1/6 Expediente Nº: E/05110/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad TELEFÓNICA MÓVILES ESPAÑA, S.A.U., en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 29/08/2017 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que TELEFÓNICA MÓVILES ESPAÑA, S.A.U., (en adelante, TME o la denunciada), entidad de la que nunca ha sido cliente, ha tratado sus datos personales sin su consentimiento vinculados al alta de líneas de telefonía móvil que niega haber contratado. Aporta, entre otros documentos, copia de una factura emitida por MOVISTAR (TME) girada a nombre del denunciante en fecha 01/04/2016 a una dirección postal de C.C.C., provincia F.F.F. que no se corresponde con su domicilio. El importe facturado asciende a 22,41 euros y está asociado a la línea B.B.B.. En fecha 21/09/2017 el denunciante, en respuesta a la petición de la Inspección de Datos para que aportara documentación adicional, remite, entre otros, los siguientes documentos: Copia de la reclamación presentada en fecha 29/08/2017 ante la Oficina de Consumo de la Generalitat de Cataluña en la que concreta los hechos de la reclamación en los siguientes términos: Alta de líneas telefónicas sin su consentimiento en MOVISTAR y YOIGO en la tienda de The Phone House de D.D.D.. La denuncia formulada en la AEPD el 29/08/2017 se dirigió no sólo frente a TME sino también frente a las entidades VODAFONE ESPAÑA, S.A.U.; ORANGE ESPAGNE, S.A.U., y XFERA MÓVILES, S.A. Las actuaciones de investigación practicadas en relación a las citadas entidades han dado lugar a la apertura de los correspondientes expedientes sancionadores. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos denunciados teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección, del que se transcribe el fragmento que afecta a TME: <<TELEFÓNICA MÓVILES ESPAÑA, S.A.U. (TME): En relación con el tratamiento de los datos personales del denunciante efectuado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 indicar que la entidad ha aportado copia de tres contratos de servicios móviles Movistar celebrados todos ellos el 22/02/2016 en los que se dan de alta tres líneas móviles: B.B.B., G.G.G. y E.E.E.. Los tres contratos están firmados por el cliente (firma muy similar a la del denunciante) y se aporta la copia del DNI del titular. Las líneas se dieron de baja en 2016. TME añade que no existe deuda pendiente derivada de ninguna de las tres líneas asociadas al denunciante.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III Corresponde indicar, en primer término, cuál es el marco normativo en el que han de valorarse los hechos expuestos en la denuncia. La LOPD consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone en su artículo 6, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 44.3.
- b)LOPD tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en la Ley y sus disposiciones de desarrollo”. El artículo 6 LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. Respecto a la carga de la prueba del consentimiento, la Audiencia Nacional, en diversas Sentencias, (por todas la STAN de 27 de enero de 2011, Rec 349/2009, Fundamento de Derecho Tercero), declara que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. La exigencia de responsabilidad sancionadora presupone la concurrencia del elemento subjetivo de la infracción, requisito esencial en tanto rige en nuestro Derecho sancionador el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A su vez, la Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”, “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Por tanto, a la luz de este precepto, la responsabilidad sancionadora puede exigirse a título de dolo como de culpa, siendo suficiente en este último caso la mera inobservancia del deber de cuidado. En la Sentencia de 17/10/2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone que “....el ilícito administrativo previsto en el artículo 44.3.
- d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) IV La denuncia que examinamos versa sobre el tratamiento de los datos personales del denunciante (nombre, apellidos y DNI) por TME, efectuado sin su consentimiento, y materializado en haber contratado a su nombre varias líneas de telefonía móvil: B.B.B.; G.G.G. y E.E.E.. Cabe citar como prueba del tratamiento la factura de MOVISTAR que el denunciante aporta anexa a su denuncia. El tratamiento de los datos del denunciante por la denunciada se confirma también por medio de la documentación remitida por TME en respuesta al requerimiento informativo de la Inspección de Datos: Impresiones de pantalla de sus sistemas informáticos en las que constan el DNI, nombre y dos apellidos asociados a las líneas B.B.B. (I); G.G.G. (II) y E.E.E. (III). En todos los casos se atribuye al denunciante un domicilio en la provincia de F.F.F., unas veces en D.D.D. y otras en C.C.C.. En las impresiones de pantalla facilitadas las líneas indicadas se abrían dado de alta el 22/02/2016 (I), el 23/02/2016 (II) y el 24/02/2016 (III). Y se dieron de baja, respectivamente, el 03/05/2016, 03/03/2016 y 06/04/2016. Por otra parte, TME ha informado de que no existen deudas pendientes asociadas a las líneas móviles contratadas a nombre del denunciante. Es especialmente relevante el hecho de que TME haya remitido a la AEPD, a requerimiento de la Inspección de Datos, una copia del DNI del denunciante y la copia de tres contratos de servicios móviles Movistar. Los contratos aparecen firmados en el apartado destinado a “Firma Cliente” V Constatado el tratamiento llevado a cabo por TME de los datos personales del denunciante se ha de determinar si intervino culpa de la entidad denunciada o si ésta omitió la diligencia que era procedente, atendidas las circunstancias del caso, imprescindible para que la conducta analizada sea subsumible en el tipo infractor del artículo 44.3.
- b)LOPD. Como se ha indicado, TME ha aportado una copia del DNI del denunciante y la copia de tres contratos relativos a cada una de las líneas móviles asociadas a él. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Contratos que se encuentran debidamente firmados en el apartado de firma cliente. La documentación indicada pone de manifiesto que TME, con ocasión de la contratación de las líneas móviles, adoptó las medidas que eran procedentes para verificar la identidad de la persona que facilitó como suyos los datos personales del denunciante. Esta circunstancia -la diligencia desplegada por la operadora- priva a su conducta de la culpabilidad, imprescindible para poder exigir responsabilidad administrativa por conductas que en principio son antijurídicas. A ese respecto son muy esclarecedoras las siguientes SSAN: La de fecha 26/04/2002 (Rec. 895/2009) que expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la AEPD) También la SAN de 29/04/2010 que en su Fundamento Jurídico sexto, y a propósito de una contratación fraudulenta, indicó que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) En definitiva, por más que la conducta analizada pueda coincidir, a priori, con el tipo sancionador del artículo 44.3.
- b)LOPD, tal conducta no es merecedora de reproche o sanción administrativa al no apreciarse en ella falta de diligencia de la denunciada. A tenor de las reflexiones precedentes, habida cuenta de que en el presente caso se ha constatado que TME actuó con una diligencia razonable y adoptó las medidas que la contratación exige para garantizar la identidad del contratante, está ausente el elemento subjetivo de la infracción, por lo que ninguna responsabilidad sancionadora deriva de los hechos que se someten a la valoración de este organismo debiendo, en consecuencia, acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 NOTIFICAR la presente Resolución a TELEFÓNICA MÓVILES ESPAÑA, S.A.U., y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es