1/6 Expediente N.º: EXP202200953 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 25 de marzo de 2022, se presentó reclamación con número de registro de entrada REGAGE22e00009470590 ante la Agencia Española de Protección de Datos contra ORANGE ESPAGNE, S.A.U con NIF A82009812 y WORKING CAPITAL MANAGEMENT ESPAÑA, S.L. con NIF B86878121 (en adelante, ORANGE Y WCM respectivamente). Los motivos en que basa la reclamación son los siguientes: La reclamante presenta reclamación por recepción de llamadas en su línea móvil desde los números ***TELÉFONO.1, ***TELÉFONO.2, ***TELÉFONO.3, ***TELÉFONO.4 (reconocido por el servicio de identificador de llamadas HIYA como procedentes de “recobros ORANGE” y desde el número ***TELÉFONO.5 (reconocido por el servicio de identificador de llamas HIYA como procedente de la entidad “WCM”). Pese a que la operadora ORANGE había manifestado en un escrito remitido a la reclamante a consecuencia de otra reclamación anterior que no se habían cedido sus datos a ninguna entidad cesionaria de deuda, entre el 28 de octubre y 11 de noviembre de 2021. Junto a la notificación se aporta: - Pantallazo donde aparecen los números reclamados. Reclamación presentada ante la Secretaría de Estado de Telecomunicaciones. Alegaciones presentadas por Orange ante la Secretaría de Estado de Telecomunicaciones. SEGUNDO: Con fecha 25 de junio de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Con carácter previo a las actuaciones llevadas a cabo durante las presentes actuaciones de investigación, se comprueba que la reclamada ORANGE contestó a la parte reclamante informándola de que no se había producido cesión de sus datos a ningún fichero de solvencia patrimonial y crédito ni a ORANGE BANK al no haber adquirido ningún terminal a plazos. A este respecto, investigada la posible inclusión de los datos de la reclamante en ficheros de solvencia patrimonial y crédito, las entidades EQUIFAX IBÉRICA, S.L. y EXPERIAN BUREAU de CRÉDITO informan en sendos escritos recibidos el 2 de diciembre de 2022, con número de registro REGAGE22e00055584234, y el 23 de diciembre de 2022, con número de registro REGAGE22e00059160806, respectivamente, que no encuentran actualmente ni en el histórico inscripciones relativas a la reclamante en sus ficheros de solvencia patrimonial y crédito. Respecto a las llamadas telefónicas señalas en la reclamación, se realizan las siguientes actuaciones: Efectuada una búsqueda en internet sobre la entidad WCM indicada en la reclamación como emisora de dos de las llamadas, se comprueba que se trata de una compañía con actividad de recobro de deudas impagadas. Solicitado a esta entidad información sobre las llamadas realizadas a la parte reclamante el 11 de noviembre de 2021 a las 08:37 y 20:31, con fechas de 16 de diciembre de 2022 y 4 de enero de 2023 se recibe en esta Agencia, con números de registro REGAGE22e00058034878 y REGAGE23e00000856910 respectivamente, sendos escritos remitidos por esta entidad manifestando que las mencionadas llamadas tuvieron como objeto la recuperación de la deuda que la parte reclamante mantenía con la entidad ORANGE por cuenta y encargo de esta operadora, facilitando para ello el acceso a los datos personales y de la deuda de la parte reclamante a WCM con fecha de 11 de noviembre de 2021. Adjuntan contrato de servicio suscrito con ORANGE. En este contrato se comprueba que se recogen las medidas exigibles por parte del encargado del tratamiento en lo relativo a la normativa de protección de datos: finalidad del tratamiento y limitación de este, deber de secreto, garantía de aplicación de medidas técnicas y organizativas para la seguridad de los datos, custodia, la prohibición de subcontratación sin autorización previa del responsable, prohibición de transferir los datos personales a terceros, devolución y eliminación una vez concluido el encargo, comunicación al responsable del tratamiento cualquier sospecha de brecha de seguridad, etc. Consultadas a las operadoras de telefonía que tienen asignados los restantes números señalados en la reclamación, se comprueba que los números ***TELÉFONO.1, ***TELÉFONO.2, ***TELÉFONO.3 están asignados al cliente VOZITEL, S.L. (en adelante, VOZITEL), dedicada a la oferta de soluciones y plataformas de comunicaciones telefónicas, y el número ***TELÉFONO.4 a ISGF INFORMES COMERCIALES, S.L. (en adelante, ISGF), con actividad en la gestión de recobros. Requerido a estas entidades información sobre las llamadas realizadas a la parte reclamante y la procedencia de sus datos personales, se reciben en esta Agencia los siguientes escritos de alegaciones: ISGF C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Con fecha de 17 de enero de 2023 y número de registro REGAGE23e00003220245, manifestando que los datos han sido facilitados por ORANGE y que el objeto de las llamadas fue la recuperación de una deuda que la reclamante mantenía con la parte reclamada, habiendo sido tratados sus datos con este fin desde el 13 de octubre hasta el 10 de noviembre de 2021. En escrito posterior, con fecha de 20 de enero de 2023 y número de registro REGAGE23e00004097542, presentan contrato de servicio suscrito con ORANGE. En este contrato se comprueba que se recogen las medidas exigibles en lo relativo a la normativa de protección de datos recogiendo los mismos aspectos que el contrato firmado entre ORANGE y la entidad WCM. VOZITEL Con fecha de 18 de enero de 2023 y número de registro REGAGE23e00003584209, manifestando que los números en cuestión se encontraban en el momento de producirse las llamadas se encontraban asignadas a la entidad WCM ya mencionada anteriormente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Sistemas de información crediticia El artículo 20 de la LOPDGDD, que regula los sistemas de información crediticia, dispone en su apartado primero lo siguiente: "1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
- a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
- b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
- c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
- d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
- e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
- a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
- f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta." III Licitud del tratamiento El artículo 6 del RGPD detalla en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” IV Conclusión A través de las actuaciones realizadas por esta Agencia, se constata que los datos de la reclamante no fueron incluidos en los ficheros se solvencia patrimonial y crédito ASNEF y/o BADEXCUG, tal y como le informó ORANGE en su contestación a la reclamante con fecha 26 de noviembre de 2021. Respecto a la posible cesión de los datos de la reclamante por la realización de las llamadas señaladas en la reclamación, no se han encontrado indicios de que la reclamada ORANGE cediera los datos personales de la reclamante a ninguna entidad fuera de lo establecido en el artículo 33.1 de la Ley Orgánica 3/2018 de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Tras la investigación, se concluye que efectivamente las llamadas se produjeron, pero por entidades de recobro que tienen la consideración de "encargados" de tratamiento, por lo que no sería obligatorio haberlos comunicado como cesionarios. Únicamente tuvieron acceso a los datos personales de la reclamante los encargados del tratamiento WCM e ISGF con la finalidad de la recuperación de la posible deuda que la reclamada tiene con ORANGE. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 SEGUNDO: NOTIFICAR la presente resolución a I.S.G.F. INFORMES COMERCIALES, S.L., ORANGE ESPAGNE, S.A.U., VOZITEL, S.L.U. y WORKING CAPITAL MANAGEMENT ESPAÑA, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-091222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es