1/8 Expediente N.º: EXP202300934 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 25 de diciembre de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra TELEFÓNICA MÓVILES ESPAÑA, S.A.U. con NIF A78923125 (en adelante, la parte reclamada o TME). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamante ha cedido sus datos personales a una empresa de cesión de recobros, para reclamar una deuda pendiente de pago, que señala es inexistente. En concreto, manifiesta haber recibido llamadas en fecha 14 y 23 de diciembre de 2022. Junto a su reclamación aporta escrito de ISGF de 20 de diciembre de 2022 en el que dan respuesta a su reclamación y documento de la parte reclamada, de fecha 29 de octubre de 2018, en el que indican haber comprobado que la línea sobre la que se le reclamaba un importe está dada de baja, procediendo al reintegro de la factura indebidamente cobrada. Manifiesta que el importe reclamado corresponde a la factura número ***FACTURA.1, que es la reintegrada tras reclamación de octubre de 2018. Junto a la notificación se aporta: - Escrito de TME, de fecha 29 de octubre de 2018, en el que le informan que le devolverán el importe facturado al estar dado de baja las líneas. - Escrito de ISGF, de fecha 20 de diciembre de 2022, en el que le informan que no han incluido sus datos en ningún fichero de solvencia patrimonial, que sería TME quien podría hacerlo. - Chat de WhatsApp entre argentes de la parte reclamada y la reclamante en la que le informan, en fecha 23 de diciembre de 2022, que se le devolvieron unas cantidades indebidamente facturadas en 2018 pero que debía 58,86 euros. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 6 de febrero de 2023, como consta en el certificado que obra en el expediente. Con fecha 2 de marzo de 2023 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: “Interesa poner de relieve que el asunto al que se refiere la reclamación de la Srª. A.A.A. no consiste en un supuesto de cesión de datos a la empresa de recobro. En este sentido, tal como ponen de relieve respuestas a preguntas frecuentes que constan en la página web de la Agencia, “…las empresas de recobro son empresas que prestan servicios a terceras entidades y en virtud de ese servicio necesitan conocer datos personales de los clientes de la empresa que las ha contratado. Este acceso a los datos no puede considerarse una cesión o comunicación de datos personales, ni tampoco necesita del consentimiento de los titulares de los datos para tratarlos ya que el tratamiento que realiza una empresa de recobro deriva del servicio prestado al responsable del tratamiento”. Se adjunta la comunicación enviada a Dª. A.A.A. en respuesta a la reclamación de referencia, como documento anexo nº 1. (en la comunicación se explica que no ha habido cesión de datos sino prestación de servicio) Dª. A.A.A. no consta incluida en burós de crédito, a instancias de mi representada. TERCERO: Con fecha 7 de marzo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 II Tratamiento de datos El RGPD se ocupa en el artículo 5 de los principios que presiden el tratamiento de los datos, precepto que dispone: “1. Los datos personales serán:
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)[...] («limitación de la finalidad»); c)[...] («minimización de datos»); d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)[...] («limitación del plazo de conservación»);
- f)[...] («integridad y confidencialidad»). 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” El artículo 6 del RGPD, “Licitud del tratamiento”, establece: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.” III Responsable y encargado del tratamiento En el artículo 4 del RGPD, puntos 7 y 8, se especifica lo que se debe entender por responsable del tratamiento y encargado del tratamiento. Así tenemos, como: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 “7) «responsable del tratamiento» o «responsable» es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado» es la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;...” En definitiva, el responsable del tratamiento es la persona física o jurídica o autoridad pública, que decide sobre el tratamiento de los datos personales, determinando los fines y los medios de dicho tratamiento. Por su parte, el encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que presta un servicio al responsable que conlleva el tratamiento de datos personales por cuenta de éste. En este sentido, el responsable es quien decide el “por qué” y el “cómo” relativo a los datos personales y el encargado es quien se encarga de llevar a cabo el tratamiento a cargo del responsable. La figura del encargado del tratamiento en el RGPD se define en su artículo 28, donde se establecen los requisitos que debe cumplir respecto a la protección de datos: 1.Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2.El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3.El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
- a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
- b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
- c)tomará todas las medidas necesarias de conformidad con el artículo 32;
- d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
- e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
- f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
- g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
- h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
- h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4.Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Estas obligaciones específicas podrán ser supervisadas por las autoridades de protección de datos, sin perjuicio de la fiscalización que pueda realizarse en relación con el cumplimiento del RGPD o de la LOPDGDD por parte del responsable o el encargado del tratamiento. En el caso reclamado, ISGF es encargado del tratamiento de la parte reclamada para el recobro de deudas. Corresponde analizar la conducta presuntamente contraria a la normativa de protección de datos a las que la reclamante alude en sus escritos de reclamación, a fin de determinar si el tratamiento de datos por parte de TME ha sido respetuoso con el RGPD. La reclamante concreta la conducta presuntamente infractora que atribuye a la reclamada en la cesión a un tercero de sus datos personales vinculados a una deuda que, a su criterio, fue anulada por la parte reclamada en el año 2018. El análisis de la documentación que obra en el expediente y de las manifestaciones hechas por la reclamada y la reclamante, ponen de manifiesto que el tratamiento que la primera hizo de los datos personales del segundo fue respetuoso con los principios de licitud (artículo 5.1.a, RGPD) y de exactitud (artículo 5.1.d, RGPD). En las conversaciones de WhatsApp se informa a la reclamante que, de la factura de noviembre de 2018, que asciende a (…) euros hay que descontar (…) euros, por lo que queda pendiente de pago (…) euros, cantidad reclamada por el encargado de tratamiento. Se concluye por ello que el tratamiento de los datos personales de la reclamante que la reclamada llevó a cabo fue respetuoso con el principio de exactitud. Así las cosas, ni la reclamación de la deuda atribuida a la reclamante vulneró el principio de exactitud ni el tratamiento de los datos por la reclamada con esa finalidad era contrario al principio de licitud del tratamiento. Por lo que concierne al tratamiento de los datos personales del reclamante efectuado por la gestora de cobros y a si este tratamiento es acorde con la normativa de protección de datos de carácter personal, se hacen las siguientes consideraciones: El tratamiento de los datos del reclamante efectuado por la gestora de cobros con la finalidad de requerirle el pago de una deuda existente se enmarca en el que resultaba necesario para cumplir las obligaciones que dimanaban del contrato que la gestora de cobros había celebrado con la cesionaria, de manera que el requerimiento a la reclamante por vía extrajudicial del pago de la deuda estaba amparado en el artículo 6 del RGPD. En consecuencia, no se aprecia indicio de infracción de la normativa de protección de datos en los requerimientos de pago que la gestora de cobros, encargada de tratamiento de la cesionaria del crédito, dirigió a la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 III Conclusión En el supuesto analizado no obran en el expediente elementos que constituyan una prueba de cargo de una pretendida vulneración del RGPD ni pruebas indiciarias que desvirtúen la presunción de inocencia de las entidades reclamadas, debiendo en consecuencia proceder al archivo de las actuaciones de investigación previa practicadas. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA MÓVILES ESPAÑA, S.A.U., y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es