E-01531-2014

1/7 Expediente Nº: E/01531/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades AEGON ESPAÑA, S.A., de Seguros y Reaseguros, y COFIDIS S.A., SUCURSAL EN ESPAÑA, en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 21/01/2014 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que manifiesta que el 16/01/2014 ha recibido por correo electrónico y por carta comunicaciones de AEGON ESPAÑA, S.A., de Seguros y Reaseguros, (en lo sucesivo, AEGON o la denunciada) y de COFIDIS S.A., SUCURSAL EN ESPAÑA, (COFIDIS o la denunciada) respondiéndole a una supuesta petición, que nunca hizo, para contratar sus servicios. Estas comunicaciones evidencian que las empresas denunciadas poseen información suya de carácter personal, como su nombre completo, su DNI, teléfono móvil particular, dirección electrónica y domicilio. Acompaña a la denuncia los siguientes documentos: Copia de un correo electrónico enviado al denunciante por AEGON con el siguiente texto: “Estimado D. (…) A.A.A.: Se ha recibido tu solicitud de información sobre el producto Seguro de Vida 2. En breve nos pondremos en contacto contigo”. Carta enviada por COFIDIS a nombre del denunciante comunicándole que “según los datos que nos ha aportado, su petición de crédito para un importe de 500 euros ya está en marcha”. En los documentos que COFIDIS le envía con la carta para su cumplimentación constan, ya impresos, los siguientes datos del denunciante: nombre completo, domicilio y DNI. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ANTECEDENTES Con fecha de 21 de enero de 2014 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: <<Desde el día 16/01/2014 he recibido diversas solicitudes de distintos tipos de servicios dados de alta a través de Internet (formularios de la web C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 correspondiente) con la información de mi nombre completo, teléfono móvil, DNI y correo electrónico según el caso. Entre ellos solicitud de seguro de vida a Aegon seguros (adjunto Email) recibiendo llamada desde el teléfono comercial correspondiente ***TEL.1, el día 16/01/2014 a las 11:52, para ofrecerme el supuesto servicio solicitado. Comprobando que exactamente recibía el citado e-mail con el resguardo de la solicitud que supuestamente había formalizado por su página web a mi dirección de email personal: ........@gmail.com El día 20/01/2014 a las 14:18 recibí la llamada desde el teléfono ***TEL.2 de Endesa informando de la recepción de una solicitud de mi persona con nombre, teléfono y correo electrónico (no coincidente con ninguno mío): ........1@gmail.com, informándome de la solicitud de presupuesto de una caldera para mi domicilio en ***LOCALIDAD.1 (del que estoy empadronado, pero actualmente no resido allí por motivos laborales). En este caso solo recibo la llamada, ningún email al no coincidir con el mío personal. Y durante el día de hoy, me informan desde el domicilio de mis padres (como indicaba el que me encuentro empadronado) que recibo una carta (adjuntada fotocopia) con la solicitud de un préstamo de 500€, con todos mis datos incluidos dirección, email, teléfono personal, DNI. Con esto quisiera denunciar este hecho y poner a vuestra disposición la información pertinente>> Aporta el denunciante copia de la siguiente documentación: - Correo electrónico de fecha 16/1/2014 remitido por AEGON España por el que se le informa que se ha recibido su solicitud de información y que en breve se pondrán en contacto. - Carta de fecha 16/1/2014 remitida por COFIDIS al denunciante en relación a una solicitud de un crédito recibida por la entidad. ACTUACIONES PREVIAS 1. De la información y documentación aportada por AEGON se desprende: a. Aporta la entidad resultado de una consulta a sus sistemas, según la cual dispone de los siguientes datos relativos al denunciante: nombre, apellidos, teléfono móvil y correo electrónico. b. Según informa la entidad, los datos del denunciante fueron recibidos a través de formulario web previsto en la página web http://marketingonline.aegon.es......../, titularidad de AEGON, con la finalidad de recibir información comercial de esta compañía. Asimismo, aceptó la Política de protección de datos y privacidad a través de la marcación de una casilla habilitada al efecto, y cliqueó sobre la pestaña “Solicitar más información”. Los datos fueron facilitados el 15 de enero de 2014 y no consta registro de la dirección IP origen de dichos datos. c. Para verificar la identidad del interesado, AEGON informa haber realizado una llamada telefónica el 16 de enero de 2014, la cual fue grabada y conservada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 En esta llamada, el destinatario se identifica y confirma ser A.A.A., sin embargo, manifestó no tener interés en la llamada, por lo que AEGON marcó este contacto como “sin interés”. d. AEGON no tiene constancia de reclamación presentada por el denunciante, ni por parte de terceros en su nombre. Tampoco ha ejercitado los derechos de acceso, rectificación, cancelación u oposición al uso o tratamiento de sus datos. 2. Solicitada información a COFIDIS, la entidad informa que: a. A través de su página web se rellenó un formulario con los datos relativos al denunciante, en el que se informaron los siguientes datos: - Nombre y apellidos: A.A.A.. - Domicilio postal: (C/.........1) de ***LOCALIDAD.1 (Jaén). - E-mail: ........1@gmail.com - DNI: ***DNI.1. - Fecha nacimiento: DD/MM/AA. - Nacionalidad: ES (español) - Teléfono fijo: ***TEL.3 - Teléfono móvil: ***TEL.4 - Salario: **** euros - Datos vivienda: PR (propiedad) b. Dichos datos fueron facilitados el día 16 de enero de 2014 a través de su formulario web, al que se accedió a las 12:53:50 horas, finalizándose la cumplimentación del formulario a las 13:10:38 horas, desde la dirección IP ***IP.1. 3. De la dirección aportada por TELEFÓNICA DE ESPAÑA S.A.U. resulta que el abonado de la entidad que tuvo asignada dicha dirección IP en fecha 16 de enero de 2014 a partir de las 12:23 horas fue AFITELIA, con domicilio de instalación en calle (C/.............2) (Granada).>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 El artículo 6 de la LOPD, bajo la rúbrica “Consentimiento del afectado” establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El precepto citado consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues solo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)”. III La denuncia que examinamos versa sobre el tratamiento de los datos personales de D. A.A.A., sin su consentimiento, efectuado por las empresas AEGON y COFIDIS, que han gestionado a su nombre solicitudes de alta de algunos de los producto o servicios que prestan y a las que el denunciante declara ser ajeno. El denunciante conoció que sus datos personales obraban en los ficheros de COFIDIS por la carta que recibió en el domicilio de sus padres respondiéndole a la supuesta petición de un crédito e informándole que ya estaba en marcha. Adjuntos a la carta le remitían los documentos del contrato de préstamo para que los devolviera firmados. En estos documentos aparecen impresos sus datos personales: nombre completo, domicilio, DNI, y una dirección electrónica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 COFIDIS respondió al requerimiento informativo que le hizo la Inspección de Datos e informó que el 16/01/2014, a las 12:53:50, recibió en su página web (http://www.cofidis.
2. es)a través del formulario web, una solicitud de crédito a nombre del denunciante en la que constaban sus datos personales. Esto generó una “preaceptación” de la solicitud y el envío posterior a la dirección que había facilitado a través del formulario web –en la (C/.............1), de ***LOCALIDAD.1, Jaén - de la solicitud de crédito y de las condiciones generales. Según declaró, la información relativa al denunciante incluida en el formulario web de la entidad fue su nombre y apellidos, domicilio postal y email, DNI, fecha de nacimiento, nacionalidad, teléfono fijo y móvil, salario y datos de la vivienda. Es importante subrayar que COFIDIS ha manifestado que la entidad no acepta o rechaza la operación financiera hasta que, tras haberse cumplimentado el formulario web, recibe del interesado la documentación que se le remitió a su domicilio firmada y acompañada de la copia del DNI. Respecto a AEGON, el denunciante conoció que tenía en su poder sus datos personales por el mail que recibió el 16/01/2014, en el que se dirigen a él por su nombre y dos apellidos y le comunican que han recibido su solicitud de información sobre el producto Seguro de Vida 2 y que en breve se podrán en contacto con él. El día 16/01/2014, a las 11:52 el denunciante recibió una llamada de esa entidad, desde el número ***TEL.1, para ofrecerle el servicio que supuestamente había solicitado. AEGON informó a la AEPD durante la práctica de las actuaciones de investigación previa que en los ficheros de los que es titular constan los datos personales del denunciante –nombre, apellidos, teléfono móvil y dirección electrónica- y que éstos se obtuvieron “directamente del denunciante a través de un formulario web de recogida de datos”. Añadió que el 15/01/2014, a las 21: 18 horas, los datos del denunciante se introdujeron a través de un formulario web del que AEGON es titular (http://marketingonline.aegon.es......../) con la finalidad de recibir información comercial de la compañía; que aceptó la política de privacidad de la empresa; y que cliqueó sobre la pestaña recibir más información. La entidad manifestó que con el fin de “verificar la identidad del interesado” efectuó una llamada telefónica el 16/01/2014, que fue grabada y que se conserva, en la que el destinatario de la llamada se identificó con el nombre y apellidos del denunciante (A.A.A.) y declaró no tener interés en el producto. Declaración que coincide con el relato de los hechos que hace el denunciante, hasta el punto que en la documentación que la entidad nos ha remitido, procedente de sus sistemas informáticos, consta que la llamada se hizo el día 16/01/2014 a las 11:44 horas, casi la misma hora en la que el denunciante dijo haberse producido. A la vista de la información facilitada por las dos entidades denunciadas se concluye que en el presente caso procede el archivo de las actuaciones seguidas contra AEGON y COFIDIS ante la ausencia en los hechos analizados del elemento subjetivo de la culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Si bien las conductas examinadas pudieran constituir, a priori, una vulneración del artículo 6.1 de la LOPD no son merecedoras de reproche o sanción administrativa conforme a la LOPD, pues la presencia del elemento subjetivo de la infracción es esencial para exigir responsabilidad en el marco del Derecho Administrativo sancionador. La razón es que ambas entidades (AEGON y COFIDIS) han observado en el desarrollo de su actividad empresarial el grado de diligencia que es exigible a fin de garantizar el derecho fundamental a la protección de datos personales. La diligencia observada por AEGON consistió en contactar telefónicamente para verificar la identidad de quien había introducido como suyos los datos de carácter personal del denunciante a través del formulario web de la compañía. Respecto a COFIDIS, la diligencia se materializa en que, pese a haber recibido a través del formulario web los datos del interesado y una solicitud para contratar un préstamo, antes de aceptar o rechazar la operación financiera solicitada la entidad espera a tener en su poder, debidamente firmado, el documento escrito del contrato que se remite al domicilio del interesado junto con la copia de su DNI, lo que constituye una cautela adicional a fin de garantizar que coinciden la identidad del solicitante del contrato y del titular de los datos personales que han sido objeto de tratamiento. Las cautelas que estas entidades han adoptado para verificar la identidad de quien facilitó como suyos unos datos personales –en este caso los datos del denunciante- evidencia un comportamiento diligente y priva a su conducta del elemento subjetivo de la culpabilidad. Conforme al principio de culpabilidad, que rige sin excepciones en el ámbito del Derecho Administrativo sancionador, no cabe exigir responsabilidad por conductas “antijurídicas”, como podría ser en el asunto que nos ocupa el tratamiento de los datos del denunciante por AEGON y COFIDIS, sin que esté presente también el elemento de la culpa, sea a título de dolo, negligencia o mera inobservancia. La Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) en su artículo 130.1 dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Resulta muy esclarecedora la Sentencia de la Audiencia Nacional de 29/04/2010, en la que se afirma que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. En consideración a lo expuesto y a la vista de la documentación que obra en el expediente, procede el archivo de las presentes actuaciones de investigación por ausencia del elemento subjetivo de la culpabilidad; esencial para exigir responsabilidad en el marco del Derecho Administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a AEGON ESPAÑA S.A. de Seguros y Reaseguros, COFIDIS S.A., SUCURSAL EN ESPAÑA, y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es