E-02035-2013

1/8 Expediente Nº: E/02035/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades TELEFONICA MOVILES ESPAÑA S.A.U. y EXPERIAN BUREAU DE CREDITO, S.A en virtud de denuncia presentada por Doña A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de enero de 2013, tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante) frente a las Entidades EXPERIAN BUREAU DE CREDITO, S.A. y TELEFONICA MOVILES ESPAÑA S.A.U. en lo sucesivo el/la denunciado/

1. a)en el que denuncia de manera sucinta que: “La inclusión de los datos de su representada en el fichero de morosos— Badexcug—siendo la Entidad informante—Telefónica (Movistar) como consecuencia de un teléfono móvil con nº ***TEL.1 o algún otro servicio vinculado al mismo…que mi mandante no tiene y que presuntamente habría adquirido o contratado en Madrid y que como consecuencia del impago la habían incluido en un registro de morosos”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 25/04/2013 se solicita a EXPERIAN BUREAU DE CREDITO, SA información relativa al afectado y de la respuesta recibida se desprende lo siguiente: - Respecto del fichero BADEXCUG: No consta información activa en el momento de realizar las comprobaciones. - Respecto del fichero de NOTIFICACIONES: Consta una notificación enviada a nombre de la afectada como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por MOVISTAR. La notificación fue emitida con fecha 19/05/2011, por deuda de 108,36 euros. - Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. Consta una operación impagada informada por “TELEFONICA MOVILES” con fecha de alta de 18/05/2011 y fecha de baja de 08/05/2013. En el momento de la baja la deuda asciende a 727,36 euros. Con fecha 25/04/2013 se solicita a TELEFONICA MOVILES ESPAÑA SAU información relativa a la afectada y de la respuesta recibida se desprende lo siguiente: - Respecto de los productos que constan de alta a su nombre: Consta el alta de la línea numero ***TEL.1 a nombre de la denunciante con fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 de alta 03/01/2011. Consta como fecha de baja 09/05/2011, motivada por la falta de pago. Figura como domicilio una dirección de Madrid. La venta se formalizó a través de teléfono. Se aporta copia de la grabación de la conversación telefónica mediante la que se contratan los servicios. Aportan también grabación correspondiente a la VPT, realizada por la entidad “Argonauta”. En las grabación de contratación el agente comercial confirma con el interlocutor (contratante) los datos de nombre y apellidos, dirección (de Madrid), número de DNI, y titularidad del número ***TEL.1. Se especifica la adquisición, asociada a la contratación, de un terminal del tipo “iphone” a coste reducido. En la grabación de verificación se confirman de nuevo los datos, incluido el número ICC del SIM y se informa de la próxima portabilidad desde Vodafone prepago a Movistar. Aportan así mismo copia del albarán de entrega del terminal asociado a la contratación. En el recibí del albarán se encuentra manuscrito el nombre y apellidos de la denunciante a modo de firma, con el número de DNI. No se parece a la firma de la denunciante que consta en su denuncia ante esta Agencia, ni a la que figura en la copia de su DNI. MOVISTAR no aporta los contactos mantenidos con el cliente ni copia del expediente en papel que recoja las reclamaciones efectuadas por la afectada y las contestaciones a las mismas, manifestando los representantes de la entidad que la afectada en ningún momento se ha puesto en contacto con la entidad ni ha interpuesto reclamación alguna ante organismo competente. Indican que ha sido a raíz del presente expediente de investigación de la Agencia, cuando han tenido conocimiento de los hechos determinando que se ha producido una suplantación de identidad en la contratación de la línea. Indicar a este respecto que la afectada ha aportado a esta Agencia copia de dos burofax certificados con acuse de recibo, el primero dirigido a MOVISTAR DISTRITO TELEFONICA EDIFICIO SUR 3 RONDA DE LA COMUNICACIÓN s/N 28050 MADRID” y el segundo a “TELEFONICA MOVILES ESPAÑA, MOVISTAR, EDIFICIO SUR 3 RONDA DE LA COMUNICACIÓN S/N 28050 MADRID”, constando en las pruebas de entrega que han sido debidamente entregados. En el primero, con certificación de contenido de fecha 3/9/2013, la afectada solicita la documentación sobre la contratación de la línea ***TEL.1 (contrato, facturas, grabación de voz… ). En el segundo, certificado el 3/12/2013, la denunciante indica que no ha contratado y ha sido incluida en fichero de morosos, así como que han desatendido las comunicaciones que les ha efectuado. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso, se procede a analizar la reclamación presentada por la Letrada Doña –B.B.B., en representación de Doña A.A.A. en el que de manera sucinta pone de manifiesto ante esta AEPD los siguientes “hechos” por si pudieran ser constitutivos de infracción administrativa. “La inclusión de los datos de su representada en el fichero de morosos— Badexcug—siendo la Entidad informante—Telefónica (Movistar) como consecuencia de un teléfono móvil con nº ***TEL.1 o algún otro servicio vinculado al mismo…que mi mandante no tiene y que presuntamente habría adquirido o contratado en Madrid y que como consecuencia del impago la habían incluido en un registro de morosos”. El artículo 3
3. h)LOPD define el "consentimiento del interesado" como "Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. En fase de instrucción—ex art. 78 Ley 30/92—se procede a solicitar información a la Entidad denunciada—Telefónica—en relación con la línea objeto de controversia: ***TEL.1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 La Entidad—Telefónica (Movistar) en la forma que en mejor Derecho proceda en fecha 12/07/13 manifiesta que: “La Sra. A.A.A. figura en sus sistemas como titular de la línea ***TEL.1, dada de alta el 03/01/11 bajo la modalidad “PLANAZO+ Sin Horarios”, causando baja el 09/05/11”. En cuanto al procedimiento para efectuar la contratación, la Entidad denuncia— Telefónica—alega que la misma se realizó mediante grabación, que consta en sus sistemas efectuada en fecha: 22/12/2010. Item, aporta un albarán de entrega de un terminal de telefonía móvil, que consta debidamente cumplimentado, con los datos de la denunciante: Doña A.A.A. y con el DNI de ésta—***DNI.1—entregado en la siguiente dirección: (C/.......................1)(Madrid), constando un reembolso por importe de 19€. Tras escuchar la grabación aportada por la Entidad denunciada—Telefónica—la contratación es realizada por una voz de mujer, que procede a dar los datos de la denunciante y está en disposición de conocer el nº de DNI de esta: ***DNI.1. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido. Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD". Por tanto, la Entidad denunciada—Telefónica—ha adoptado una “mínimas” cautelas para asegurarse de la identidad de la titular de los datos, siendo objeto de “engaño malicioso” por un tercero con la finalidad de obtener un beneficio de carácter económico; acreditando mediante una grabación de voz (contrato) que disponía del “consentimiento” de la afectada para el alta del servicio y el ulterior tratamiento de los mismos (vgr. mediante la emisión de facturas). Sobre las intervenciones “dolosas” de terceros, se ha pronunciado la Audiencia Nacional—SAN 22/03/12 (Rec. Nº 9/2009) en dónde pone de manifiesto que: “Es cierto que el denunciante no ha dado su consentimiento para el tratamiento de sus datos de carácter personal por parte de Caixa D' Estalvis de Catalunya, pero no lo es menos que nos hallamos ante un supuesto de uso fraudulento de su identidad por parte de un tercero, que es la persona que efectúo la compra en el establecimiento Lamas Bolaño Subastas S.A., que se hizo pasar por D. XXXXXXXXXX , utilizando y exhibiendo documentación que le identificaba como tal, por lo que nada hacía sospechar que dicha persona no era quien aparentaba ser”. Por todo lo cual y a la vista de las especiales circunstancias concurrentes en el caso de autos, no cabe apreciar culpabilidad alguna (ni siquiera a título de culpa o falta de diligencia) en la actuación de la entidad recurrente, que actuó en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal con una documentación en apariencia auténtica y a ella correspondiente, por lo que estaba legitimada para el tratamiento de sus datos de carácter personal. En consecuencia, al faltar uno de los requisitos exigidos para la imposición de sanción por vulneración del principio del consentimiento consagrado en el artículo 6.1 de la LOPD, procede dejar sin efecto la sanción impuesta por la comisión de dicha infracción." Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). Respecto a la naturaleza de los “hechos” denunciados, sin más disquisiciones, todo apunta a que nos encontramos ante un presunto hecho delictivo (vgr. delto de estafa de los regulados en el art. 248 y ss LO 10/195), careciendo esta AEPD de competencias para entrar en el fondo del asunto, que deberá ser objeto de denuncia, en su caso, ante el Juzgado de Instrucción del lugar dónde se hayan cometido los hechos en ordena su esclarecimiento. Dentro del marco de la protección de datos, se procede a denunciar a la Entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 —Experian (Badexcug)--. Los registros denominados coloquialmente de “morosidad” se encuentran regulados en el art. 29 de la LOPD—LO 15/99—y en el desarrollo reglamentario de dicha ley, en concreto en los arts. 37 a 44 del RD 1720/2007, 21 de diciembre (RLOPD) y tienen como finalidad reunir información sobre las personas que han tenido un impago (y que no han liquidado) o tienen alguna deuda pendiente. El art. 29.2 LOPD—LO 15/99—dispone que: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. La denunciante ejercitó derecho de acceso frente al fichero de solvencia patrimonial y crédito ”Badexcug” el cual fue objeto de contestación en tiempo y forma en fecha 16/11/12. “En respuesta a su escrito recibido en nuestras oficinas el día 16/11/12 en el que nos solicita el acceso a los datos asociados al identificador ***DNI.1, tras realizar las comprobaciones pertinentes le comunicamos lo siguientes (…)”. Por lo que no se aprecia infracción alguna en la Entidad denunciada—Experian Bureau de Crédito S.A (Badexcug) en el marco de la Legislación vigente en materia de protección de Datos. Cabe señalar a título informativo que en este supuesto, el acreedor—Telefónica Móviles--, es el responsable de que los datos cumplan los requisitos de veracidad y exactitud que la LOPD establece, puesto que, como tal, es el único que tiene la posibilidad de incluir los datos de su deudor en el fichero de información sobre solvencia patrimonial y crédito y de instar la cancelación de los mismos cuando la deuda sea inexistente o haya sido saldada. Se deberá, por tanto de estimarlo oportuno, dirigir la correspondiente solicitud con la copia de la presente Resolución, a la Entidad acreedora—Telefónica—para que proceda si no lo ha realizado a “excluir” los datos de la afectada de cualquier tipo de fichero de solvencia patrimonial y crédito—derecho de cancelación--; todo ello mediante un medio que permita acreditar el envío y la recepción del mismo (vgr. Correo certificado mediante acuse de recibo); transcurrido el plazo legalmente establecido sin que los “derechos” de la afectada se hayan visto atendidos se podrá presentar nueva denuncia ante la AEPD, por presunta infracción del art. 4.3 LOPD al incluir “una deuda” originada según manifestación de Telefónica “víctima del engaño de un tercero” en un fichero de “morosidad” sin causa legal para ello; asumiendo—Telefónica-- plenamente las consecuencias legales oportunas. En base a lo expuesto, tras el análisis de la documentación aportada y de las pruebas realizadas, se acuerda el Archivo del presente procedimiento. Por lo tanto, de acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a las Entidades --EXPERIAN BUREAU DE CREDITO, S.A--., y --TELEFONICA MOVILES ESPAÑA S.A.U.-- y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es