E-04577-2013

1/6 Expediente Nº: E/04577/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE España SAU en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17 de mayo de 2013, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo la denunciante) frente a la Entidad Vodafone España SAU en lo sucesivo (el/la denunciado/

1. a)en el que denuncia lo siguiente: “…alguien haciendo uso de mi DNI…realizó fraudulentamente un contrato con Vodafone durante el mes de noviembre del año 2012”—folio nº 2--. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Los datos del denunciante fueron incluidos en el fichero ASNEF asociados a una deuda informada por VODAFONE por importe de 379,85 euros el 8 de marzo de 2013 y fueron vueltos a incluir informados por idéntica entidad y en relación a la misma deuda el 4 de abril de 2013. 2. El 3 de abril de 2013 el responsable del fichero BADEXCUG le notificó que en caso de continuar el impago de la deuda que el denunciante mantenía con VODAFONE, sus datos serían incluidos en el fichero. 3. Con fecha 27 de agosto de 2013 se solicita a VODAFONE información relativa al denunciante y de la respuesta recibida se desprende lo siguiente: - Respecto de los productos que constan a su nombre: En los sistemas de información de la entidad consta asociada al denunciante una dirección principal en la provincia de Las Palmas, que coincide con la proporcionada a esta Agencia a efectos de notificación, y una dirección de facturación distinta, en la provincia de Santa Cruz de Tenerife que el denunciante no reconoce como propia. El denunciante consta asimismo como titular de la línea ***TEL.1, con fecha de alta 7 de febrero de 2007, que seguía activa en el momento en que la entidad redactó su respuesta. Las facturas para esta línea han sido pagadas y no consta deuda asociada. En los sistemas de la entidad el denunciante consta como titular de un servicio de ADSL asociado a la línea ***TEL.2 con fecha de alta 2 de noviembre de 2012 y fecha de baja por portabilidad el 29 de diciembre de 2012. La dirección asociada a este producto es la de Santa Cruz de Tenerife. La contratación de la línea ***TEL.2 se realizó por teléfono. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Se aporta copia de la grabación de la llamada de verificación efectuada en la que quien se identifica como B.B.B. proporciona, además de su nombre y apellidos, el NIF del denunciante y una dirección en la provincia de Santa Cruz de Tenerife con el fin de contratar un productos “Vodafone ADSL 20 MB”. No se aportan copia de contratos firmados con el cliente. En los sistemas de la entidad consta como entregado el 5 de noviembre de 2012 un paquete que contenía un router y una tableta de datos. El envío consta a nombre de B.B.B. y la dirección es la de Santa Cruz de Tenerife. La entidad no aporta copia de albarán de entrega firmado por el receptor. - Respecto de las comunicaciones y contactos que han existido entre esa entidad y el cliente, aportan la siguiente información: En los sistemas de la entidad constan registros de llamadas y faxes remitidos por el denunciante desde el 31 de diciembre de 2012 hasta el mes de abril de 2013 en los que reclama la contratación fraudulenta de la línea, pero en todos los casos el departamento de fraudes de la entidad cataloga el caso como de no fraudulento al existir consumo en la línea y relacionar la entrega del terminal con el titular. - Aportan copia del expediente en papel que consta en la entidad y que recoge las reclamaciones efectuadas por el afectado y se observa lo siguiente: El 31 de enero de 2013, en respuesta a la reclamación interpuesta en la Oficina Municipal de Consumo del Ayutamiento de Ingenio, VODAFONE remite un escrito a dicha entidad en el que proporciona los datos de la contratación y los impagos que les constan a nombre del denunciante reafirmándose en dichos hechos. - En relación con el servicio ADSL se han emitido cuatro facturas entre el 15 de noviembre de 2012 y el 15 de febrero de 2013 de las que ninguna ha sido abonada y que suman una deuda total de 379,85 euros. Aportan copia de las tres primeras, que suman el importe total de la deuda ya que la cuarta y última factura tiene un importe de 0 euros El impago de la deuda descrita es por lo que los datos personales del denunciante fueron incluidos en los ficheros ASNEF y BADEXCUG. - A 10 de septiembre de 2013, fecha de redacción de la respuesta de VODAFONE, los datos del denunciante no constaban en los ficheros BADECUG o ASNEF pero, a pesar de habérsele requerido, la entidad no indica los motivos por los que se ha solicitado la exclusión de los datos del denunciante de los citados ficheros. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso se procede a examinar la reclamación de fecha 17/05/13 en dónde el epigrafiado pone de manifiesto lo siguiente en orden a su adecuación a la LOPD. “…alguien haciendo uso de mi DNI…realizó fraudulentamente un contrato con Vodafone durante el mes de noviembre del año 2012”—folio nº 2--. La Entidad denunciada—Vodafone—en relación con los hechos objeto de denuncia alega en Derecho en fecha 11/09/13 lo siguiente: “El Sr. B.B.B. dispone de dos cuentas Vodafone. Vodafone si ha conseguido localizar la grabación relativa a la contratación del servicio asociado a la línea ***TEL.2”. Como se recoge en los “hechos probados” la Entidad Vodafone ha aportado una grabación en la que el interlocutor aporta datos personales (Nombre, apellidos, NIF y dirección en la provincia de Santander); existiendo igualmente, consumo del servicio/s contratado. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). En fase de instrucción—ex art. 78 Ley 30/92, 26 de noviembre—se procede a escuchar el contenido de la misma, la voz corresponde a un varón que aporta datos de carácter personal asociados al denunciante. Sobre casos de contratación fraudulenta existe un amplia línea jurisprudencia, así la SAN 06/07/12—ha manifestado que: “Si bien la presunta suplantación de identidad no ha podido ser esclarecida, de lo que no cabe dudad a juicio de la Sala, es de que Canal Satélite Digital obró con una diligencia normalmente exigible en una operación de servicios como los contratados. Y además el correspondiente contrato tuvo que ser firmado por alguien que, si no era tal denunciante, al menos si conocía su nombre y apellidos, su domicilio, su teléfono móvil y su número de DNI. Abonándose además, puntualmente y durante ocho meses, tales consumos televisivos.” Por tanto, en el caso que nos ocupa la Entidad denunciada—Vodafone—desplegó la diligencia mínima exigible en estos casos a la hora de contratar, aportando copia de la grabación del servicio, con independencia de que el mismo fuera realizado por un tercero de mala fe; actuando en todo momento con la creencia de que la persona con que contrataba era el verdadero titular de los datos de carácter personal. A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. De acuerdo con lo argumentado por las partes y a tenor de la grabación aportada, cabe concluir que no se infiere vulneración de la normativa vigente en materia de LOPD, al haber desplegado la diligencia mínima exigible en estos casos, motivo por el que procede ordenar el ARCHIVO del presente procedimiento. El denunciante puede ejercitar derecho de cancelación frente a la Entidad— Vodafone—como responsable del fichero contras los datos “erróneos o inexactos” aportando toda la documentación en la que fundamente su pretensión. A mayor abundamiento, la inclusión de los datos del afectado en los denominados ficheros de solvencia patrimonial y crédito por una deuda “inexistente” puede dar lugar a la apertura del correspondiente procedimiento sancionador por la conculcación del contenido del art. 4. 3 LOPD. Con relación a los “hechos” denunciados todo indica que nos encontramos ante una presunta estafa—delito tipificado en los arts. 248 y ss Lo 10/1995—debiendo ser en su caso objeto de denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado o ante el Juzgado de Instrucción del lugar en dónde se hayan cometido los mismos, a los efectos legales oportunos, careciendo esta AEPD de competencia material para entrar a conocer del fondo del asunto. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la Entidad VODAFONE España SAU y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es