E-01508-2016

1/6 Expediente Nº: E/01508/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad THE PHONE HOUSE S.L.U. (TIENDA C.C. XXXX) en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 26 de febrero de 2016, tuvo entrada en esta Agencia escrito de Dª. A.A.A. (en lo sucesivo la denunciante) en el que denuncia que con fecha 12 de febrero de 2016 llevó a arreglar su teléfono Iphone 6 al establecimiento de la empresa THE PHONE HOUSE S.L.U, sito en el Centro Comercial XXXX y que una semana más tarde es informada de un nuevo presupuesto rechazando el arreglo del mismo. Con fecha 23 de febrero de 2016 y justo antes de pasar por la tienda, accede al ordenador de su casa a su correo electrónico pudiendo observar que en la carpeta de mansajes enviados consta un mensaje remitido desde la dirección de correo electrónico: D.D.D., a la dirección de correo C.C.C., con fecha 12 de febrero de 2016 y que contenía doce fotografías de la denunciante, adjuntas al mismo. Una vez personada en la tienda, el empleado le manifiesta que dicha dirección de correo es suya pero que desconoce quién ha podido remitir las fotografías desde el teléfono. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1.- Con fecha 4 de mayo de 2016, se realizó inspección en los locales de la empresa THE PHONE HOUSE, S.L., ubicados en el Centro Comercial XXXX, poniéndose de manifiesto que: 1.1 La tienda de THE PHONE HOUSE en la que se realiza la inspección, cuenta con un servicio técnico encargado de la reparación de terminales, dichas reparaciones son realizadas por personal de la tienda, excepto en los terminales de la marca Apple, o aquellos cuya reparación es más compleja, que son remitidos al servicio técnico centralizado de THE PHONE HOUSE, ubicado en Coslada. 1.2 Cuando un cliente solicita la reparación de un terminal, fuera de garantía, se elabora un primer presupuesto escrito cuya copia se le entrega. Si posteriormente el servicio técnico detecta otros daños informa del nuevo presupuesto mediante el envío de un SMS al número facilitado por el cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 1.3 En los casos de los terminales que son remitidos al Servicio técnico centralizado, éstos son introducidos en un sobre precintado en presencia del cliente. Todos los sobres con terminales son introducidos en una valija cerrada con bridas. 1.4 Una vez al día, entre las 12 y las 13 horas, un mensajero de la empresa de DELTA GLOBAL LOGISTICA, S.A., con la que tienen suscrito un contrato de prestación de servicios, recoge las valijas con los terminales para reparar y los trasporta hasta el servicio técnico de THE PHONE HOUSE ubicado en Coslada. El mensajero firma un albarán de recogida que queda custodiado en la tienda. 1.5 Los servidores de correo electrónico se ubican en Inglaterra y son gestionados por los servicios propios de la empresa matriz denominada Carphone Warehouse PLC. 1.6 En relación con el correo electrónico remitido desde la cuenta D.D.D. a la cuenta C.C.C., manifiestan que estos mismos hechos fueron denunciados por la cliente ante la policía. 1.7 La dirección de correo electrónico C.C.C. pertenece a D. B.B.B., trabajador de THE PHONE HOUSE encargado de las reparaciones en la tienda. Este trabajador se encontraba presente en el momento de la inspección y realiza las siguientes declaraciones: -El día 12 de febrero de 2016 la cliente se personó en la tienda, previa cita, para la depositar el terminal a reparar. El terminal fue remitido al servicio técnico de THE PHONE HOUSE siguiendo el procedimiento establecido, según consta en la propia orden de reparación (que aportó la entidad denunciada), donde figura fecha de entrega 12.02.2016 y fecha de reparación 19.02.2016 y del albarán de entrega a la empresa de transporte junto con la relación de terminales que recogieron ese día. Tras informar a la cliente de que el presupuesto era provisional, esta mostró su desacuerdo lo que dio lugar a una discusión con el técnico de la tienda. -Posteriormente la cliente fue informada desde el servicio técnico de Coslada a través de SMS del precio final de la avería y la cliente rechazó el nuevo presupuesto, pasando a recoger su terminal en la tienda donde lo entregó, haciéndosele entrega de una copia de la Orden de reparación donde figuraba el nuevo presupuesto. -En ningún momento recibió en su dirección de correo electrónico un correo desde la dirección D.D.D. con fotografías. -Estos mismos hechos fueron denunciados ante la Policía, donde fue citado para prestar declaración, que se adjuntan a estas actuaciones. -Asimismo, manifiesta que su dirección de correo electrónico figura en la publicidad que se encuentra disponible al público en la tienda. 1.8 Mediante el acceso por parte de D. B.B.B. , titular de la dirección de correo electrónico C.C.C., se realizan las siguientes comprobaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 1.8.1 Se realiza una búsqueda de la dirección de correo electrónico D.D.D. en las bandejas de entrada, eliminados y correo no deseado, obteniendo como resultado la existencia en la bandeja de correos eliminados de un correo entrante que corresponde a la cita previa realizada por la titular de dicho correo. 2.- Los inspectores de la Agencia solicitaron a la representante de la entidad que en el plazo de 10 días hábiles remitiese a dicho organismo copia de diferente documentación relacionada con los hechos denunciados, por no encontrarse disponible en el momento de la inspección, así como copia de los registros del servidor de correo electrónico ubicado. 3.- Con fecha 27 de junio de 2016, se recibió en esta Agencia escrito de la entidad The Phone House, S.L.U., con el que se adjunta la siguiente documentación: 3.1 Copia del manual donde se especifica el procedimiento de envío y recepción de equipos al Servicio Técnico, descrito en el apartado 1 del Acta de inspección E/1598/2016-I/1. 3.2 Copia del contrato de trabajo suscrito con D. B.B.B. donde figura una cláusula de confidencialidad firmada por el interesado. 3.2.1 Copia del contrato suscrito con la empresa prestadora del servicio de recogida y entrega de terminales al servicio técnico. 3.2.2 Con relación a los registros (logs) se borran a los treinta días desde que se producen, no obstante si cuentan con la dirección IP desde la cual fueron enviados los correos: F.F.F.. Los rangos IP de las tiendas Phone House van desde H.H.H. al G.G.G., luego no pudieron ser enviados desde la tienda. 4.- Con fecha 26 de julio de 2016, se accede a través de Internet a la dirección RIPE.net, verificando que la dirección IP E.E.E. corresponde al IANA.ORG, lo que quiere decir que no se encuentra asignada a ninguna entidad. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 2.1 de LOPD, al respecto del ámbito de aplicación de dicha ley, establece lo siguiente: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Por su parte, el artículo 5.
2. f)del Reglamento de Desarrollo de la LOPD, aprobado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 por Real Decreto 1720/2007, de 21 de diciembre, define como dato de carácter personal: “
3. f)Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.”(el subrayado es de la Agencia Española de Protección de Datos) Por tanto, hemos de considerar que la propia imagen ha de ser considerada como un dato de carácter personal, si de la misma se puede realizar una identificación del afectado, cualquiera que fuere, por el tratamiento. Por tanto, sobre la misma recaerían los límites en su tratamiento que establece la normativa en materia de protección de datos. III El artículo 6 de la LOPD, al respecto del consentimiento para el tratamiento de datos, nos dice en su punto 1º lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” Así, el consentimiento se erige en la piedra angular sobre la que ha de girar el tratamiento de datos por parte de un tercero, distinto del titular de los datos afectado. Así, el Tribunal Supremo , en su sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), ha definido el consentimiento como “… un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso(...).” Nos encontramos ante un ámbito en el que el tratamiento de datos se vincula, de forma general, con la existencia previa del consentimiento del titular del dato para el efectivo tratamiento y comunicación de datos. IV En el presente caso debe ponerse de manifiesto que, a partir de las actuaciones practicadas por esta AEPD frente a los denunciados, no puede determinarse, de forma fehaciente, que el denunciado o la entidad en la que éste desarrolla su actividad profesional hayan sido responsables directos de la remisión de imágenes personales de la denunciante contenidas en el teléfono móvil de ésta, a la dirección de correo electrónico de dicho denunciado, ni tan siquiera que las mismas fueran efectivamente recibidas en dicha dirección de correo. No se ha podido determinar de forma inequívoca la autoría de los hechos lo que impide la imputación de una infracción de la LOPD a los denunciados y responsabilidad en dichos hechos, en la medida en que no consta que la dirección de la I.P. desde donde se mandó el correo se vincule con la tienda en la que trabaja el denunciado o con éste, ni consta que éste haya recibido, de forma efectiva, en su dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 electrónico dichas imágenes, lo que impide determinar que se haya dado traslado de los datos custodiados por PHONE HOUSE y contenidos en su móvil, a un tercero y se haya actuado contra el derecho a la protección de datos de la denunciante. Hemos de tener en cuenta que al Derecho Administrativo Sancionador como aquél que despliega esta AEPD al respecto de las posibles infracciones de la LOPD, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el art. 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa a un tercero cuando no se pueda determinar de forma fehaciente la responsabilidad de éste en los hechos supuestamente infractores, dado que, en caso contrario se quebraría el derecho a la presunción de inocencia de éste, consagrado en nuestro sistema jurisdiccional, lo que, en el presente caso y vistas las actuaciones previas practicadas por esta AEPD, impide articular un procedimiento sancionador por infracción de la LOPD, al carecer de elementos suficientes para determinar la efectiva concurrencia de una actividad contraria a la LOPD imputable a los denunciados Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a THE PHONE HOUSE S.L.U. (TIENDA C.C. XXXX) y a Dª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es