← España

AI-00218-2022

1/7  Expediente N.º: EXP202203257 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Doña A.A.A. (en adelante, la parte reclamante), con fecha 11 de febrero de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B., con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone que en fecha 4 de diciembre de 2021 contrató una mudanza con la parte reclamada y que, para realizarla, acudieron unos trabajadores de la misma y uno de ellos, de forma poco profesional, solicitó a la reclamante y a una de sus amigas, su número de teléfono, a lo que se negaron. Señala que, con posterioridad a dicho incidente, en fecha 17 de diciembre de 2021, recibió un WhatsApp desde un número de teléfono desconocido por ella, pero afirma que, al mirar la foto de perfil del titular de la cuenta de WhatsApp que le había contactado, reconoció a uno de los trabajadores que acudieron a llevar a cabo la mudanza, distinto de aquél que les solicitó el número de teléfono. Indica que se puso en contacto con la entidad reclamada, mostrando su indignación por dicha circunstancia y le afirmaron que no conocían a dicho trabajador y que no era trabajador de la empresa, añadiendo que lo que afirma la parte reclamante no es cierto. Aporta copia del contrato celebrado con la entidad reclamada y el mensaje de WhatsApp recibido, contactos realizados con la entidad reclamada en torno a dichos hechos, así como Denuncia presentada ante Comisaría de la POLICÍA NACIONAL. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido, en fecha 30 de marzo de 2022, como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 TERCERO: Con fecha 11 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos:  Con fecha 7 de septiembre de 2022, se ha solicitado información a Xfera Móviles, S.A, la cual ha aportado los datos personales de nombre y apellidos del titular de la línea ***TELEFONO.1, que fue activada el 30 de septiembre de 2018 con un tipo de contrato de PREPAID y de la marca LEBARA. Xfera Móviles S.A. manifiesta que al ser una línea prepago no dispone de información sobre domicilio y cuentas bancarias.  B.B.B. consta en ASEXOR como “Otras formas jurídicas”, tipo de empresa “Autónoma” y asociada a la actividad de “Servicios de mudanza”. En el escrito remitido por la parte reclamada en contestación a los requerimientos de la Agencia, se desprende:  La parte reclamante contrata los servicios de la empresa de mudanzas y, tal y como consta en el contrato aportado, firma el escrito de recepción de los enseres sin especificar desperfectos. A este respecto, la parte reclamada manifiesta que tuvieron desavenencias tras finalizar el servicio de mudanzas, al declarar la reclamante que sus enseres llegaron en perfecto estado y al cabo de varias semanas, contactó con la entidad para exigir la reparación de una lavadora.  La parte reclamante contacta con la empresa poniendo de manifiesto la recepción de un mensaje de WhatsApp por parte de un empleado de la entidad. La parte reclamada manifiesta que ni el empleado ni el teléfono guardan relación alguna con la empresa. La parte reclamada ha aportado los números de teléfonos de su titularidad y no coinciden con el que consta en la copia del mensaje. Asimismo, ha aportado relación del personal que tiene acceso a dichos números de teléfono que tampoco coinciden con el titular de la línea aportado por Xfera Móviles a solicitud de la Inspección de Datos de la Agencia.  La empresa manifiesta que “todos los empleados y colaboradores conocen sus obligaciones en cuanto a la confidencialidad y al cumplimiento de lo dispuesto en la normativa vigente de protección de datos y se firma con ellos contratos de encargado del tratamiento en los términos que se establecen en el 33 y ss., de la Ley Orgánica 3/2018, de 5 de diciembre, en relación con el 28.3 del RGPD 2016/679”.  La parte reclamada manifiesta que el envío del mensaje se produjo con posterioridad a la reclamación sobre la lavadora y “no es posible acreditar que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 persona que contacta con la reclamante tenga alguna relación con esta parte y tampoco puede esta parte aportar más pruebas de las expresadas en este documento”.  La parte reclamante hace referencia a una sentencia de la Sala de lo Penal del Tribunal Supremo (STS 300/2015) en relación con la manipulación de archivos digitales y la necesidad de aportar una prueba pericial que identifique el origen real, la identidad y la integridad del contenido. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

  1. f)y
  2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7
  8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  10. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
  11. c)y e), deberá ser establecida por:
  12. a)el Derecho de la Unión, o
  13. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
  14. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
  15. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
  16. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
  17. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
  18. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." III Principios relativos al tratamiento La letra
  19. b)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  20. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);" IV Conclusión Los hechos objeto de reclamación se fundamentan en la utilización de los datos personales de la parte reclamante por parte de un trabajador de la parte reclamada sin legitimación y desviando la finalidad para la que se obtuvo. Se uso el número de teléfono facilitado para hacer una mudanza a un empresario autónomo para enviar mensajes de whatsapp a la contratante ajenos a los hechos objeto del contrato. El artículo 67 de la LOPDGDD, relativo a las actuaciones previas de investigación, determina lo siguiente: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Al objeto de comprobar la relación entre la parte reclamada y la comunicación de datos personales de la parte reclamante a un tercero se solicitó información sobre ello a los operadores telefónicos y al responsable de la empresa reclamada sin que se pudiese acreditar esa relación y comunicación de datos sin legitimación El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor. Aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinado, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad de cargo, que, en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 312-81). Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A. y B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  21. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.