E-04142-2014

1/7 Expediente Nº: E/04142/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades EXPERIAN BUREAU DE CRÉDITO S.A. y JAZZ TELECOM, S.A.U en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 7 de abril de 2014, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que declara que sus datos personales se encuentran incluidos en una lista de morosos sin conocimiento alguno, incluidos por la entidad JAZZTEL y sin haber tenido nunca una cuenta con esa empresa. Aporta copia de la contestación emitida por EXPERIAN BUREAU DE CREDITO SAU (en adelante EXPERIAN) a un ejercicio de derecho de acceso a datos personales, donde se evidencia la inclusión de sus datos en el fichero BADEXCUG con fecha de alta 15/12/

1. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 15/09/2014 se solicita a EXPERIAN información relativa al afectado y de la respuesta recibida se desprende lo siguiente: - Respecto del fichero BADEXCUG: No consta información activa en el momento de realizar las comprobaciones. - Respecto del fichero de NOTIFICACIONES: Consta una notificación enviada a nombre del afectado como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad “JAZZTEL”. La notificación fue emitida con fecha 17/12/2013, por deuda de 2039,80 euros. - Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. Consta una operación impagada informada por “JAZZTEL” ya especificada, constando como fecha de alta 15/12/2013 y baja 13/04/
2. Con fecha 28/08/2014 se solicita a JAZZ TELECOM SAU (JAZZTEL) información relativa al afectado y de la respuesta recibida se desprende lo siguiente: SOBRE LA CONTRATACION C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 - Respecto de los productos que constan de alta a su nombre:  Con fecha 02/04/13 se contrató el servicio de Pack Ahorro Internet y Móvil con Portabilidad asociado a la numeración D.D.D. y E.E.E., con venta de venta de terminal Samsung Galaxy Ace y Tablet Tab2 7.0 WIFI.  Con fecha 23/04/13 se contrató una 2ª Línea de Móvil con Portabilidad asociada a la numeración G.G.G. y venta de terminal Sony Xperia S Negro.  Con fecha 23/04/13 se contrató una 3ª Línea de Móvil con Portabilidad asociada a la numeración I.I.I. y venta de terminal Sony Xperia 5 Negro  Con fecha 30/04/13 se contrató una 4ª Línea de Móvil con Portabilidad asociada a la numeración F.F.F. y venta de terminal Sony Xperia S Negro.  Con fecha 02/05/13 se contrató una 5ª Línea de Móvil con Portabilidad asociada a la numeración H.H.H. y venta de terminal Sony Xperia S Negro.  Con fecha 19/09/13 se procedió a la baja de todos los servicios. - Adjuntan un CD con cuatro grabaciones: Escuchadas las grabaciones aportadas se verifica que la primera es relativa a la contratación de los números D.D.D. y E.E.E., la segunda grabación es la VPT (verificación por tercero) de la primera, la tercera grabación es la VPT de los números G.G.G. y I.I.I. y la cuarta la VPT de los dos números restantes. En todas las grabaciones los operadores correspondientes confirman los datos de nombre y apellidos del contratante así como el NIF y los números de teléfono que se están contratando, informando en todas ellas de las condiciones de contratación (incluso en las grabaciones de VPT). La voz del contratante de las dos primeras grabaciones aparentemente es distinta a la voz del contratante de las dos últimas grabaciones, sin poderse determinar fehacientemente dicha circunstancia. - También aportan copia de los albaranes de entrega de los terminales asociados a las contrataciones, cinco en total:  El primero figurando en el recibí una firma aparentemente muy distinta a la del denunciante ( comparada con la de su DNI ) y como NIF, en el mismo apartado del recibí, figura preimpreso el NIE C.C.C., siendo el NIF del denunciante B.B.B.  El segundo figurando en el recibí una firma aparentemente muy distinta a la del denunciante y distinta a la del primer albarán y como NIF (en el apartado del recibí) figura manuscrito “ J.J.J.” (le falta un “6” comparado con el del primer albarán y la “X”. A pesar de constar este NIF o NIE, que no corresponde al denunciante, en la firma manuscrita aparentemente pone “ A.A.A.”, nombre y primer apellido del denunciante.  El tercero figurando en el recibí una firma aparentemente muy distinta a la del denunciante y no figurando ningún NIF/NIE en el apartado del recibí. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7  El cuarto y quinto con similares firmas a las del primer albarán y el mismo NIF. La dirección de entrega corresponde a Madrid siendo la dirección del denunciante, que consta en la denuncia y en su DNI, de Galicia. - Los representantes de la entidad han indicado que la contratación de todos los servicios se realizó en cumplimiento de los requisitos establecidos en la Circular 1/2009, de 16 de abril de 2009, de la Comisión del Mercado de las Telecomunicaciones, por la que se introduce el consentimiento verbal con verificación por tercero en la contratación de servicios mayoristas regulados de comunicaciones fijas, así como en las solicitudes de conservación de numeración, y en la Circular 1/2008, de 19 de junio de 2008, de la Comisión del Mercado de las Telecomunicaciones, sobre conservación y migración de numeración telefónica. SOBRE LOS POSIBLES IMPAGOS Adjuntan copia de todas las facturas emitidas indicando que han sido impagadas en su totalidad y se encuentran actualmente pendientes de pago, así como que el importe total de la deuda a favor de JAZZTEL es de 2.039,80€. SOBRE LAS COMUNICACIONES CON EL AFECTADO Y ACCIONES EMPRENDIDAS POR LA ENTIDAD Los representantes de la entidad indican que no existen reclamaciones por escrito realizadas por el denunciante así como que no consta en la actualidad que se haya puesto los hechos descritos en conocimiento de los Cuerpos y Fuerzas de Seguridad del Estado ni ante un Organismo de Consumo. Indican que el uso ilegítimo de los datos personales por parte de un tercero, con el objeto de cometer un ilícito penal, debe ser puesto en conocimiento de los Cuerpos y Fuerzas de Seguridad del Estado, y juzgados por la jurisdicción penal competente los posibles delitos de estafa y usurpación de identidad. En la medida en que dicha reclamación y/o su correspondiente denuncia no tengan lugar y, por lo tanto, se pueda determinar la responsabilidad de los hechos, el denunciante presenta una deuda con JAZZTEL por importe de 2.039,80€ por el impago reiterado de todas las facturas emitidas por JAZZTEL por los servicios prestados, siendo JAZZTEL la única víctima del presunto delito de estafa por el citado importe. Tras el análisis de las actuaciones previas de investigación debe resaltarse que en las cuatro grabaciones aportadas por la entidad denunciada, los operadores correspondientes confirman los datos de nombre y apellidos del contratante así como el NIF y los números de teléfono que están siendo contratados, informando en todas ellas de las condiciones de contratación. Asimismo, se tiene conocimiento de que la CMT ha regulado unos procedimientos administrativos cooperativos entre los operadores para la gestión y tramitación de las portabilidades solicitadas por los clientes, entendiéndose por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 portabilidad el cambio de operador conservando la numeración de la línea. Para facilitar la gestión de las portabilidades se ha establecido un nodo central, gestionado por la entidad INDRA, designado por la CMT en coordinación con los operadores. Este nodo central ha sustituido la solución distribuida que existía con anterioridad, consistente en interfaces entre operadores basadas en páginas web. Los usuarios que solicitan la portabilidad de su línea deben de hacerlo en el operador receptor. Así, los clientes de un operador (donante) que desean portar su línea a otro operador (receptor), deben de solicitarlo al operador receptor. El operador receptor será el encargado, además de recabar los datos del solicitante para la tramitación del alta como cliente de su compañía, de realizar la solicitud de portabilidad en el nodo central de portabilidades para su tramitación. La tramitación de una portabilidad conlleva la confirmación (o denegación en su caso) de la misma por el operador donante. Para ello, el operador donante debe comprobar que: En el caso de líneas postpago el NIF/CIF del solicitante de la portabilidad (aportado por el operador receptor) coincide con el del cliente a portar para la línea en cuestión (MSISDN). En el caso de líneas prepago debe comprobar que el ICC de la tarjeta coincide con el registrado para la línea (MSISDN). En estos casos, únicamente existe obligación de comprobar la coincidencia de este código de tarjeta, no comprobando la coincidencia de NIF/CIF, ni ningún otro dato de carácter personal. En ambos casos, postpago y prepago, es de obligado cumplimiento la comprobación de dichos datos, debiendo el operador donante denegar la portabilidad si no existe coincidencia en los datos. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…).” Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el supuesto que nos ocupa, el tratamiento de datos realizado por la entidad denunciada fue llevado a cabo empleando una diligencia razonable. En este sentido, ha de tenerse en cuenta que JAZZTEL aporta copia de cuatro grabaciones en las que se verifica que la primera es relativa a la contratación de los números D.D.D. y E.E.E., la segunda grabación es la VPT (verificación por tercero) de la primera, la tercera grabación es la VPT de los números G.G.G. y I.I.I. y la cuarta la VPT de los dos números restantes ( F.F.F. y H.H.H.). En todas las grabaciones los operadores correspondientes confirman los datos de nombre y apellidos del contratante así como el NIF y los números de teléfono que se están contratando, informando en todas ellas de las condiciones de contratación (incluso en las grabaciones de VPT). Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de 29/04/2010 al establecer que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato.” De acuerdo a estos criterios, se puede entender que el tratamiento de datos realizado por JAZZTEL fue llevado a cabo empleando una diligencia razonable, al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 adoptar las medidas necesarias para identificar a la persona que realizaba la contratación. Finalmente y de otra parte, JAZZTEL hasta la fecha no ha cesado en requerir la deuda por facturas impagadas del servicio móvil ya que no tienen ninguna constancia del supuesto fraude. Por tanto, D. A.A.A. podrá interponer denuncia donde se ponga de manifiesto la utilización fraudulenta de sus datos personales para adjuntarla a la reclamación que presente ante JAZZTEL. En el caso de que pudieran derivar de una posible falsificación de la grabación o de una posible usurpación o suplantación de personalidad llevada a cabo por un tercero, habrá de pronunciarse el correspondiente organismo jurisdiccional competente en razón de la materia, al no corresponder a la Agencia Española de Protección de Datos enjuiciar las actuaciones delictivas que se puedan derivar del presente caso. Posteriormente podrá ejercitar su derecho de cancelación ante JAZZTEL utilizando los modelos que figuran en el siguiente enlace: https://www.agpd.es. Y en el supuesto de que su solicitud no fuera contestada en el plazo de diez días, podrá dirigirse a esta Agencia, acompañando copia de la solicitud cursada, para la tramitación del correspondiente procedimiento de tutela de derechos. Asimismo, el artículo 38 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), prevé una segunda vía reparadora, confirmada por la Sentencia de la Audiencia Nacional de 30 de mayo de
3. Por la misma, se puede interponer reclamación ante órgano habilitado para dictar resolución vinculante (entre ellos Junta Arbitral, organismo judicial o SETSI) y poner tal hecho en conocimiento del acreedor (JAZZTEL) para que proceda a la exclusión cautelar del fichero de solvencia patrimonial y crédito, al no resultar una deuda cierta, según recoge la Audiencia Nacional, desde el momento en que se presente la reclamación. Para comprobar la exclusión, podrá ejercer posteriormente el derecho de acceso, pudiendo poner en conocimiento de la Agencia la permanencia, a pesar de la reclamación y comunicación de la misma al acreedor. IV Se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a JAZZTEL una vulneración de la normativa en materia de protección de datos, en la medida en que actuó con una razonable diligencia a la hora de la recogida de datos que justifican la contratación del servicio, y que tenían una apariencia de legitimidad. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
4. PROCEDER AL ARCHIVO de las presentes actuaciones.
5. NOTIFICAR la presente Resolución a EXPERIAN BUREAU DE CRÉDITO SA, JAZZ TELECOM, S.A.U y a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es