A-00394-2014

1/7 Procedimiento Nº: A/00394/2014 RESOLUCIÓN: R/00270/2015 En el procedimiento A/00394/2014, instruido por la Agencia Española de Protección de Datos a la entidad JAS DENTAL, S.L., vista la denuncia presentada por CORPORACION DENTAL BUCODENTE SLU y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 28 de octubre de 2014 tiene entrada en esta Agencia un escrito del administrador de la entidad Corporación Dental Bucodente SLU, titular de la clínica Bucodente (en adelante el denunciante) comunicando la posible infracción a la Ley Orgánica 15/1999, de 13 de diciembre, motivada por el hecho de que varios trabajadores de esta entidad han constituido una clínica denominada Boca & Boca que actúa a través de la entidad Jas Dental SL y denuncia que ha utilizado los datos personales de sus clientes sin su consentimiento. Manifiesta en su escrito que los empleados habían firmado los protocolos exigibles en materia de protección de datos de carácter personal y que tenían autorización para el tratamiento de los datos de los clientes a los solos efectos de trabajar y atenderles como pacientes de Corporación Dental Bucodente SLU. Que los empleados que abrieron la nueva clínica fueron finalizando relaciones laborales con Corporación Dental Bucodente SLU y que a finales de enero de 2014, cuando se abre la nueva clínica, se reciben avisos y llamadas de clientes comunicando que les han llamado de la nueva clínica para ofrecerles continuar el tratamiento que tenían pendiente en la clínica Boca & Boca. Expone en su escrito que sus antiguos empleados han utilizado los datos personales de sus clientes para intentar captar ilegalmente los servicios sin el consentimiento de los afectados. En su escrito expone que denunció estos hechos ante la Policía que realizó labores de investigación como declaraciones de los afectados y que dieron traslado al Juzgado de Instrucción nª 2 que tramító Diligencias Previas nº ****/2013 que han sido objeto de sobreseimiento provisional. Se aporta documentación relativa a dicho procedimiento con declaraciones de los denunciados, de los afectados y de testigos en las que se pone de manifiesto que varios clientes de la clínica Bucodente recibieron llamadas a su móvil desde la clínica Boca & Boca ofreciéndoles continuar sus tratamientos en la clínica Boca & Boca. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 TERCERO: Con fecha 23 de diciembre de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00394/2014. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha PONER FECHA se recibe en esta Agencia escrito del denunciado en el que comunica: “Los datos a que se refiere la denuncia no eran “secretos”. La denuncia se limita, no a alguna clase de historial médico, sino a los teléfonos de los pacientes. Y éstos pueden encontrarse en las guías de teléfono existentes y, además, los teléfonos de los pacientes FUERON APORTADOS POR ELLOS MISMOS al doctor DON A.A.A., cuando éste, por las especiales circunstancias de estos pacientes, les comunicó su intención de abandonar la clínica. Igualmente, las llamadas se produjeron POR LA INICIATIVA DE LOS PROPIOS PACIENTES que, basándose en la confianza con su odontólogo, le pidieron que los llamaran una vez abriera su propia clínica. Así resulta de las declaraciones que ante la Policía Nacional hicieron los pocos pacientes que fueron informados, y que aportamos con este escrito. No se ha sustraído ninguna “base de datos”, como lo prueba el escaso número de pacientes que, tras haberlo solicitado a su odontólogo, DON A.A.A., fueron contactados por mis representados (cuando han tratado miles de ellos en la clínica)”. Concluye el escrito de alegaciones solicitando que se formule propuesta con manifestación de no existencia de infracción o responsabilidad alguna. Aporta con su escrito de alegaciones el Auto del Juzgdo nº 2 de Málaga de 4 de noviembre de 2013 en el que se acuerda el sobreseimiento y archivo de la causa y también se aportan las declaraciones de cuatro pacientes ante la Policía Nacional. HECHOS PROBADOS PRIMERO: El administrador de la entidad Corporación Dental Bucodente SLU, titular de la clínica Bucodente ha comunicado a esta Agencia la posible infracción a la Ley Orgánica 15/1999, de 13 de diciembre, motivada porque desde la clínica denominada Boca & Boca que actúa a través de la entidad Jas Dental SL se han utilizado los datos personales de sus clientes sin su consentimiento. SEGUNDO: Manifiesta que varios de sus trabajadores han constituido la clínica denominada Boca & Boca que actúa a través de la entidad Jas Dental SL y que a finales de enero de 2014, cuando se abre la nueva clínica, han recibido avisos y llamadas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 clientes comunicando que les han llamado de la nueva clínica para ofrecerles continuar el tratamiento en la nueva clínica Boca & Boca. Expone en su escrito que sus antiguos empleados han utilizado los datos personales de sus clientes para intentar captar ilegalmente los servicios sin el consentimiento de los afectados. TERCERO: En su escrito el afectado expone que denunció estos hechos ante la Policía que realizó labores de investigación como declaraciones de los afectados y que dieron traslado al Juzgado de Instrucción nª 2 que tramító Diligencias Previas nº ****/2013 que han sido objeto de sobreseimiento provisional. Se aporta documentación relativa a dicho procedimiento con declaraciones de los denunciados, de los afectados y de testigos en las que se pone de manifiesto que varios clientes de la clínica Bucodente recibieron llamadas a su móvil desde la clínica Boca & Boca ofreciéndoles continuar sus tratamientos en la clínica Boca & Boca. CUARTO: Que la entidad Jas Dental SL no ha podido acreditar en el expediente que contara con el consentimiento para el tratamiento de los datos personales de los pacientes del denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Se imputa a la entidad Jas Dental SL el tratamiento de los datos de los pacientes de la entidad Corporación Dental Bucodente SLU sin su consentimiento. En este sentido, el artículo 6.1 y .2 dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Para que el tratamiento de los datos de los pacientes de la entidad denunciante realizado por la entidad Jas Dental SL resultara conforme con los preceptos de la LOPD, hubiera debido concurrir alguno de los supuestos contemplados en el artículo 6 de la LOPD. Sin embargo, no se ha acreditado que el denunciante hubiera prestado el consentimiento para el tratamiento de sus datos, y tampoco se ajusta el presente caso a ninguno de los supuestos exentos de tal consentimiento que recoge el apartado 2 del artículo 6 citado. El artículo 3 de la LOPD define en su apartado
2. h)como “Consentimiento del interesado” a “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” La LOPD no requiere que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 III El artículo 2.1 de la LOPD define su ámbito de aplicación: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado…” El artículo 3 de la LOPD define en su apartado
3. c)como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, dicho artículo 3 define en su apartado
4. b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” En el presente caso, ha quedado acreditado que varios clientes de la clínica Bucodente recibieron una llamada telefónica de la clínica Boca & Boca en la que les ofrecían continuar su tratamiento dental en la nueva clínica y se les invitaba a que acudieran a ella. La entidad Jas Dental SL ha manifestado que la denuncia se refiere no al historial médico sino a los teléfonos de los pacientes, que se pueden encontrar en las guías telefónicas y que ellos mismos los aportaron al doctor cuando él les comunicó su intención de abandonar la clínica, de manera que las llamadas se produjeron por iniciativa de los propios pacientes quienes le pidieron que les llamaran una vez abierta su propia clínica. Manifiesta que así lo declararon los pacientes ante la Policía Nacional y que aporta en su escrito de alegaciones. A este respecto cabe contestar que ese es el dato personal de los pacientes cuyo tratamiento sin consentimiento se valora en este procedimiento, unido a su nombre y apellidos, y sobre el que el denunciante ha aportado constancia de que no se encuentra el teléfono de ninguno de ellos en varios repertorios telefónicos. Por otra parte, respecto de que fueron los pacientes quienes le pidieron que les llamaran y que lo declaran así ante la Policía, cabe contestar que el denunciado aporta las declaraciones de cuatro pacientes mientras que el denunciante aporta las de otros dos pacientes más, quienes no declaran ante la Policía que pidieran que les llamaran. Es decir, no consintieron en el tratamiento de sus datos personales por una entidad distinta de aquella a la que libremente acudieron para su tratamiento. Por tanto, para en este caso, se realizó un tratamiento con los datos personales de los pacientes del denunciante con quienes se contactó por teléfono, sin que se haya acreditado por la entidad denunciada, que contaba con su consentimiento para dicho tratamiento, ni cuál es el origen de sus datos de carácter personal, infringiendo así el artículo 6.1 de la LOPD. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 El artículo 44.3.
5. b)de la LOPD, dispone que es infracción grave: “
6. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso, la descripción de conductas que establece el artículo 44.3.
7. b)de la LOPD cumple las exigencias derivadas del principio de tipicidad, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. El tipo aplicable considera infracción grave “
8. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, por tanto, se está describiendo una conducta -el tratamiento de datos personales o su uso posterior– que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la LOPD. El principio del consentimiento se configura como principio básico en materia de protección de datos y así se recoge en la doctrina y jurisprudencia de los Tribunales Ordinarios como del Tribunal Constitucional (STC 292/2002). Concretamente, por lo que ahora interesa, el artículo 6 de la LOPD recoge el citado principio que exige la necesidad de consentimiento del afectado para que puedan tratarse sus datos de carácter personal. Por tanto, la conducta ilícita vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de los datos personales de los pacientes del denunciante sin su consentimiento, al realizar llamadas telefónicas sin que se acredite el origen de sus datos de carácter personal. Sin embargo en este caso concreto, atendida la naturaleza de la infracción consistente en un hecho puntual que no admite corrección ni la adopción de una concreta medida correctora, debe procederse en consecuencia, a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de la interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00394/2014) las actuaciones practicadas a la entidad JAS DENTAL, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
9. b)de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a la entidad JAS DENTAL, S.L. 3.- NOTIFICAR el presente Acuerdo a la entidad CORPORACION DENTAL BUCODENTE SLU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es