E-03851-2013

1/6 Expediente Nº: E/03851/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SVENSON CLINICA CAPILAR, en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 25 de septiembre de 2012, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A., en el el que manifiesta que la CLÍNICA SVENSON había facilitado a un tercero un presupuesto realizado a su nombre. Esa tercera persona lo aportó a un procedimiento judicial, adulterándolo, habiéndolo obtenido suplantando su personalidad frente a SVENSON, hecho que se encuentra denunciado mediante querella ante el Juzgado de Instrucción de Leganés. Esa denuncia fue contestada indicando que los hechos denunciados, pudieran ser calificados como delictivos, de acuerdo a lo previsto en la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, por lo que el conocimiento de éstos, como indica el artículo 7 del Real Decreto 1398/1993, de 4 de Agosto por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, debiera ser planteado, como así manifiesta la denunciante, ante los órganos jurisdiccionales penales competentes en razón de la materia y no por este órgano administrativo, por lo que no cabría actuación de esta Agencia Española de Protección de Datos en tanto en cuanto no existiera pronunciamiento judicial al respecto y no fuera informada esta Agencia, del sentido del mismo. No se iniciaron Actuaciones Previas de Investigación. SEGUNDO: Tras la recepción de la Resolución indicada, Doña A.A.A. interpuso recurso de reposición insistiendo en qué CLÍNICA SVENSON había facilitado sus datos a una tercera persona. El recurso de reposición fue estimado y se resolvió iniciar Actuaciones Previas de Investigación tendentes a verificar los hechos denunciados. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: - Doña A.A.A. acudió al centro Svenson del CC Parquesur de Leganés, en fecha 13 de marzo de

1. Siguiendo su procedimiento interno, rellenó y firmó la hoja con sus datos personales. - Durante la visita se realizó una consulta capilar y se le presupuestó un tratamiento. Los datos quedaron registrados en los ficheros informatizados. No llegó a contratar el tratamiento. - Desconocen si la denunciante les ha denunciado en la vía penal ya que no tienen constancia de ninguna demanda contra ellos ni de ninguna sentencia sobre el tema. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 - Doña A.A.A. ejerció el derecho de acceso a sus datos, enviándole copia por correo certificado de la documentación que constaba en su expediente. CUARTO: Tras el estudio detallado de la documentación aportada, se constata que entre la documentación que se facilitó tras el ejercicio del derecho de acceso, está el formulario de recogida de datos firmado por la denunciante, en la que consta el correo electrónico ................@hotmail.com. En la ficha de cliente automatizada se observa en el apartado “Comentarios” hay otros tres correos electrónicos. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En orden a precisar el alcance antijurídico de los hechos denunciados, hemos de señalar, en cuanto al tratamiento de los datos de la denunciante por parte de Svenson, que el artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso, consta acreditado que la denunciante dio voluntariamente sus datos a la entidad Svenson y que esta tenía el consentimiento para tratarlos. En cuanto a facilitar tales datos a un tercero, el artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el presente caso, Svenson realizó un presupuesto a la denunciante, en fecha 23 de marzo de 2010, en el que se indicaba su nombre y dirección y el detalle siguiente: “Test Hair DX + 25 tratamientos combinados (higiene aparte) 1780,00 €. Transcurrido más de un año y medio recibieron una llamada telefónica, en el propio centro dónde se efectuó la consulta, solicitando que le enviaran nuevamente el presupuesto a una dirección de correo electrónico muy similar a la que facilitó la propia interesada en su formulario de recogida de datos. Posteriormente, se solicitó de nuevo el envío del presupuesto con la indicación del motivo del tratamiento, que era normalizar la caída excesiva que presentaba. Lo que se dilucida en el supuesto presente es la actuación de Svenson. En este sentido, hay que señalar que contaba con el consentimiento de la denunciante para el tratamiento de sus datos y que la persona que llamó indicando que era la propia denunciante conocía que había acudido a ese centro Svenson, en concreto, del Centro Comercial de Leganés, y que había solicitado un presupuesto para realizar un tratamiento tendente a minorar la caída del cabello. La Audiencia Nacional ha venido indicando en sus Resoluciones que a las empresas que tratan datos hay que exigirles una diligencia específica en dicho tratamiento. Así, la Sentencia de 29 de abril de 2010, recurso nº 700/2009 señala: “Por tanto, decíamos en dicha sentencia “no es obligatoria la copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse, a título de ejemplo, en la repetida copia del DNI, y que, como hemos visto, no han sido adoptadas por la entidad demandante”. Se trata en definitiva de que “se verifique la identidad del solicitante de los servicios mediante la exigencia de fotocopia del documento que acredite dicha identidad, a fin de contratar y facilitar el servicio a la persona que efectivamente lo reclama. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. GG.” De la misma forma, en Sentencia de la misma fecha, nº recurso 76/2009, especificaba la Audiencia Nacional lo siguiente: “Obra a los folios 553 y 554 del expediente administrativo el “Contrato de acceso al teléfono a precio especial" a nombre de don GVCG de fecha 27/11/2003, con el número de DNI y el resto de datos personales, así como la impresión de pantalla de los datos del afectado que figura en sus ficheros, sin que nada hiciera sospechar de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 regularidad de la operación, de la falta de autenticidad de la documentación presentada y de la usurpación de identidad, en suma, realizada por el contratante. Así, al igual que razonamos en nuestra sentencia de fecha 29 de octubre de 2009, a la vista de las especiales circunstancias concurrentes en el caso de autos, no cabe apreciar culpabilidad alguna (ni siquiera a título de culpa o falta de diligencia) en la actuación de la entidad recurrente, que actuó en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal con una documentación en apariencia auténtica y a ella correspondiente, por lo que estaba legitimada para el tratamiento de sus datos de carácter personal. En consecuencia, al faltar uno de los requisitos exigidos para la imposición de sanción por vulneración del principio del consentimiento consagrado en el artículo 6.1 de la LOPD, procede dejar sin efecto la sanción impuesta por la comisión de dicha infracción.” El hecho de solicitar que se le enviase, nuevamente, a un correo diferente del que facilitó hacia más de un año y medio no supone una vulneración del deber de secreto ya que la persona que efectuó la llamada conocía perfectamente el motivo por el que acudió a la consulta. Si una persona suplantó la personalidad de la clienta es un tema que se debe resolver en la vía judicial correspondiente. Al solicitar a Svenson el resultado de la querella que presuntamente presentó contra es entidad la denunciante no san informado que no tienen constancia de dicha denuncia ni de su resultado. Al iguel que en el supuesto recurrido, no cabe apreciar culpabilidad en la actuación de Svenson, que actuó en la creencia de que la persona que solicitaba la copia del presupuesto era quien decía ser, puesto que conocía todos los datos que constaban en el propio presupuesto. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
2. PROCEDER AL ARCHIVO de las presentes actuaciones.
3. NOTIFICAR la presente Resolución a SVENSON CLINICA CAPILAR y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es