1/6 Expediente Nº: E/00864/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad LINDORFF ESPAÑA, S.A.U. en virtud de denuncia presentada por Dña. B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 23 de enero de 2018, tuvo entrada en esta Agencia escrito de Dña. B.B.B. (en lo sucesivo la denunciante) en la que pone de manifiesto que LINDORFF ESPAÑA, S.A.U. (en lo sucesivo LINDORFF) le llama a su línea móvil ***TELF.1 desde las líneas ***TELF.2, ***TELF.3, ***TELF.4, ***TELF.5 y ***TELF.6, preguntando por su padre y reclamándole una deuda de éste o en su caso, diciéndole que contacte con él para que se ponga en contacto con la entidad. Manifiesta que se ha puesto en contacto con LINDORFF mediante fax y correo electrónico para comunicarles que no tiene deuda alguna con esta empresa, ni ha tenido relación con la misma. Adjunta a su denuncia: - Factura de ORANGE de fecha 01/10/2017 que acredita que la denunciante es titular de la línea ***TELF.1. - Faxes
(4)de fecha 20/12/2017 con la referida reclamación y que no acredita fueran recibidos por destinatario por cuanto en el resultado de la transmisión figura “no contesta”. - Correo electrónico de fecha 19/12/2017 dirigido por la denunciante a LINDORFF solicitando dejen de utilizar sus datos personales para llamarle por teléfono reclamándole una deuda indebida. - Correo electrónico de fecha 21/12/2017 dirigido por LINDORFF a la denunciante en el cual le informan que no han encontrados en sus fichero ningún registro con sus datos personales, no obstante les facilite su DNI para tramitar mejor su solicitud. - Impresión de pantalla de un terminal en el que constan llamadas perdidas
(29)entre el 16/10/2017 y el 15/01/2018, y llamadas entrantes
(4)efectuadas desde las líneas ***TELF.2, ***TELF.3, ***TELF.4, ***TELF.5 y ***TELF.6, sin que conste el contenido de las 4 llamadas recibidas, ni se acredite que se recibieron en la línea ***TELF.1 de la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 - Impresión de pantalla de un terminal donde figura un mensaje recibido (no consta fecha) con el texto “Usted tiene una deuda con Lindorff, Grupo Intrum, pendiente de pago. Póngase en contacto con nosotros en el teléfono ***TELF.7.” SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, solicitando información a LINDORFF y teniendo conocimiento de los siguientes extremos:
- En sus sistemas figuran los datos de nombre y apellidos ( C.C.C.) y DNI ( D.D.D.) que tienen su origen en el contrato de cesión de créditos suscrito en fecha 24/06/2016 entre BANCO DE SANTANDER, S.A. y LINDORFF, entre los que se encuentran dos créditos por importe de 2.586,72 € y 6.004,20 €.
- Detectys, empresa con la que LINDORFF tiene un contrato de prestación de servicio para la localización de deudores, facilitó a LINDORFF en fecha 11/10/2017 los siguientes datos resultado de la investigación efectuada a D. C.C.C.: - Domicilio: A.A.A.. - Telefónos: ***TELF.8, ***TELF.
- FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 En el presente caso, si bien no ha quedado acreditado el contenido de las 4 llamadas en las que se comunicó con la denunciante (por cuanto las demás fueron llamadas no contestadas), ni que el SMS recibido cuya copia se aporta, fuera recibido en la línea de la denunciante ***TELF.1, por el contrario si lo ha sido que en los ficheros de LINDORFF figura dicha línea como dato asociado a D. C.C.C., acreditado deudor de la entidad. En este sentido la Audiencia Nacional en su Sentencia de 14 de mayo de 2009 recoge lo siguiente: “al haber prestado el denunciante su consentimiento para el tratamiento de determinados datos personales como su nombre y apellidos, domicilio y número de teléfono, en el contexto de una relación contractual, ese consentimiento inicial continúa proyectándose mientras permanece la relación contractual respecto de datos personales del mismo tipo que los que fueron proporcionados y autorizado su uso, siempre que su tratamiento continúe siendo necesario para el cumplimiento o ejecución del contrato ningún reproche puede hacerse por tanto al tratamiento de dichos datos.” Añade la referida Sentencia que “incluso la LOPD prescinde de la necesidad del consentimiento al establecer como excepción al mismo - en el apartado 2 del artículo 6 - que no es necesario el consentimiento cuando los datos se refieran a las partes de un contrato o precontrato y sean necesarios para su mantenimiento o cumplimiento”. concluye que “la entidad que actuaba como encargada del tratamiento realiza su actividad para el cumplimiento del contrato suscrito entre el denunciante y la entidad que le efectuó el encargo y que dicho contrato exige para su cumplimiento el tratamiento de los datos personales del domicilio del denunciante para poder comunicar con él ..., siendo indiferente a estos efectos que el concreto dato del domicilio haya cambiado pues su tratamiento está amparado en el consentimiento inicial o, en todo caso, en la excepción contenida en el artículo 6.2 LOPD.” La doctrina sentada por la citada Sentencia ha sido, asimismo, recogida por la Audiencia Nacional en las Sentencias de 21 de enero y 22 de julio de
- En las citadas Sentencias se hace referencia a la obtención por parte de un encargado del tratamiento contratado por una determinada entidad de datos adicionales que permiten conocer el domicilio o número de teléfono de un cliente determinado en supuestos en los que se ha producido un cambio en los mencionados datos, habiéndose obtenido la información de fuentes tales como ficheros con el carácter de fuente accesible al público, detectives privados o incluso la solicitud de información a familiares del cliente. Así la Audiencia Nacional, en las Sentencias citadas anteriormente, considera conforme con la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter Personal (en lo sucesivo, LOPD) la solicitud a familiares del cliente de información con la finalidad de actualizar sus datos personales, al resultar necesario el tratamiento de los nuevos datos para poder comunicarse con el interesado. Ahora bien, la legitimación para el tratamiento de los datos comprende el tratamiento de los datos del cliente y no el de las personas de su entorno, por lo que si la entidad denunciada los estuviese tratando deberá proceder a la cancelación de éstos, cuando se hayan actualizado los datos del cliente y, en todo caso, cuando el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 afectado –familiar o persona del entorno del cliente- ejerza su derecho de cancelación, al prevalecer, en estos casos, el derecho a la protección de datos. Por ello si lo desea puede ejercer el derecho de cancelación frente a LINDORFF., acreditando ser el titular de la línea telefónica, y utilizar para ello los modelos que figuran en el siguiente enlace www.agpd.es Este derecho de cancelación es personalísimo y debe, por tanto, ser ejercido directamente por los interesados ante el responsable del fichero o tratamiento de datos de carácter personal. Así, podrá dirigirse directamente ante la entidad responsable del fichero a través de un medio que acredite tanto el envío como la recepción de la solicitud, y acompañando copia de su D.N.I. o de cualquier otra documentación acreditativa de la identidad del solicitante. De este modo, el responsable del fichero o tratamiento deberá resolver sobre la solicitud en el plazo de diez días, a contar desde la recepción de la misma, pudiendo denegarla en los casos establecidos en los artículos 33 y 30, ambos del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). En el caso de que la solicitud no fuera convenientemente atendida por el responsable del fichero o tratamiento, podrá dirigirse a esta Agencia, acompañando copia de la solicitud cursada y de la contestación recibida, en su caso, para que la Agencia analice la procedencia de tutelar el ejercicio de sus derechos reconocidos en la citada LOPD y normativa que la desarrolla. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a LINDORFF ESPAÑA, S.A.U. y Dña. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. (PIE DE RECURSO ADMINISTRACION PÚBLICA) CUANDO UNO DE LOS AFECTADOS ES Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es