AI-00378-2024

1/6  Expediente N.º: EXP202408740 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 13 de mayo de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra COMPLUTEL COMUNICACIONES, S.L., con NIF B82227802 (en adelante, la parte reclamada o COMPLUTEL). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta, que recibió un correo electrónico y un mensaje de WhatsApp del operador ***OPERADOR.1, indicando que se había solicitado una portabilidad de ***OPERADOR.2 a ***OPERADOR.1. En dichas comunicaciones aparecían nombres y apellidos de un tercero con la que el reclamante no tiene ninguna vinculación y, como medio de contacto el número de teléfono móvil y el correo electrónico del reclamante. Según el reclamante la empresa que realizó esta tramitación fue la parte reclamada ubicada en el centro comercial ***DIRECCIÓN.1, con la intención de que el cliente obtuviera un descuento en ***OPERADOR.2 por no marcharse a otro operador. Y la parte reclamante aporta la siguiente documentación: - Captura de pantalla de un correo electrónico del 10/05/2024, con dirección de origen (...)@***OPERADOR.1 al reclamante en el que se le informa de las características del servicio que acaba de contratar para la línea ***TELÉFONO.1 a nombre de A.A.A. (en adelante tercero). - Captura de pantalla de la aplicación móvil de WhatsApp con un mensaje de ***OPERADOR.1 con información sobre la portabilidad. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 17/06/2024 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 Con fecha 16/07/2024 tiene entrada escrito de respuesta a la actuación de traslado, en la que se indica que se habían realizado las acciones necesarias para atender el derecho de rectificación y ha procedido a desvincular el correo electrónico del reclamante en la ficha del A.A.A., anotando en los sistemas internos de la compañía el mail del mismo, quedando el reclamante correctamente atendido y la incidencia resuelta. Asimismo, indicaba que habían remitido carta al afectado atendiéndose el derecho de rectificación TERCERO: Con fecha 13 de agosto de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Ha sido confirmada la solicitud de portabilidad realizada el 09/05/2024 y su posterior cancelación el 10/05/2024 por ***OPERADOR.1 a través del canal telefónico de atención al cliente de COMPLUTEL. Se ha constatado que el correo electrónico del reclamante se encontraba asociado a la ficha de ***OPERADOR.1 en el momento que se realizó la solicitud de portabilidad y que, durante la tramitación, pidió que fuera modificado. Aunque no se llegó a realizar el cambio. Respecto a por qué COMPLUTEL tenía asociado el correo electrónico del reclamante en ***OPERADOR.1, COMPLUTEL cree que ha sido un error del sistema, aunque también afirma que no tiene más datos del reclamante. También se ha conocido que ***OPERADOR.1 en 2022 solicitó para el mismo número otra portabilidad que no llegó a realizarse, motivo por el que COMPLUTEL ya tenía datos de ***OPERADOR.1. Por tanto, no se ha podido conocer el origen del dato del correo electrónico del reclamante, por qué estaba en la ficha del ***OPERADOR.1 quién lo había proporcionado y si fue con el consentimiento del reclamante. Por otra parte, según las grabaciones tanto el mensaje de contratación como el de cancelación se enviaron al número de teléfono que se iba a portar cuyo titular es ***OPERADOR.1 y no el reclamante. Según las capturas de pantallas de los mensajes aportados en la reclamación las fechas y horas de los mensajes concuerdan con los datos proporcionados por COMPLUTEL, pero no es posible conocer a qué número de teléfono fueron enviados, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 por lo que no puede confirmarse si el número de teléfono de reclamante también fue proporcionado sin su consentimiento. No se ha encontrado en los hechos ninguna relación con el reclamado por tanto no se ha podido confirmar lo indicado en la reclamación, que los datos de reclamante habían sido aportados sin su consentimiento por el reclamado. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Principio de exactitud La letra
3. d)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud») III Presunción de inocencia La Sentencia del Tribunal Constitucional de 20 de febrero -S 44/1989- indica lo siguiente: (…) "Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurrente aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate. Desde la perspectiva constitucional la diferenciación entre la presunción de inocencia y la regla in dubio pro reo resulta necesaria en la medida que la presunción de inocencia ha sido configurada por el artículo 24.2 de la Constitución como garantía procesal del imputado y derecho fundamental del ciudadano protegible en la vía de amparo, lo que no ocurre propiamente con la regla in dubio pro reo, condición o exigencia subjetiva del convencimiento del órgano judicial en la valoración de la prueba inculpatoria existente aportada al proceso. Es cierto que la distinción entre medio probatorio y resultado probatorio no puede ser tan radical en cuanto que la presunción de inocencia es también una regla de juicio a favor de ella que obliga a decidir a favor de la presunción de inocencia cuando no existan pruebas de las que pueda deducirse la culpabilidad, esto es, pruebas de carácter inculpatorio. El que ahora el principio pro reo pueda tener un más sólido fundamento constitucional no permite que pueda confundirse el principio in dubio pro reo con el derecho constitucional a la presunción de inocencia, ni tampoco convertir el proceso de amparo en una nueva instancia en que pueda discutirse el resultado valorativo de una actividad probatoria de cargo realizada en el juicio oral y con todas las garantías" (…) Lo anteriormente expuesto, ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de presunción de inocencia reconocido en el artículo 24.2 de la Constitución Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
4. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario” IV Conclusión Las razones que han motivado esta reclamación se sustentan en que la parte reclamante recibió un correo electrónico y un mensaje de WhatsApp del operador ***OPERADOR.1, indicando que se había solicitado una portabilidad de ***OPERADOR.2 a ***OPERADOR.1. En dichas comunicaciones aparecían nombres y apellidos de una persona con la que el reclamante no tiene ninguna vinculación y, como medio de contacto el número de teléfono móvil y el correo electrónico del reclamante. Según el reclamante la empresa que realizó esta tramitación fue la parte reclamada. Sin embargo, no se ha podido determinar a través de las actuaciones de investigación realizadas el origen del dato del correo electrónico del reclamante, por qué estaba en la ficha del tercero, quién lo había proporcionado y si fue o no con el consentimiento de la parte reclamante. No se ha encontrado en los hechos ninguna relación con la parte reclamada por tanto no se ha podido confirmar lo indicado en la reclamación, que los datos de la parte reclamante habían sido aportados sin su consentimiento por COMPLUTEL. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a COMPLUTEL COMUNICACIONES S.L. y a la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
5. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es