1/6 Expediente Nº: E/01160/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad JAZZ TELECOM, S.A.U., en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de diciembre de 2013 y 10 de marzo de 2014, tienen entrada en la Agencia Española de Protección de Datos escritos remitidos por Doña A.A.A., en el que manifiesta que, la empresa JAZZTEL ha realizado una portabilidad de su número de teléfono, así como del servicio de ADSL, no obstante manifiesta que dicha portabilidad no fue solicitada por ella. Ella tuvo constancia de este hecho porque con fecha 2 de agosto de 2013, se dio cuenta de que no tenía línea de teléfono, al llamar a Movistar, esta le informó de la portabilidad, hecho que comunicó a Jazztel en ese mismo momento. Jazztel le ha proporcionado una copia de la grabación de la contratación pero ella les ha manifestado que no es su voz y además la persona que contrata les facilita un número de teléfono que no tiene nada que ver con ella. Adjunta carta dirigida a Jazztel, de fecha 14/11/2013, explicando lo ocurrido, copia de dos denuncias ante la policía, copia de la carta remitida por Jazztel, de fecha 27/08/2013, en la que le comunica que ha procedido a su baja. Copia de la reclamación ante la OMIC de fecha agosto 2013 y Resolución, en la que deben de anular el importe reclamado a la denunciante por Jazztel. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: - Con fecha 30 de abril de 2014 se recibe escrito con documentación anexa remitida por la entidad JAZZ TELECOM, S.A.U, del contenido del mismo se desprende que: SOBRE LA CONTRATACION Respecto de los productos contratados a nombre de la denunciante: “Pack Ahorro 300” consistente en Fijo+ ADSL + Móvil, para la línea de telefonía fija ***TEL.1 y para la línea móvil con portabilidad del ***TEL.
- La fecha de alta fue el 24 de julio de 2013 y la baja de la numeración ***TEL.1 se produce con fecha 26 de agosto de 2013, tras solicitar la titular la portabilidad a Telefónica de España, S.A. La contratación se realizó por teléfono, según se verifica en la grabación remitida por Jazztel, tanto para la telefonía fija como móvil. Se verifica que la dirección aportada para el envío de las facturas coincide con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 de la denunciante. SOBRE LAS COMUNICACIONES CON EL AFECTADO Y ACCIONES EMPRENDIDAS POR LA ENTIDAD Con fecha 19 de septiembre de 2013 se recibe reclamación presentada por la denunciante en Jazztel. Tras la recepción de la misma y copia de la denuncia ante la Policía, se determinó que había existido un alta fraudulenta, procediendo a regularizar todos los importes facturados por los servicios prestados tanto en la telefonía fija como móvil. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 y 2 de la LOD dispone que: ”
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “
- No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el presente caso se trata de dilucidar si el tratamiento de los datos personales llevado a cabo por Jazztel a raíz de la supuesta contratación por parte de la denunciante de la línea telefónica fija ***TEL.1 y para la línea móvil con portabilidad del ***TEL.2 constituye, o no, posible infracción al principio del consentimiento recogido en el artículo 6 de la LOPD, toda vez que la afectada manifiesta que se ha realizado una contratación fraudulenta a su nombre. A la vista de información recabada durante las actuaciones previas de inspección se desprende que dicho tratamiento de datos se realizó por la entidad denunciada empleando la diligencia que le resultaba exigible, puesto que el alta de la línea telefónica en cuestión se realizó mediando grabación, verificada por un tercero independiente, en este caso Tria Global Service, S.L. (Qualytel), al objeto de verificar la contratación telefónica por portabilidad, y cuya copia ha sido aportada por la entidad denunciada durante las actuaciones previas de inspección. Jazztel también ha aportado impresión de varias pantallas que muestran que el operador donante es Telefónica de España, S.A., y que la entidad verificadora comprobó que la portabilidad solicitada por la persona que se identificó con los datos personales de la denunciante era correcta. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística de fraude en la utilización de los datos personales. Así, La Audiencia Nacional señala en su Sentencia de 29 de abril de 2010, lo siguiente: “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. La denunciante ha relatado que no había solicitado ningún crédito con la entidad recurrente y que al tener conocimiento de la reclamación efectuada, denunció los hechos en el ámbito penal. En esa denuncia, se hace constar como un dato de interés, que cree que alguien dispone de sus datos en Madrid y los está utilizando para esos hechos, ya que en el mes de abril de dicho año 2007 Vodafone le dio de alta en un teléfono a su nombre, también en Madrid, que dio lugar a una deuda, que presentó una reclamación ante la Junta de Andalucía siendo finalmente resuelto el asunto por Vodafone. La citada denuncia dio lugar a la incoación en el Juzgado de Instrucción nº 9 de Madrid de las diligencias previas nº ****/2007, desconociéndose el estado actual de las mismas. La recurrente alegó en vía administrativa –folio 23- en cuanto al modus operandi, que el cliente llama al teléfono del establecimiento Lo Mónaco y acude un comercial al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 domicilio (no es venta en establecimiento sino en el domicilio del cliente). Se formaliza la compraventa y si el cliente quiere financiar la compra, se solicita préstamo a la recurrente que recibe el impreso de solicitud firmado junto con la documentación acreditativa de la identidad y la solvencia. Se estudia dicha solicitud y si se aprueba se abona el importe por cuenta del prestatario al comercio vendedor. A tal fin la recurrente facilita un formulario impreso a la entidad vendedora para que se cumplimente en el caso de que el cliente opte por financiar el pago de los productos adquiridos, se remite el impreso junto con la correspondiente documentación a la recurrente y ésta autoriza la operación. En el caso de autos es cierto que el contrato de financiación –folio 5- que figura como realizado en Madrid en la misma fecha que el de compra de los artículos a financiar, ya que se suscriben en unidad de auto, está pobremente cumplimentado, pues figuran los dos apellidos y uno de los nombres, el DNI y la fecha de nacimiento de la prestataria. Consta el importe de la deuda a financiar, las mensualidades a abonar, su importe, el periodo de pago, figurando en blanco y sin rellenar las casillas correspondientes al teléfono, domicilio, situación laboral etc. Sin embargo no lo es menos, que la propia resolución recurrida reconoce en los hechos probados – apartado 2.3- que “Junto con los documentos de los contratos reseñados Euro Crédito recibió de la empresa vendedora una fotocopia del DNI de Dña. B.B.B., aportado para la tramitación de los contratos”. Es decir, se viene a reconocer así que efectivamente se solicitó por la vendedora y se facilitó a la financiera copia del DNI de la persona con la que se estaba contratando, o lo que es igual, de la que estaba adquiriendo los artículos comercializados por Lo Mónaco y con la que se suscribió el correspondiente contrato de financiación. Documento que la recurrente tuvo a la vista y valoró a la hora de efectuar la autorización de la operación. Por otra parte, la propia AEPD reconoce que la vendedora remitió a la hoy recurrente copia del contrato de compraventa recogido en un formulario preimpreso de la mercantil “Lo Mónaco-Hogar S.L.”, en el que figuran los productos adquiridos y algunos datos más que en el contrato de financiación, como el domicilio de la compradora en la (C/................1) Madrid; y dos números de teléfono móvil de la adquirente, y en el que al igual que el contrato de financiación, figura la misma rúbrica debajo del rótulo de firma. De la valoración en conjunto de toda la prueba practicada se desprende que si bien el contrato de financiación se rellenó de forma incompleta, no lo es menos, que dicho contrato puede integrarse con los datos que figuraban en cuanto al teléfono y domicilio en el contrato de compraventa facilitado por la vendedora así como los obrantes en su DNI, una copia del cual también le fue remitida. El hecho de que en el DNI figurase un domicilio y en el impreso de compraventa otro distinto, no tiene porque resultar llamativo teniendo en cuenta que la fecha de expedición del DNI es del año 2000 y el contrato de financiación de 2007 por lo que resulta factible que se haya podido producir un cambio de domicilio en dicho interregno. Además, según consta en el contrato de compraventa se trata de una venta en el domicilio del cliente, no en el establecimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Esta Sala ha venido reiterando, véase SAN, 8 de junio 2006 (Rec. 244/04) que si bien ni la normativa civil o mercantil, ni la específica aplicable a los consumidores y usuarios, establece que sea condición necesaria la solicitud de una copia del DNI o pasaporte a todos aquellos consumidores o usuarios que quieran contratar un determinado servicio con un empresario o profesional, ello no puede interpretarse, en el sentido de que le excuse de exigir medidas de prevención. Por tanto, decíamos en dicha sentencia “no es obligatoria la copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse, a título de ejemplo, en la repetida copia del DNI, y que, como hemos visto, no han sido adoptadas por la entidad demandante”. Se trata en definitiva de que “se verifique la identidad del solicitante de los servicios mediante la exigencia de fotocopia del documento que acredite dicha identidad, a fin de contratar y facilitar el servicio a la persona que efectivamente lo reclama”. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. G. G. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” De acuerdo a estos criterios, se puede entender que Jazztel empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación. En consecuencia, no cabe apreciar culpabilidad alguna en la actuación de esta entidad que trató los datos personales de la denunciante en la creencia de que se correspondían con los de la persona que solicitó la portabilidad. De este modo, la existencia de la grabación verificada por entidad independiente y la culminación sin rechazo del proceso de portabilidad dotan a dicha contratación por parte de la entidad denunciada de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad necesario para ejercer la potestad sancionadora, y que desde la perspectiva de la LOPD acreditaría la actuación de Jazztel con diligencia suficiente. Jazztel ha aportado una grabación en la que se recoge la portabilidad de las dos líneas reseñadas, tanto la del teléfono fijo como la del móvil. Junto a ello debe resaltarse que Jazztel ha acreditado que tras conocer la denuncia presentada ante la Policía, con fecha 19 de septiembre de 2013, determinó que había existido un alta fraudulenta, procediendo a regularizar los importes facturados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 por los servicios prestados tanto en telefonía fija como móvil, no constando en la actualidad ningún importe pendiente de pago asociado a la denunciante. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a Jazztel una vulneración de la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: - PROCEDER AL ARCHIVO de las presentes actuaciones. - NOTIFICAR la presente Resolución a JAZZ TELECOM, S.A.U., y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es