, facturas y fechas
siguientes: Factura ***FACTURA.1, de fecha 01/03/2018, por importe de 83.91 euros.
Factura ***FACTURA.2, de fecha 01/04/2018, por importe de 71,72 euros.
Que presentó reclamación telefónica ante MOVISTAR que le informó que en enero de
2018 se realizó una contratación telefónica a su nombre del producto “Movistar Fusión”
asociado a los números ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3.
Niega haber realizado la contratación, haberla autorizado o haber facilitado su cuenta
bancaria.
Añade que la reclamada le ha confirmado que la contratación se realizó por otra
persona llamada B.B.B. que dijo ser su marido. Que casualmente su exmarido, del
que está divorciada hace más de diez años, se llama B.B.B.. Que las facturas están
domiciliadas en una localidad de la isla de ***LOCALIDAD.2 por lo que supone que el
servicio contratado se disfruta en ese lugar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/21
b. Denuncia de 04/05/2018 (Atestado 4239/2018), ampliatoria del Atestado 3956/2018,
en la que manifiesta que el 27/04/2018 dio de baja las líneas fraudulentas y que, pese
a ello, ha recibido una nueva factura por el consumo efectuado entre el 18/03/2018 y el
17/04/2018 por importe de 75,82 euros.
c. Denuncia de 11/06/2018 (Atestado 5477/2018), ampliatoria del Atestado 3956/2018,
en la que explica que dio de baja las líneas fraudulentas el 27/04/2018 y que con fecha
01/06/2018 ha recibido una nueva factura por el consumo efectuado por las líneas
fraudulentas en el periodo comprendido entre el 18/04/2018 y el 17/05/2018.
TERCERO: TDE ha aportado la grabación, de fecha 14/01/2018, en la que una
persona que se identifica con el nombre, dos apellidos y NIF de la reclamante, otorga
su consentimiento a la contratación del producto Fusión. En la grabación de la
conversación no se identifican en ningún caso los números de las líneas telefónicas
para las que se contrata el servicio Fusión. La conversación objeto de esta grabación
se reproduce íntegramente en el Antecedente sexto.
CUARTO: TDE manifestó en el curso de las actuaciones de investigación previa que,
según la información que obraba en sus sistemas, las líneas de teléfono
***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3, cuyos servicios se
comercializan a través del producto Fusión, se dieron de alta a nombre de la
reclamante en las siguientes fechas: el 22/01/2018 la línea ***TELÉFONO.1 y el
14/01/2018 las dos últimas. Y añade que se dieron de baja la primera, línea fija, el
01/05/2018 y las líneas móviles el 25/04/2018.
QUINTO: Obran en el expediente capturas de pantalla procedentes de los sistemas de
TDE relacionadas con el producto contratado a nombre de la reclamante. En una de
ellas, con la identificación “venta-contratación” se alude a un “alta de fijo destino fusión
+ futbol con porta de móvil ***TELÉFONO.2 y alta adicional ***TELÉFONO.3”
SEXTO: TDE ha declarado que la línea móvil ***TELÉFONO.2 era titularidad de D.
B.B.B. que solicitó la portabilidad a MOVISTAR el 14/01/2018. Es en ese día -ver
Hecho probado Tercero- cuando supuestamente la reclamante contrató el producto
Fusión.
SÉPTIMO: Pese a que se solicitó en fase de prueba, TDE no ha aportado ningún
documento que acredite que una vez portada la línea ***TELÉFONO.2 desde
VODAFONE a MOVISTAR la reclamante consintió cambiar la titularidad de la línea a
su nombre, toda vez que figuraba a nombre de D. B.B.B.
OCTAVO: TDE ha aportado la grabación, de fecha 14/01/2018, en la que una persona
que se identifica con el nombre, dos apellidos y NIF de la reclamante, otorga su
consentimiento a la contratación del producto Fusión. En el curso de la conversación
no se facilitan los datos de ninguna cuenta bancaria. La única referencia a una
cuenta bancaria es ésta:” ¿Nos autoriza a efectuar los cargos indicados en su cuenta
bancaria, que nos ha indicado?”. La conversación objeto de esta grabación se
reproduce íntegramente en el Antecedente sexto.
NOVENO: El número de cuenta bancaria en el que TDE domicilió a nombre de la
reclamante las facturas del producto Fusión lo facilitó a TDE D. B.B.B. mediante una
llamada en la que solicitó un cambio en la domiciliación de los datos bancarios del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/21
producto Fusión dado de alta a nombre de la reclamante. Se reproduce la grabación
aportada por TDE:
“-Con fecha de hoy, día 8 de febrero de 2018 procedemos a grabar el cambio de
cuenta de cargo que usted solicita. Díganos el número de línea del que quiere hacer la
solicitud.
- ***TELÉFONO.1
-Sí
-Eh...***TELÉFONO.1
-Dígame por favor un nombre, apellidos y DNI del titular.
-Perdona, perdona, te di el número mal.
-Es ***TELÉFONO.1 pero el resto de números los ha dicho bien.
- Ah, vale, de acuerdo.
-Efectivamente.
-Indique el nombre, apellidos y DNI del titular de la línea
- Sí, A.A.A.
- ¿DNI?
- ***NIF.1
- Dígame su nombre, apellidos y DNI
- B.B.B.
-Sí
-***NIF.2
- ¿El parentesco que tiene usted con el titular?
-Marido
-Perfecto
-Díganos el número de cuenta bancaria de cargo en la que quiere hacer, solicita, el
cambio
-XXXX XXXX XXXXXXXX XXXX
- ¿Nos autoriza a que se efectúen los cargos de tipo recurrente en esta cuenta
bancaria?
- Sí
-Procedemos a hacer la modificación. Damos por finalizada la grabación...”
DÉCIMO: TDE ha manifestado: “Por lo cual a partir de ese momento es cuando
empiezan a generarse cargos en la cuenta de la Sra. A.A.A., tras el cambio de datos
bancarios realizado por D. B.B.B. supuestamente bajo mandamiento verbal de su
esposa”. (Alegaciones al acuerdo de inicio, Alegación primera, folio 2)
UNDÉCIMO: Obra en el expediente la copia de cuatro facturas con el anagrama de
MOVISTAR y la indicación “Fusión” emitidas a nombre de la reclamante:
Factura ***FACTURA.1, de fecha 01/03/2018, por importe de 83.91 euros; factura
***FACTURA.2, de 01/04/2018, por importe de 71,72 euros; factura ***FACTURA.4, de
01/05/2018, por 75.82 euros y la ***FACTURA.3, de 01/06/2018 de 23,81 euros.
En todas ellas se incluye esta información: En el encabezado izquierdo, debajo de la
fecha y el número de factura: “Línea fija: ***TELÉFONO.1Línea móvil:
***TELÉFONO.2”. Debajo, el nombre y los dos apellidos de la reclamante y su número
de DNI. Domiciliación bancaria en la C.A. y Pensiones de Barcelona- La Caixa.
DUODÉCIMO: TME reconoció en el escrito de respuesta a la solicitud informativa
previa al acuerdo de admisión a trámite de la reclamación, que el 25/04/2018 la
reclamante solicitó la baja de las tres líneas que niega haber contratado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/21
FUNDAMENTOS DE DERECHO
I
Es competente para resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del
RGPD y en los art. 47 y 48.1 de LOPDGDD.
II
El RGPD dedica el artículo 5 a los principios que han de regir el tratamiento de
los datos personales, precepto que dispone:
“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente con el interesado (<<licitud,
lealtad y transparencia>>)
(…)
2. El responsable del tratamiento será responsable del cumplimiento de lo
dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)”
El artículo 6 del RGPD, “Licitud del tratamiento”, concreta en el apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:
“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de
otra persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable
del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño(...)”
El artículo 4 del RGPD, “Definiciones”, ofrece en el apartado 2 un concepto legal
de “tratamiento” como “cualquier operación o conjunto de operaciones realizadas
sobre datos personales o conjunto de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/21
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo, interconexión, limitación, supresión o destrucción”.
Asimismo, el artículo 4 del RGPD, apartado 1, entiende por “datos personales”
“toda información sobre una persona física identificada o identificable (<<el
interesado>>); se considerará persona física identificable toda persona cuya identidad
pueda determinarse directa o indirectamente, en particular mediante un identificador,
como por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”
La infracción de la que se responsabiliza a la reclamada está prevista en el
artículo 83.5 del RGPD: “Las infracciones de las disposiciones siguientes se
sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000
Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4%
como máximo del volumen de negocio total anual global del ejercicio financiero
anterior, optándose por la de mayor cuantía: a)Los principios básicos para el
tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos
5,6,7 y 9.”
A su vez, la LOPDGDD en su artículo 72.1. califica de infracción muy grave “b)
El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679” y
añade que esta infracción prescribe a los tres años.
III
Se atribuye a TDE una infracción del principio de licitud, en particular del artículo
6.1 RGPD, habida cuenta de que trató datos personales de la reclamante -nombre,
apellidos, NIF y datos bancarios- vinculados a la línea móvil ***TELÉFONO.2 cuya
contratación a nombre de la reclamante no consta acreditada. Esto, pese a haber
aportado una grabación en la que una persona que se identifica con el nombre,
apellidos y NIF de la reclamante otorga el consentimiento a la contratación del
producto Fusión. La línea móvil era titularidad de D. B.B.B. por lo cual respecto a
esta línea debía haberse probado que la reclamante había autorizado un cambio de
titularidad a su nombre previo al momento de la grabación en la que supuestamente la
reclamante consiente la contratación del producto Fusión.
Como señalaremos más adelante, la entidad reclamada no obró en el presente
asunto con la diligencia mínima exigible a fin de dar cumplimiento a las obligaciones
que le impone el RGPD.
A. Ha quedado acreditado en el expediente que TDE, en su condición de prestadora
del servicio o producto Fusión que comercializa, trató los datos personales de la
reclamante vinculados a tres líneas: ***TELÉFONO.1, ***TELÉFONO.2 y
***TELÉFONO.3.
La entidad, a fin de acreditar que estaba legitimada para el tratamiento de sus
datos personales vinculados a la contratación del producto Fusión ha aportado una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/21
grabación en la que alguien se identifica con el nombre dos apellidos y NIF de la
reclamante y presta el consentimiento a la contratación de ese servicio.
Sin perjuicio de destacar una vez más -ya se indicó en el acuerdo de inicio- que
el sonido de la grabación es lejano y extraño, se ha de subrayar que en la grabación
en ningún caso se identifican cuáles eran las líneas telefónicas objeto del contrato del
producto Fusión al que, presuntamente, la reclamante prestó el consentimiento.
La grabación está fechada -así se escucha al inicio- el día 14/01/2018. El
producto Fusión, tal y como consta en las facturas emitidas por TDE, incluía la línea
***TELÉFONO.2. Esta línea pertenecía a D. B.B.B. y según TDE se había portado a
MOVISTAR desde VODAFONE el mismo día 14/01/2018. Es decir, el mismo día en el
que la reclamante, supuestamente, prestó el consentimiento a la contratación a su
nombre de un producto que incluía una línea fija y dos móviles. Extremo que debe
ponerse en relación con las fechas en las que según TDE se dieron de alta a nombre
de la reclamante los servicios vinculados a las líneas: la línea fija se habría dado de
alta el 22/01/2018 en tanto que la línea móvil que perteneció a D. B.B.B. se dio de alta
a nombre de la reclamante el mismo 14/01/2018.
Según la información proporcionada por la reclamada el día 14/01/2018 la línea
móvil ***TELÉFONO.2 se portó por su titular de VODAFONE a MOVISTAR. Pero para
que pudiera integrarse en el producto Fusión supuestamente contratado por la
reclamante necesariamente había de haberse llevado a cabo un cambio de titularidad
desde el antiguo titular -D. B.B.B. – a nombre de la reclamante.
TDE, pese a que así se solicitó por la instructora en fase de prueba, no aportó
ningún documento en el que la reclamante prestara su consentimiento al cambio a su
nombre de la titularidad de la línea móvil precitada. La entidad se limitó a responder a
la prueba solicitada reiterando argumentos relacionados con las dos únicas
grabaciones aportadas. A la petición de que acreditara documentalmente que la
reclamante había consentido que la línea móvil de la que era titular D. B.B.B. figurase
a su nombre respondió lo siguiente:
“En el documento Anexo Nº1 y como epígrafe 2.2 se adjunta la grabación en la
que D.ª A.A.A. contacta con compañía para formalizar , el contrato Fusión de las
líneas ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3.
Asimismo, en el Anexo Nº1 y en el epígrafe 2.1. se adjunta el cambio de cuenta
de cargo de las mencionadas líneas por parte de D. B.B.B.
En este sentido, interesa poner de relieve que la contratación de la línea móvil
***TELÉFONO.2 con tarifa pre fusión tenía por objeto la integración de la mencionada
línea en un contrato Fusión cuya línea principal era la ***TELÉFONO.1 y cuya
contratación se llevó a cabo por quien se identificó como A.A.A. en la grabación
aportada como Anexo Nº 1 epígrafe 2.2.”
El operador beneficiario que tuvo que haber gestionado la portabilidad de la línea
móvil ***TELÉFONO.2 desde VODAFONE era TELEFÓNICA MÓVILES ESPAÑA,
S.A.U., a quien esta Agencia se dirigió en el marco del E/4627/2018, en escrito
recibido por la operadora el 20/08/2018 con el que se le daba traslado de la
reclamación. Al citado requerimiento respondió esta entidad que advirtió con carácter
previo que la reclamación se dirigía contra MOVISTAR, nombre comercial bajo el que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/21
operaban tanto ella como TDE y que era TDE “la que presta el servicio de
telecomunicaciones al que se refiere la mencionada reclamación”.
TDE, en su condición de responsable del tratamiento de los datos de la
reclamante como titular de las diversas líneas para las que supuestamente había
contratado el producto “Fusión” que esa operadora comercializa -entre ellas la línea
móvil de la que había sido operador beneficiario TME- debía de estar en condiciones
de acreditar que la línea móvil ***TELÉFONO.2 era titularidad de la reclamante en esa
fecha. La línea fue portada en beneficio de TME por D. B.B.B. en la misma fecha en la
que supuestamente la reclamante contrata telefónicamente el producto Fusión, por lo
que era necesario que la reclamante consintiera un cambio de titularidad a su nombre
previo a la contratación de un producto o servicio que integraba, entre otras, la referida
línea. Extremo sobre el que TDE nada ha acreditado.
El RGPD se refiere en el artículo 5.2 al principio de responsabilidad proactiva a
tenor del cual el responsable del tratamiento no sólo responde del cumplimiento de los
principios enumerados en el artículo 5.1, por lo que aquí interesa el de licitud, sino que
es también “capaz de demostrarlo”.
A propósito de la prueba de que la reclamante había consentido un cambio de
titularidad a su nombre de la línea móvil controvertida, carga que corresponde a la
entidad reclamada, TDE manifestó en sus alegaciones al acuerdo de inicio: “Como es
obvio, y así se desprende de lo expuesto en el expediente, es imposible que mi
representada pueda acreditar el consentimiento de la denunciante sin la existencia de
la grabación, pero sí se puede acreditar mediante la existencia del pago de facturas y
acciones sobre la línea que sólo como titular puede realizar”. (El subrayado es de la
AEPD)
La primera denuncia policial es del 25/04/2018, cuando la reclamada ha pasado
el segundo cargo a la cuenta bancaria de la reclamante. Para entonces, la afectada no
sólo ha presentado denuncia policial, sino que antes ha realizado las gestiones
pertinentes ante la operadora, ha obtenido una copia de las facturas y ha intentado sin
éxito (así consta en la denuncia presentada en la Policía) que TDE le facilitara la
grabación de su pretendida contratación. Tampoco se puede aceptar que exista alguna
acción de la reclamante en la que ésta se conduzca como la supuesta titular de la
línea que no fuera otra que la de gestionar su baja con posterioridad a haber
presentado ante la operadora las reclamaciones por suplantación de identidad.
Pese a que incumbe a TDE la carga de la prueba de que la reclamante consintió
suceder en la titularidad de la línea móvil ***TELÉFONO.2 (línea controvertida) al
anterior titular, D. B.B.B., y de que la reclamada no ha aportado ninguna prueba al
respecto, aduce en su defensa la inexistencia de responsabilidad fundada en que
actuó con arreglo a Derecho y en que ha sido víctima del engaño del suplantador que
utilizó los datos personales de la reclamante.
Sin embargo, al margen del engaño al que el suplantador hubiera podido
conducirle, lo cierto es que la reclamada no actuó con la diligencia que las
circunstancias del caso exigían. Como se ha indicado, no obra en el expediente ningún
documento que pruebe que la reclamante -o bien el tercero que hubiera suplantado su
identidad- consintió el cambio de titularidad a su nombre de la línea móvil
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/21
***TELÉFONO.2 de la que era titular D. B.B.B., cuyo servicio prestaba VODAFONE y
que fue portada a MOVISTAR.
La grabación que obra en el expediente en la que quien se identifica con los
datos personales de la reclamante contrata con TDE el producto Fusión en fecha
14/01/2018, no sirve de base legitimadora del tratamiento de los datos personales de
la reclamante asociados a la línea ***TELÉFONO.2 en el que se concreta la conducta
infractora.
Como se ha indicado la conducta infractora se materializa en el tratamiento de
los datos personales de la reclamante vinculados, en particular, a la línea móvil
precitada. En tal sentido nos estamos refiriendo a una línea que ya existía -de hecho,
la única que existe al tiempo de celebrar el contrato Fusión- y que en esa misma fecha
es portada de VODAFONE a MOVISTAR por su antiguo titular. Para que tal línea se
integrara en el contrato Fusión suscrito a nombre de la reclamante con TDE
previamente debió de gestionarse un cambio de titularidad. El consentimiento de la
reclamante para ese cambio de titularidad de la línea móvil, para que figurase a su
nombre, era un presupuesto para la contratación del producto Fusión por quien se
identificó ante la operadora con los datos personales de la reclamante (nombre,
apellidos y NIF) operara como base legitimadora del tratamiento (apartado b, del
artículo 6.1 RGPD) no sólo respecto a las restantes líneas sino también respecto a la
línea controvertida.
La ausencia de toda documentación facilitada por TDE que demuestre que obró
con arreglo a las exigencias que le impone el RGPD es exponente de su falta de
diligencia e impide que, como pretende, se declare la inexistencia de responsabilidad
por ausencia del elemento subjetivo de la infracción.
B. La documentación que obra en el expediente demuestra también que TDE trató los
datos bancarios de la reclamante vulnerando el principio de licitud. El tratamiento del
dato de la cuenta bancaria de la afectada en La Caixa está plenamente acreditado.
Fueron precisamente los cargos recibidos en su cuenta los que le llevaron a formular
una reclamación ante TDE y posteriormente a presentar denuncia ante la Policía.
TDE ha esgrimido en su defensa que en la grabación de 14/01/2018 la
reclamante le facilitó sus datos bancarios. Sin embargo, en la grabación aportada por
TDE (ver Hechos Probados y Antecedente Sexto) no se facilita ninguna cuenta
bancaria. Únicamente le pide su consentimiento para domiciliar los pagos en la cuenta
bancaria que ya obra en poder de la operadora.
Los datos de la cuenta bancaria titularidad de la reclamante en La Caixa los
facilitó un tercero, D. B.B.B., varios días después de la fecha de la grabación de la
contratación y solicitando a tal fin efectuar un “cambio” en los datos bancarios que ya
obraban en poder de la operadora. Por otra parte, TDE ha reconocido en sus
alegaciones al acuerdo de inicio que a partir del del momento en que D. B.B.B. realiza
el cambio de domiciliación “supuestamente bajo mandato verbal de su esposa”
empezaron a remitirle cargos a la reclamante.
En la grabación aportada por TDE en la que D. B.B.B. gestiona un cambio de la
cuenta bancaria para el cobro de las facturas del producto Fusión esta persona
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/21
proporciona como cuenta de domiciliación de las facturas la cuenta bancaria de la que
es titular la reclamante. Sin embargo, en la grabación no se escucha en ningún
momento a D. B.B.B. manifestar ni al teleoperador de TDE preguntarle si estaba
interviniendo en nombre y representación de la afectada, de la que dice es su esposa,
tal y como alega TDE en su defensa.
La reclamada invoca que, como evidencia la grabación, el tercero, D. B.B.B., se
identificó como esposo de la reclamante y facilitó los datos personales de ésta
(nombre, apellidos y NIF) correctamente. A juicio de TDE es exponente de que obró
con la diligencia que las circunstancias del caso exigían, por lo que el tratamiento de
los datos bancarios de la reclamante, por más que la conducta resulte antijurídica no
resulta culpable y no cabe exigir responsabilidad administrativa sancionadora.
Frente a este argumento cabe recordar el criterio mantenido reiteradamente por
la Sala de lo Contencioso Administrativo de la Audiencia Nacional cuando los datos
personales -como en este caso sucede con los datos bancarios de la reclamante,
pues merced a una llamada telefónica que efectúa D. B.B.B. a TDE días después de
la supuesta contratación cuya grabación ha aportado la reclamada, actuando en su
propio nombre e identificándose como esposo de la reclamante, cambia los datos de
domiciliación bancaria y facilita la cuenta bancaria de la reclamante- se facilitan por
parientes o allegados del titular.
Resulta de la exposición precedente que TDE vulneró el artículo 6.1. RGPD al
haber tratado los datos personales de la reclamante -nombre, dos apellidos y NIF-
asociados a la línea móvil ***TELÉFONO.2 así como sus datos bancarios, pues no ha
aportado ninguna prueba de su legitimación para el tratamiento efectuado.
El tratamiento de los datos de la reclamante por TDE sin legitimación, vinculados
a la línea móvil mencionada, se mantuvo hasta el 13/07/2018, fecha de la carta que
dirigió a la reclamante informándole de la cancelación de las facturas emitidas a su
nombre por las tres líneas asociadas a sus datos, entre las que figuraba la línea móvil
portada, y, en todo caso, hasta la fecha de la última factura emitida, de 01/06/2018.
La actuación de TDE contraria al artículo 6.1. RGPD es subsumible en el artículo
83.5.a) del citado Reglamento 2016/679.
IV
En la determinación de la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD. A su vez, conforme al artículo
83.2.k RGPD podrán tomarse en consideración también las circunstancias descritas
en el artículo 76 LOPDGDD.
A efectos de fijar el importe de la sanción de multa que corresponde imponer a la
reclamada como responsable de una infracción tipificada en el artículo 83.5.a) del
RGPD, se aprecia la concurrencia en calidad de agravantes de las siguientes
circunstancias modificativas de la responsabilidad:
El alcance del tratamiento (artículo 83.2.a, RGPD) pues los datos personales de
la reclamante que han sido objeto de tratamiento sin legitimación para ello fueron
varios: el nombre y dos apellidos, NIF y datos bancarios.
La evidente vinculación entre la actividad empresarial de TDE y el tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/21
de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación
con el artículo 76.2.b, de la LOPDGDD)
El carácter continuado de la infracción (artículo 83.2.k, del RGPD en relación con
el artículo 76.2.a, de la LOPDGDD)
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: SANCIONAR a TELEFONICA DE ESPAÑA, S.A.U., con NIF A82018474,
por una infracción del Artículo 6.1. del RGPD, tipificada en el artículo 83.5.a) del
RGPD, con multa administrativa de 55.000 € (cincuenta y cinco mil euros).
SEGUNDO: NOTIFICAR la presente resolución a TELEFONICA DE ESPAÑA, S.A.U.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/21
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es