A-00211-2013

1/8 Procedimiento Nº: A/00211/2013 RESOLUCIÓN: R/00081/2014 En el procedimiento A/00211/2013, instruido por la Agencia Española de Protección de Datos a la entidad COnFEAFA - CONF. ANDALUZA DE FED. DE FAMILIARES DE ENF. DE ALZHEIMER, vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de diciembre de 2012 tiene entrada en esta Agencia un escrito de D. A.A.A. en el que declara que durante el periodo de tiempo que desempeñó el cargo de presidente de CONFEAFA dispuso de un móvil corporativo número ***TEL.1 de uso exclusivo para el ejercicio de su cargo, siendo los recibos cargados en la cuenta que CONFEAFA tiene en CAJASOL. Sin embargo, cuando deja el cargo y deja el teléfono a disposición de la entidad, encuentra un cargo correspondiente a dicho teléfono en su cuenta bancaria personal de CAJA GRANADA (BMN), sin su consentimiento. Indica que ha solicitado información a TELEFONICA y a CONFEAFA y no le han facilitado ninguna explicación. Aporta copia de las facturas correspondientes a la línea ***TEL.1, de fechas 01/08/2012 y 01/09/2012, en los cuales se aprecia el cambio de cuenta corriente de domiciliación de los recibos. SEGUNDO: A la vista de los hechos denunciados, se realizaron por los Servicios de Inspección de esta Agencia actuaciones previas con objeto de determinar si el tratamiento de los datos personales que se realiza, cumple las condiciones que impone la citada normativa, teniendo conocimiento de las siguientes cuestiones: Solicitada información y documentación a TELEFONICA MOVILES ESPAÑA SAU (en adelante MOVISTAR), los representantes de esta entidad han manifestado que la solicitud de cambio de cuenta corriente se realizó a través del canal web. Indican que el usuario es el NIF/CIF del titular y que es necesaria la introducción de la contraseña correspondiente para el acceso. Informan que el cambio se realizó el 6/08/2012 a las 18:56 por el propio cliente, y que, al ser una persona jurídica, suponen que lo ha realizado una persona de la Asociación, siendo el afectado el presidente de la misma. Indican que consta registrado lo siguiente:  Desde el 9/05/2011 hasta el 06/08/2012 a las 18:56:53 la cuenta bancaria asociada es la de CAJASOL (entidad 2106)  Desde el 06/08/2012 a las 18:56:53 hasta el 27/09/2012 a las 14:47:37 la cuenta bancaria asociada es la de CAJA GRANADA (entidad 2031) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8  Desde el 27/09/2012 a las 14:47:37 la cuenta bancaria asociada es una de BANKIA (entidad ****) Solicitada información y documentación a CONFEAFA, los representantes de esta entidad han manifestado lo siguiente: «1 - Desconocemos el "motivo del cambio de domiciliación" que se refiere en su comunicación, habiendo tenido conocimiento del mismo, en su día, a través del propio Sr. A.A.A., habiéndose subsanado el error por la entonces Tesorera de ConFEAFA (Dña. B.B.B.) y reintegrándose el importe abonado por aquél. Hemos de poner en su conocimiento que en esa fecha, la Tesorera pertenecía a la Federación Provincial de Granada, cuyo Presidente era, y sigue siendo, el Sr. A.A.A. quien, a su vez, renunció a su cargo de Presidente de ConFEAFA el 07 de Julio de 2012 (escaso mes y medio antes del incidente que nos ocupa). Desconocemos, igualmente, porque no se devolvió el recibo sin más, por parte del Sr. A.A.A., causándonos sorpresa la denuncia que parece que ha planteado, máxime cuando sigue formando parte de la Junta Directiva de ConFEAFA, siendo uno de los ocho miembros que la integran. 2.- En cuanto a la "acreditación documental del origen del dato de la cuenta de Caja de Granada, aportamos una Hoja de Dietas y Gastos por Movilidad, necesaria para cumplimentar el Programa de Coordinación del Plan Andaluz de Alzheimer de la Consejería de Salud de la Junta de Andalucía. En dicha hoja consta la referida cuenta, siendo la finalidad originaria la de abonar los gastos que se ocasionen con motivo del desempeño del cargo que ostenta el Sr. A.A.A. en ConFEAFA. Así se realiza con todos los miembros de la Junta Directiva, sin que nunca haya existido problema alguno. 3- Evidentemente no existe "acreditación documental del consentimiento del titular de la citada cuenta, D. A.A.A., para la domiciliación de los recibos del citado teléfono...". A nuestro entender deberán dirigirse a la compañía Movistar, para solicitar información acerca del procedimiento de cambio de domiciliación efectuado, así como del documento de solicitud o la grabación de la conversación donde la misma se produjo, no constando en nuestros archivos referencia alguna a dicha solicitud. 4.- Hemos de destacar que, a mediados de Octubre de 2012, el Sr. A.A.A. aún no había realizado el traspaso de poderes pertinente, pudiendo hacer uso de los materiales e información inherentes al cargo de Presidente de ConFEAFA que ostentaba, estando autorizados, en la cuenta de Cajasol donde se venían realizando los cargos de los recibos del referido teléfono, él y la tesorera, únicamente. 5 - Consideramos necesario para el esclarecimiento de los hechos que por esa Subdirección General se solicite de la compañía Movistar la información relativa al cambio de domiciliación que ha motivado las presentes actuaciones. Igualmente, existe una serie de correos electrónicos entre la Oficina Técnica de ConFEAFA y el Servicio de Atención al Cliente de Movistar, el día 18 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Septiembre de 2012, donde se nos indica que han tenido conocimiento del cobro de esa línea a través de la cuenta personal del Sr. A.A.A., no siendo ya él la persona autorizada, solicitándose la autorización de Dña. C.C.C. para realizar el cambio de domiciliación de nuevo a ConFEAFA. Entendemos que pueden ser de utilidad, por lo que se solicita que se recaben por esa Subdirección, ofreciéndose nuestros archivos por si se considerara oportuno. En virtud de lo anteriormente expuesto, solicitamos que se tenga por cumplimentado, en tiempo y forma, el requerimiento efectuado, ofreciendo nuestra más amplia colaboración posible, confiando en que se produzcan las aclaraciones pertinentes, mostrando nuestro convencimiento de que ninguna responsabilidad detenta ConFEAFA en el referido incidente, debiendo destacar que no consta referencia alguna al cambio de domiciliación efectuado por Movistar, ni mediante Acuerdo de Junt a Directiva, ni mediante documento alguno, no existiendo siquiera mandamiento verbal en tal sentido.» Aportan copia de la hoja de dietas y gastos donde figura la cuenta corriente del denunciante (de la entidad CAJA GRANADA). TERCERO: Con fecha 25 de octubre de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00211/2013. Dicho acuerdo fue notificado al denunciante y a la asociación denunciada. CUARTO: Con fecha 15 de noviembre de 2013 tiene entrada en esta Agencia escrito de la Presidenta de ConFEAFA, mediante el que efectúa alegaciones al acuerdo de audiencia previa al apercibimiento, poniendo de manifiesto: • Que muestra su disconformidad con el apercibimiento tramitado, pues considera que no tienen ninguna responsabilidad en el cambio de cuenta bancaria, ya que entiende que el cambio solo ha podido ser realizado por el denunciante o por quien ejercía el cargo de Tesorero, o alguien de su entorno, ya que, a esa fecha, la clave de acceso al portal web de MOVISTAR solo era conocido por el denunciante, en virtud de su cargo como Presidente. • Manifiesta que el denunciante desempeñó el cargo de Presidente hasta el 7/07/2012, y que posteriormente hubo que requerirle en reuniones de Junta Directiva, para que hiciera el traspaso del cargo, pues seguía en su poder documentación, datos, llaves de acceso a instalaciones, información sobre cuentas bancarias y material. • Manifiesta que consta en acta de Junta Directiva de 27/07/2012 que la actual Presidenta se puso en contacto telefónico con el denunciante para que dejara de hacer uso del correo electrónico, línea de teléfono, blogs y administración de la página web adscritas a la Presidencia. • Manifiesta que a mediados de octubre de 2012 el denunciante aun no había realizado el traspaso de poderes pertinente, pudiendo hacer uso de los materiales e información inherentes al cargo de Presidente. • Manifiesta que ConFEAFA no puede tener responsabilidad puesto que no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 consta referencia alguna al cambio de domiciliación efectuado, ni mediante Acuerdo de Junta Directiva ni mediante documento alguno • Por ello, solicita que se tenga por cumplimentado, en tiempo y forma el trámite de alegaciones, quedando a criterio de la Agencia la aportación de las Actas referidas en el escrito, y que finalice el procedimiento con el archivo y sobreseimiento del mismo, al no existir infracción. HECHOS PROBADOS PRIMERO: Consta que, en fecha de 11 de diciembre de 2012 tiene entrada en esta Agencia un escrito de D. A.A.A. en el que declara que durante el periodo de tiempo que desempeñó el cargo de presidente de CONFEAFA dispuso de un móvil corporativo número ***TEL.1 de uso exclusivo para el ejercicio de su cargo, siendo los recibos cargados en la cuenta que CONFEAFA tiene en CAJASOL. Sin embargo, cuando deja el cargo y deja el teléfono a disposición de la entidad, encuentra un cargo correspondiente a dicho teléfono en su cuenta bancaria personal de CAJA GRANADA (BMN), sin su consentimiento. Indica que ha solicitado información a TELEFONICA y a CONFEAFA y no le han facilitado ninguna explicación. Aporta copia de las facturas correspondientes a la línea ***TEL.1, de fechas 01/08/2012 y 01/09/2012, en los cuales se aprecia el cambio de cuenta corriente de domiciliación de los recibos. SEGUNDO: Consta que el denunciante ha sido Presidente de la asociación CONFEAFA. TERCERO: Consta que el denunciante, durante el tiempo que ocupó el cargo de Presidente de la asociación, hacía uso de la línea de telefonía móvil ***TEL.1, con cargo a la asociación, tal y como manifiestan tanto el denunciante como la propia asociación denunciada. CUARTO: Consta que la cuenta corriente del denunciante formaba parte de los ficheros de la asociación CONFEAFA, para poder hacer efectivas las dietas y gastos por movilidad. QUINTO: Consta que el denunciante dejó de ser Presidente de la Asociación en fecha 7 de julio de 2012. SEXTO: Consta que la factura correspondiente al periodo comprendido entre el 18 de julio al 17 de agosto de 2012 fue cargado a la cuenta corriente personal del denunciante, cargo a hacer efectivo a partir del 1 de septiembre. SEPTIMO: Consta en el expediente, tal y como manifiesta MOVISTAR que el cambio se produjo a través del CANAL CLIENTE, en fecha 6 de agosto de 2012, y que tuvo que ser el propio cliente, el que cambio los datos de la cuenta de facturación. OCTAVO: Consta en el expediente que la entidad denunciada manifiesta que tanto el Presidente como la Tesorera conocían las claves para poder cambiar la cuenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 corriente, quedando acreditado que fue la propia Tesorera la que procedió a cambiar la cuenta corriente una vez que el denunciado manifestó que la factura correspondiente al periodo 18 de julio a 17 de agosto había sido cargado a su cuenta personal. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Con carácter previo procede señalar que el artículo 6.1 de la LOPD dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1 estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F. J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III La LOPD además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos. El apartado 2 del citado artículo 4, dispone: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.” Las “finalidades” a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede encontrar un uso del dato para una finalidad “distinta” sin incurrir en la prohibición del artículo 4.2 aunque emplee el término “incompatible”. La citada Sentencia del Tribunal Constitucional 292/2000, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( Art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con estos (Art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Para lo que no basta que conozca que tal cesión es posible según la disposición que ha creado o modificado el fichero, sino también las circunstancias de cada cesión concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (Art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia.” (El subrayado es de la Agencia Española de Protección de Datos). De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste y de las finalidades para las que los datos pueden ser recabados y tratados. En definitiva, los datos no pueden ser tratados para fines distintos a los que motivaron su recogida, pues esto supondría un nuevo uso que requiere el consentimiento del interesado. IV En el caso que nos ocupa, ha quedado acreditado que el denunciante había sido Presidente de la Asociación denunciada CONFEAFA, y que durante el tiempo que había ejercido su cargo, contaba con un teléfono móvil para su uso, que se encontraba a cargo de la asociación. El denunciante, tras dejar el cargo de Presidente el 7/07/2012, entregó el teléfono móvil, y con posterioridad, recibe en su cuenta corriente el cargo del recibo del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 teléfono móvil correspondiente al periodo 18 de julio a 17 de agosto. Desde MOVISTAR comunican que el cambio se produjo el 6 de agosto de 2012 desde el canal cliente a través de la Web. Asimismo, manifiesta que únicamente “el cliente” puede realizar dicho cambio. Desde la asociación denunciada CONFEAFA, manifiestan que únicamente el Presidente o el Tesorero conocen esas claves, y que el Presidente tardó en hacer efectivo el traspaso de poderes, y que, por tanto, pudo hacer uso de los materiales e información inherente a su cargo. No obstante, el responsable de dicho teléfono es la asociación, y en la medida en que es la responsable del fichero en el que se recogen los datos de los miembros de CONFEAFA, en el que asimismo se recogen sus datos bancarios, y es la responsable del teléfono, únicamente la asociación puede responder de dicha actuación. En este sentido el art. 3.
2. d)de la LOPD establece: “responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Por tanto, en este caso, la asociación es la responsable del fichero en el que se contienen, entre otros, los datos bancarios del denunciante. Asimismo, la propia asociación manifiesta que las claves para proceder al cambio de la cuenta corriente eran conocidas también por el Tesorero de la asociación. Por ello, en la medida en que ha quedado acreditado que la asociación disponía de la cuenta corriente del denunciante, y que las claves para acceder al canal web de MOVISTAR y proceder al cambio de la cuenta eran conocidas por mas personas de la asociación, procede apercibir a la asociación. No obstante no se va a requerir ningún tipo de medida. VI El artículo 44.3.
3. c)de la LOPD considera infracción grave: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos el art. 4 de la presente Ley y las disposiciones que lo desarrollen, salvo cuando sea constitutivo de infracción muy grave.” En este caso, la conducta de la asociación CONFEAFA vulnera el citado principio, toda vez que ha quedado acreditado en el presente procedimiento que trató los datos del denunciante con una finalidad incompatible con aquella para la que se recogió dicho dato, conducta que encuentra su tipificación en el artículo 44.3.
4. c)de la LOPD. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 1.- APERCIBIR (A/00211/2013) a D. COnFEAFA - CONF. ANDALUZA DE FED. DE FAMILIARES DE ENF. DE ALZHEIMER con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 4.2 de la LOPD, tipificada como grave en el artículo 44.3.
5. c)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a D. COnFEAFA - CONF. ANDALUZA DE FED. DE FAMILIARES DE ENF. DE ALZHEIMER. 3.- NOTIFICAR el presente Acuerdo a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es