E-00039-2015

1/15 Expediente Nº: E/00039/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades CABLEUROPA, S.A.U., JAZZ TELECOM SAU, y VODAFONE ESPAÑA SAU en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17 de octubre de 2014, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que denuncia que se ha suplantado su identidad para realizar altas telefónicas en varias compañías telefónicas, incluyendo sus datos en fichero de morosos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 23 de febrero de 2015 se solicita información a EQUIFAX respecto del NIF ***NIF.1 en relación con deudas informadas por cualquier entidad, teniendo entrada en esta Agencia con fecha 10 de marzo escrito en el que manifiesta: 1. Impresión de consulta al fichero Asnef, actualmente no consta información. 2. Notificaciones realizadas al titular de referencia por su inclusión en el fichero al domicilio de (C/.......1) (Madrid). a. Vodafone España SA: Alta de 23/05/2014 por importe de 660,37€ sin fecha de devolución. 3. Relación de las consultas efectuadas en los últimos seis meses. 4. Incidencias incluidas en su momento ya canceladas y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 bloqueadas: a. Vodafone España SA: Alta de 23/05/2014 por importe de 660,37€ y baja de 30/05/2014. 5. No se ha localizado ningún expediente tramitado en el Servicio de Atención al Cliente de Equifax. Con fecha de 23 de febrero de 2015 se solicita información a EXPERIAN teniendo entrada en esta Agencia escrito de 9 de marzo en el que manifiesta respecto al NIF del afectado: 1. No figura ninguna operación impagada asociada al NIF indicado. 2. No ha figurado ninguna operación impagada asociada al NIF indicado. 3. No figura ningún expediente asociado al afectado en la aplicación de gestión de solicitudes de derechos. Con fecha de 23 de febrero de 2015 se solicita información a JAZZ TELECOM SAU relativa al afectado en relación con las líneas telefónicas contratadas supuestamente de forma fraudulenta con las siguientes numeraciones: ***TEL.1 y ***TEL.2, teniendo entrada en esta Agencia escrito de 4 de marzo en el que manifiesta respecto al NIF del afectado: “Esta denuncia ya ha sido instruida y resuelta por parte de esa Agencia en el Expediente N° E/01612/2014, procediendo al archivo de las actuaciones contra JAZZTEL mediante resolución dictada el día 30 de octubre de 2014. Se ha comprobado que en la resolución de archivo de actuaciones de 30/10/2014 del expediente E/01612/2014 se investigaron los hechos citados” Con fecha de 23 de febrero de 2015 se solicita información a CABLE EUROPA SAU relativa al afectado en relación con las líneas telefónicas contratadas supuestamente de forma fraudulenta con las siguientes numeraciones: ***TEL.3, ***TEL.4, ***TEL.5, ***TEL.6, ***TEL.7 y ***TEL.8, teniendo entrada en esta Agencia escrito de 11 de marzo en el que manifiesta: 1. “En relación con las líneas telefónicas ***TEL.6, ***TEL.7 y ***TEL.8, la entidad ya recibió un requerimiento de información E/01611/2014 con fecha 21/04/2014 al que dio contestación con fecha 6/05/2014. Se adjuntan como Documentos nº 1 y 2 copia del requerimiento efectuado y la contestación dada por la entidad. Asimismo, en la documentación ya presentada en las citadas alegaciones figuraba información acerca del resto de líneas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 telefónicas que son parte del requerimiento de información actual (***TEL.3, ***TEL.4 y ***TEL.5), habiéndose producido el alta de las mismas en idénticas fechas. 2. En relación con dicho expediente, la Agencia Española de Protección de Datos (AEPD) abrió un procedimiento sancionador (PS/00615/2014) por infracción del art. 6.1. de la LOPD el cual, en la actualidad se encuentra en fase de Propuesta de Resolución. Se adjunta como Documento nº 3, copia del acuerdo de inicio de procedimiento sancionador recibido. En el “Antecedente Sexto, apartado 1” (página 3) de la Propuesta de Resolución dictada en el seno del citado expediente sancionador, que se aporta como Documento nº 4, como Hechos probados, ya se identifican las líneas telefónicas líneas ***TEL.3, ***TEL.4 y ***TEL.5 como parte del expediente sancionador de referencia, cuando se establece: “En fechas 10/11/2013 y 21/02/2014 han tenido entrada en la AEPD escritos del afectado en los que denunciaba la suplantación de su personalidad en la contratación de las líneas de telefonía móvil con algunas compañías de telefonía móvil, entre las que se encuentran tos números ***TEL.3, ***TEL.4, ***TEL.5, ***TEL.6, ***TEL.7 y ***TEL.8”. Igualmente se hace referencia a estas líneas de telefonía en el “Antecedente Sexto, apartado 5” (página 4) de la Propuesta de Resolución. Asimismo, estas numeraciones figuran en las facturas aportadas por mi representada en el requerimiento de información previo. Adicionalmente, en el apartado dedicado a Fundamentos de Derecho, apartado 1, la AEPD establece: “CABLEUROPA, no ha acreditado en el procedimiento que cuente con el consentimiento inequívoco de denunciante para el tratamiento de sus datos de carácter personal, materializado en la contratación de las líneas de telefonía móvil asociados a los números ***TEL.4, ***TEL.5, ***TEL.6, ***TEL.8 y ***TEL.7, así como la línea de telefonía fija ***TEL.3 y emitiéndole facturas”. Por último, estas líneas continúan siendo referenciadas por la AEPD en distintos apartados de los Fundamentos de Derecho V y VI, a la hora de determinar el artículo infringido por mi representada y la sanción que le correspondería. En conclusión, tanto las cinco líneas de teléfono móvil como la línea fija son ya parte del expediente sancionador que se está sustanciando en contra de la entidad, por lo que se entiende que no ha lugar para el requerimiento de información recibido el pasado día 26 de febrero, ya que en el mismo no se solicita ninguna información distinta de la ya aportada por la entidad a la AEPD en el seno del expediente E/01611/2014 y del PS/00615/2014.” Se ha comprobado que en la resolución del Procedimiento Sancionador Nº PS/00615/2014 de 31/03/2015 del expediente E/01611/2014 se investigaron los hechos citados. Con fecha de 23 de febrero de 2015 se solicita información a VODAFONE ESPAÑA SAU relativa al afectado en relación con las líneas telefónicas contratadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 supuestamente de forma fraudulenta con las siguientes numeraciones: ***TEL.1 y ***TEL.2, y que han sido portadas a la citada entidad, teniendo entrada en esta Agencia escrito de 10 de marzo en el que manifiesta: 1. “Vodafone ya recibió el 15/04/2014 el requerimiento de información del expediente E/00760/2014 relativo al afectado el cual versaba además sobre estos mismos servicios. Nos remitimos por tanto a dicho expediente y a la información aportada al mismo para la que la Agencia pueda disponer de la información ya aportada por Vodafone al respecto. 2. Dicho expediente de información derivó en el procedimiento sancionador PS/00616/2014, procedimiento que ha sido ARCHIVADO por parte de la Agencia por medio de un escrito recibido en Vodafone el pasado 24/02/2015. Nos remitimos al mismo a los efectos de la que Agencia pueda disponer de la información necesaria al respecto”. 3. Se ha comprobado que en la resolución del Procedimiento Sancionador Nº PS/00616/2014 de 31/03/2015 del expediente E/00760/2014 se investigaron los hechos citados. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En relación a la Entidad JAZZTEL los hechos denunciados fueron investigados y resueltos en el expediente número E/01612/2014, en cuya resolución de fecha 30 de octubre de 2014 se investigaron los hechos citados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 Ha continuación se transcribe la anterior resolución: “En fecha 30/04/14 se recibe en esta AEPD escrito de alegaciones de la EntidadJazztel—en dónde en relación a los “hechos” objeto de denuncia alega lo siguiente: Con fecha 5 de noviembre del año 2012 el cliente solicitó la contratación del servicio ADSL Internet Premium 30+llamadas nacionales gratis+ mantenimiento de línea+ con numeración Jazztel asociado a la línea ***TEL.9 a nombre de D. A.A.A.. Este servicio continua activo actualmente”. “Con fecha 13 de septiembre de 2013 el cliente solicitó la evolución de su servicio al Pack Ahorro Internet (Fijo+ADSL+Móvil) cursando el alta del móvil sin portabilidad asociado a la numeración ***TEL.1, con venta de terminal Sony XPeria J. Negro. En fecha 30/09/13 se cursa el alta de una segunda línea de móvil sin portabilidad asociado a la numeración ***TEL.2, con venta de terminal Sony XPeria J. Negro”. En apoyo de su argumentación la Entidad denunciada—Jazztel—aporta copia de la grabación de la verificación de la contratación realizada el día 5 de noviembre de 2012 para la línea: ***TEL.9. Asimismo, aporta copia de la grabación para la verificación de la contratación realizada el día 30 de septiembre de 2013 para las líneas ***TEL.1 y ***TEL.2. Escuchadas las grabaciones, se comprueba que una persona que se identifica con el nombre, DNI y dirección postal del denunciante da el consentimiento a la contratación de los servicios de JAZZTEL. A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). Analizada las pruebas presentadas cabe concluir que los “indicios” apuntan a la existencia de un presunto fraude cometido por un tercero de mala fe, que procedió de forma fraudulenta a dar de alta los dos números reseñados con la finalidad de obtener terminales de telefonía de forma gratuita; actuando en todo momento la Entidad denunciada—Jazztel—con la creencia de que contrataba con el verdadero titular de los datos y adoptando en el marco de la LOPD la diligencia mínima exigible en estos casos (vgr. como lo acredita la grabación aportada como medio de prueba admisible en Derecho) siendo, igualmente, víctima de un engaño malicioso. A mayor abundamiento, la Audiencia Nacional—SAN 06/07/12—ha manifestado que: “Si bien la presunta suplantación de identidad no ha podido ser esclarecida, de lo que no cabe dudad a juicio de la Sala, es de que Canal Satélite Digital obró con una diligencia normalmente exigible en una operación de servicios como los contratados. Y además el correspondiente contrato tuvo que ser firmado por alguien que, si no era tal denunciante, al menos si conocía su nombre y apellidos, su domicilio, su teléfono móvil y su número de DNI. Abonándose además, puntualmente y durante ocho meses, tales consumos televisivos. O en la en la reciente Sentencia de 24 de enero de 2014 recurso nº. 540/2012, en un supuesto similar al que nos ocupa: << ... ningún reproche puede hacerse a la actuación de France Telecom en este ámbito sancionador al haber adoptado las cautelas precisas para asegurarse de la identidad de la persona de quien recababa los datos personales en relación con la contratación de las citadas líneas telefónicas, sin que existan elementos suficientes en el presente procedimiento para poder determinar si se trata de un supuesto en que un mismo número de DNI ha podido ser asignado erróneamente a dos personas distintas, o de un posible supuesto de fraude. En cualquiera de los casos, bien por falta de tipicidad o de culpabilidad, no puede tenerse por acreditada o imputarse a France Telecom la vulneración del principio del consentimiento ni tampoco, y en correlación, la del principio de calidad de datos>>. La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD. Por todo ello no se aprecia vulneración alguna de la normativa vigente en materia de protección de Datos al haber desplegado la Entidad—Jazztel—la diligencia mínima exigible en estos casos”. Cualquier cuestión relativa a los hechos que se denuncian—delito de estafa arts. 258 y ss CP—deberá ser puestos en conocimiento, en su caso, del órgano judicial competente para entrar a conocer del mismo (a modo de ejemplo el Juez de Instrucción del lugar de comisión del presunto delito) al carecer esta AEPD de competencia material para ello”. IV En relación a la Entidad CABLE EUROPA SAU los hechos denunciados fueron investigados y resueltos en el expediente sancionador número PS/00615/2014, cuya resolución de fecha 31 de marzo de 2015 ha continuación se transcribe: “Con fecha 23 de febrero de 2015 se solicita información a Cable Europa SAU en relación con las líneas telefónicas contratadas supuestamente de forma fraudulenta con las siguientes numeraciones: ***TEL.3, ***TEL.4, ***TEL.5, ***TEL.6, ***TEL.7 y ***TEL.8, teniendo entrada en esta Agencia escrito de 11 de marzo en el que manifiesta: 3. En relación con las líneas telefónicas ***TEL.6, ***TEL.7 y ***TEL.8, la entidad ya recibió un requerimiento de información E/01611/2014 con fecha 21/04/2014 al que dio contestación con fecha 6/05/2014. Se adjuntan como Documentos nº 1 y 2 copia del requerimiento efectuado y la contestación dada por la entidad. Asimismo, en la documentación ya presentada en las citadas alegaciones figuraba información acerca del resto de líneas telefónicas que son parte del requerimiento de información actual (***TEL.3, ***TEL.4 y ***TEL.5), habiéndose producido el alta de las mismas en idénticas fechas. 4. En relación con dicho expediente, la Agencia Española de Protección de Datos (AEPD) abrió un procedimiento sancionador (PS/00615/2014) por infracción del art. 6.1. de la LOPD el cual, en la actualidad se encuentra en fase de Propuesta de Resolución. Se adjunta como Documento nº 3, copia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 del acuerdo de inicio de procedimiento sancionador recibido. En el “Antecedente Sexto, apartado 1” (página 3) de la Propuesta de Resolución dictada en el seno del citado expediente sancionador, que se aporta como Documento nº 4, como Hechos probados, ya se identifican las líneas telefónicas líneas ***TEL.3, ***TEL.4 y ***TEL.5 como parte del expediente sancionador de referencia, cuando se establece: “En fechas 10/11/2013 y 21/02/2014 han tenido entrada en la AEPD escritos del afectado en los que denunciaba la suplantación de su personalidad en la contratación de las líneas de telefonía móvil con algunas compañías de telefonía móvil, entre las que se encuentran tos números ***TEL.3, ***TEL.4, ***TEL.5, ***TEL.6, ***TEL.7 y ***TEL.8”. Igualmente se hace referencia a estas líneas de telefonía en el “Antecedente Sexto, apartado 5” (página 4) de la Propuesta de Resolución. Asimismo, estas numeraciones figuran en las facturas aportadas por mi representada en el requerimiento de información previo. Adicionalmente, en el apartado dedicado a Fundamentos de Derecho, apartado 1, la AEPD establece: “CABLEUROPA, no ha acreditado en el procedimiento que cuente con el consentimiento inequívoco de denunciante para el tratamiento de sus datos de carácter personal, materializado en la contratación de las líneas de telefonía móvil asociados a los números ***TEL.4, ***TEL.5, ***TEL.6, ***TEL.8 y ***TEL.7, así como la línea de telefonía fija ***TEL.3 y emitiéndole facturas”. Por último, estas líneas continúan siendo referenciadas por la AEPD en distintos apartados de los Fundamentos de Derecho V y VI, a la hora de determinar el artículo infringido por mi representada y la sanción que le correspondería. En conclusión, tanto las cinco líneas de teléfono móvil como la línea fija son ya parte del expediente sancionador que se está sustanciando en contra de la entidad, por lo que se entiende que no ha lugar para el requerimiento de información recibido el pasado día 26 de febrero, ya que en el mismo no se solicita ninguna información distinta de la ya aportada por la entidad a la AEPD en el seno del expediente E/01611/2014 y del PS/00615/2014.” Se ha comprobado que en la resolución del Procedimiento Sancionador PS/00615/2014 de 31 de marzo de 2015 del expediente E/01611/2014 se investigaron los hechos citados. Se imputa a CABLEUROPA en el presente procedimiento la comisión de una infracción del artículo 6.1 de la LOPD, que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negociad entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. CABLEUROPA no ha acreditado en el procedimiento que cuente con el consentimiento inequívoco del denunciante para el tratamiento de sus datos de carácter personal, materializado en la contratación de las línea de telefonía móvil asociados a los números ***TEL.4, ***TEL.5, ***TEL.6, ***TEL.8 y ***TEL.7, así como la línea de telefonía fija ***TEL.3 y emitiéndole facturas. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a CABLEUROPA tratar los datos del denunciante sin su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 III Alega la representación de CABLEUROPA que la entidad cumplió con todos los requisitos exigidos por la legislación vigente para la contratación a distancia. Hay que señalar que el sistema de contratación telefónica es un método válido y admitido en derecho del que se ocupa el Real Decreto 1906/1999, por el que se regula la contratación telefónica o electrónica con condiciones generales, en desarrollo del artículo 5.3 de la Ley 7/1998, de 13 de abril, de condiciones generales de la contratación. El artículo 5.3 de la citada Ley 7/1998 establece que “en los casos de contratación telefónica o electrónica será necesario que conste en los términos que reglamentariamente se establezcan la aceptación de todas y cada una de las cláusulas del contrato, sin necesidad de firma convencional. En este supuesto, se enviará inmediatamente al consumidor justificación escrita de la contratación efectuada, donde constarán todos los términos de la misma”. El R.D. 1906/1999 reitera la obligación de confirmar documentalmente la contratación efectuada por vía telefónica, electrónica o telemática y dispone en su artículo 5.1 y 2 lo siguiente: “1. La carga de la prueba sobre la existencia y contenido de la información previa de las cláusulas del contrato; de la entrega de las condiciones generales; de la justificación documental de la contratación una vez efectuada; de la renuncia expresa al derecho de resolución; así como de la correspondencia entre la información, entrega y justificación documental y el momento de sus respectivos envíos, corresponde al predisponente. 2. A estos efectos, y sin perjuicio de cualquier otro medio de prueba admitido en derecho, cualquier documento que contenga la citada información aún cuando no se haya extendido en soporte papel, como las cintas de grabaciones sonoras, los disquetes y, en particular, los documentos electrónicos y telemáticos, siempre que quede garantizada su autenticidad, la identificación fiable de los manifestantes, su integridad, la no alteración del contenido de lo manifestado, así como el momento de su emisión y recepción, será aceptada en su caso, como medio de prueba en los términos resultantes de la legislación aplicable...” Sin embargo, CABLEUROPA no ha presentado ninguna prueba de la contratación telefónica en la que supuestamente el denunciante habría otorgado su consentimiento, ni ha acreditado haber adoptado las medidas que la diligencia aconseja a fin de demostrar que la persona que presta el consentimiento es en realidad el titular de los datos tratados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 La propia entidad en escrito de 06/05/2014 ha manifestado que “No se dispone de contrato físico porque la contratación se realizó telefónicamente a través de una llamada entrante y tampoco se dispone de grabación de la conversación” y, además, ha reconocido fraude en la contratación por suplantación de personalidad. La Audiencia Nacional en sentencia de fecha 26/04/2012 señala que: “Es por ello que venimos afirmando con posterioridad, mediante una doctrina reiterada y consolidada en la actualidad ( SAN 22 de abril de 2010, Rec. 368/2009, entre otras muchas) que la adopción de medidas para la perfecta identificación de los clientes no puede constituir un elemento de atenuación de la responsabilidad sino que constituye el cumplimiento de una obligación ordinaria exigible a las empresas que trabajan con grandes volúmenes de datos personales, sin que pueda considerarse la adopción de estas medidas como base para la apreciar disminución de la culpabilidad ó de la antijuridicidad”. Todo este comportamiento, supone por parte de CABLEUROPA una vulneración del principio de consentimiento, recogido en el artículo 6.1 de la LOPD, del que debe responder. IV De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, el artículo 44.3.
2. b)tipifica como infracción grave “
3. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. En este caso, CABLEUROPA ha incurrido en la infracción descrita, ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD. La entidad mencionada ha tratado los datos del denunciante sin contar con su consentimiento, vinculando sus datos de carácter personal a las línea de telefonía móvil asociados a los números ***TEL.4, ***TEL.5, ***TEL.6, ***TEL.8 y ***TEL.7, así como la línea de telefonía fija ***TEL.3, habiendo quedado acreditado que no habían sido contratadas por el denunciante y, además, emitiéndole facturas, lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.
4. b)de la citada Ley”. V En relación a la Entidad VODAFONE ESPAÑA SAU, los hechos denunciados ya fueron investigados y resueltos en el expediente sancionador número PS/00616/2014, de fecha 31 de marzo de 2015 que a continuación se transcribe: “Con fecha 23 de febrero de 2015 se solicita información a Vodafone España SAU relativa al afectado en relación con las líneas telefónicas contratadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 supuestamente de forma fraudulenta con las siguientes numeraciones ***TEL.1 y ***TEL.2 y que han sido portadas a la citada entidad, teniendo entrada en esta Agencia escrito de 10 de marzo en el que manifiesta: 1 Vodafone ya recibió el 15/04/2014 el requerimiento de información del expediente E/00760/2014 relativo al afectado el cual versaba además sobre estos mismos servicios. Nos remitimos por tanto a dicho expediente y a la información aportada al mismo para la que la Agencia pueda disponer de la información ya aportada por Vodafone al respecto. 2 Dicho expediente de información derivó en el procedimiento sancionador PS/00616/2014, procedimiento que ha sido ARCHIVADO por parte de la Agencia por medio de un escrito recibido en Vodafone el pasado 24/02/2015. Nos remitimos al mismo a los efectos de la que Agencia pueda disponer de la información necesaria al respecto”. 3 Se ha comprobado que en la resolución del Procedimiento Sancionador Nº PS/00616/2014 de 31/03/2015 del expediente E/00760/2014 se investigaron los hechos citados. En el presente caso, es importante señalar que VODAFONE aportó la grabación de la contratación relativa a la línea de telefonía móvil asociado al número ***TEL.1, en la contestación al requerimiento informativo que le hizo la inspección de la AEPD durante las Actuaciones de Investigación Previa; sin embargo, no aportaba documentación alguna relativa a la contratación de la línea de telefonía móvil asociado al número ***TEL.2, razón por la cual se decidió la apertura del presente procedimiento. No obstante, existe un nuevo documento sonoro que se toma en consideración y que ha sido aportado por la entidad denunciada en el trámite de alegaciones al Acuerdo de Inicio del expediente. En las citadas grabaciones una persona que afirma ser el denunciante y tener su mismo NIF otorga su consentimiento a la portabilidad de las líneas asociadas a los números ***TEL.1 y ***TEL.2 de las que declara ser titular, de Jazztel a VODAFONE aceptando las condiciones de las contratación. En la conversación mantenida con la persona que se hace pasar por el denunciante facilita su nombre, apellidos, NIF, domicilio y dirección de correo electrónico. También el suplantador afirma que su domicilio radica en (C/.........1) (Madrid) Con estas grabaciones VODAFONE acredita que ha ajustado su comportamiento a la diligencia que le es exigible en el desarrollo de su actividad empresarial. Al objeto de valorar la medida de la diligencia que la entidad estaba obligada a desplegar debemos examinar lo dispuesto en la Circular 1/2009 de la Comisión del Mercado de las Telecomunicaciones (CMT) que introdujo en nuestro ordenamiento “el consentimiento verbal con verificación por tercero en la contratación de servicios mayoristas regulados de comunicaciones fijas, así como en las solicitudes de conservación de numeración”. La valoración que merecen estos documentos sonoros aportados por VODAFONE es la de que la entidad ha actuado con total diligencia, observando las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 normas vigentes que regulan el consentimiento verbal en las solicitudes de contratación de líneas de telefonía móvil. Por tanto, habida cuenta de que VODAFONE ha facilitado copia de las grabaciones que prueba que un tercero, que suplantó la identidad del denunciante, le otorgó su consentimiento para gestionar la contratación de las líneas de móvil desde VODAFONE y que las grabaciones se ajustan a las previsiones de la Circular 1/2009 de la CMT, estimamos que no concurre en el presente caso el elemento subjetivo de la infracción. No obstante, debe subrayarse que la aportación por VODAFONE de la grabación tras el cierre de actuaciones de investigación, circunstancia acreditada al menos en el presente procedimiento y en el PS/00341/2013, puede tener repercusión en el caso de que se produzca de forma reiterada a los efectos de la aplicación de las previsiones sancionadoras de la LOPD. En consecuencia la conducta de la denunciada no podría encuadrarse en el tipo sancionador previsto en la LOPD ni puede dar lugar a la exigencia de responsabilidad administrativa sancionadora”. VI En conclusión, puesto que el alta fraudulenta de varias líneas telefónicas con las entidades JAZZ TELECOM, SAU, CABLE EUROPA, SAU y VODAFONE ESPAÑA SAU, ya fueron investigadas y resueltas en el E/1612/2014, y en los procedimientos sancionadores PS/00615/2014 y PS/00616/2014, no procede abrir nuevas actuaciones de investigación para el esclarecimiento de los hechos denunciados. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CABLEUROPA, S.A.U., JAZZ TELECOM SAU, VODAFONE ESPAÑA SAU y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es