E-05178-2015

1/6 Expediente Nº: E/05178/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad QDQ MEDIA en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 15 de julio de 2015 tiene entrada en esta Agencia escrito de A.A.A. en el que se pone de manifiesto los siguientes hechos: En Julio de 2014, el denunciante contrató los servicios de publicidad digital de QDQ MEDIA S.A.U. (en adelante QDQ) solicitando inmediatamente la baja. En julio de 2015, por una operación fallida, ha tenido conocimiento de la inclusión de sus datos en el fichero ASNEF a instancias de QDQ, con fecha de alta el 08/04/2015. SEGUNDO: Con fecha 16 de septiembre de 2015 se ha remitido requerimiento de solicitud de información a QDQ y de la respuesta recibida se desprende: 1. En los sistemas de información de QDQ constan los datos del denunciante con fecha de alta el 22/07/2014 sin que figure ninguna fecha de baja registrada. 2. QDQ ha aportado contrato cumplimentado a nombre del denunciante en el que figura como nombre comercial FOTOGRAFIA XXXX, dirección postal “(C/....1)” y la dirección de correo electrónico info@fotoXXXX.es. La dirección postal que figura en el contrato coincide con la aportada por el denunciante a esta Agencia. Y la dirección de correo electrónico consta en la página web de FOTOGRAFIA XXXX (www.fotoXXXX.es.......) como dirección de contacto de este establecimiento. En las condiciones Generales del contrato consta “El Cliente queda informado que el impago del precio, faculta a QDQ Media para comunicar la deuda a los oportunos registros de morosos bajo las previsiones contenidas en la normativa aplicable”. 3. QDQ ha aportado copia del escrito remitido al denunciante, de fecha 30 de marzo de 2015, donde se le requiere el pago de 254,10 € y se le informa de que en caso de que no se cancele la deuda se procederá la inclusión en el fichero ASNEF. QDQ manifiesta que este escrito fue remitido por correo electrónico el 30 de marzo de 2015 a las 09:36 horas a la dirección de correo info@foto....... y fue realizado a través de la compañía LLEIDANETWORKS SERVEIS TELEMATICS S.A. con quien tienen suscrito un contrato de envío y recepción de mails certificado por el cual, la entrega de un correo electrónico genera un certificado firmado digitalmente que acredita la dirección de correo electrónico, el contenido del mensaje y, la entrega, la notificación en el buzón receptor y el sello de tiempo. (QDQ ha aportado copia del mencionado contrato en la contestación al requerimiento de información). QDQ ha remitido a la Agencia certificado emitido por LLEIDANETWORKS SERVEIS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 TELEMATICS S.A. respecto del envío de un correo electrónico certificado a la dirección info@foto....... con remitente service@....... y reenviado también a una dirección de QDQ donde consta el escrito de requerimiento de deuda mencionado en dicha fecha. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el supuesto que nos ocupa, el tratamiento de datos realizado por la entidad denunciada fue llevado a cabo empleando una diligencia razonable. En este sentido, ha de tenerse en cuenta que QDQ ha aportado grabación telefónica y contrato de los servicios contratados. Dicha grabación contiene una llamada telefónica entre un operador que informa a su interlocutor de la grabación de la llamada para verificar la contratación, que se formaliza en ese mismo día 18/07/2014, solicitando que confirme sus datos como responsable de la empresa, empezando por su nombre A.A.A., DNI ***DNI.1, y domicilio “(C/....1) MADRID“. Finalmente se concretan los servicios contratados, así como el importe mensual a abonar, facilitando el denunciante el número de cuenta donde llevar a cabo la facturación, e indicando su dirección de correo info@foto......., para que le remitan el contrato. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de 29/04/2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificarla identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” De acuerdo a estos criterios, se puede entender que QDQ empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 IV Por otro lado, respecto a la solicitud de baja inmediata cursada por el denunciante, y una vez analizada la documentación que se acompaña junto al escrito de denuncia se comprueba que no se ha aportado documentación que permita constatar este hecho, ni la fecha de la recepción de dicha solicitud de baja, por parte de QDQ, o bien que dicha entidad tenga conocimiento de que el denunciante haya ejercitado su solicitud de baja , por lo que no existen indicios de infracción de la LOPD. V En relación con la inclusión de los datos personales del denunciante en ficheros comunes de solvencia patrimonial y crédito hay que tener en cuenta lo que establece el artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación al tratamiento de los datos por parte de los responsables de este tipo de ficheros: “1. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento. 2. Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley.” 3. En los supuestos a que se refieren los dos apartados anteriores, cuando el interesado lo solicite, el responsable del tratamiento le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos. 4. Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. El apartado 2 de este precepto habilita al acreedor o a quien actué por su cuenta o interés para que, sin consentimiento del deudor, facilite los datos de carácter personal de sus deudores a ficheros comunes de solvencia patrimonial y crédito, siempre y cuando concurran los requisitos establecidos en el artículo 38.1 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, cuyo apartado
2. a)requiere para la inclusión de datos personales en este tipo de ficheros la existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. La exigencia de que la deuda sea "cierta" responde al principio de calidad de datos recogido en el artículo 4.3 de la LOPD, al expresar que "los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar datos de carácter personal, relativos al cumplimiento o incumplimiento de obligaciones dinerarias, a ficheros comunes de solvencia patrimonial y crédito, siempre que la información registrada en este tipo de ficheros respete el principio de veracidad y exactitud del mencionado artículo 4.3 de la LOPD. VI El artículo 38.1 Real Decreto 1720/2007—RLOPD—en su redacción actualmente vigente tras la STS --Sentencia de 15 de julio de 2010, de la Sala Tercera del Tribunal Supremo--dispone que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…). b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.” VII En este sentido, del escrito de denuncia y de la diferente documentación de los agentes intervinientes en este proceso se desprende que al denunciante se le ha requerido el pago por carta de 27/03/2015, remitida por QDQ y, por correo electrónico de 30/03/2015 emitido por LLEIDANETWORKS SERVEIS TELEMATICS S.A. desde service@....... dirigido a la dirección del denunciante info@foto......., y a una dirección de QDQ. Por otra parte señalar que la empresa LLEIDANETWORKS SERVEIS TELEMATICS S.A., certifica el requerimiento de pago llevado a cabo contra el denunciante el 30 de marzo de 2015, en calidad de prestador del servicio de Envío de Requerimientos de Pago y Cesión de Crédito de QDQ en virtud de Contrato Marco, celebrado al efecto el 5 de febrero de 2014 entre LLEIDANETWORKS SERVEIS TELEMATICS S.A., y QDQ MEDIA S.A.U. VIII Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, nos encontramos ante una contratación realizada con el consentimiento y diligencia debidas, no habiéndose aportado elementos probatorios que permitan atribuir a la entidad QDQ MEDIA S.A.U. una vulneración de la normativa en materia de protección de datos, al no acreditarse que el denunciante haya solicitado la baja del contrato, ni que en su caso, la entidad denunciada tenga conocimiento de ello, ni que la inscripción en ficheros de solvencia patrimonial, o el requerimiento de pago realizado, como consecuencia del impago, haya sido llevado a cabo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 contraviniendo lo establecido en la LOPD. IX Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a QDQ MEDIA y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es