E-05257-2012

1/13 Expediente Nº: E/05257/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad A.A.A. (en adelante CELERIS) en virtud de varias denuncias presentada ante la misma y en base a los siguientes HECHOS PRIMERO: A partir del 5 de junio de 2012 tuvieron entrada en esta Agencia una serie de escritos remitidos por múltiples denunciantes en los que declara que están siendo objeto de acoso por parte de la entidad CELERIS, en formas que conllevan la vulneración de sus derechos reconocidos por la LOPD. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

1. Los días 11, 12 y 15 de marzo de 2013 se realizó visita de inspección a CELERIS durante la cual los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. CELERIS es un establecimiento financiero especializado en la concesión de créditos al consumo y créditos hipotecarios. CELERIS realiza la gestión integral del crédito en todas sus fases, incluyendo la recuperación de los recibos impagados. Desde marzo de 2010 hasta el 30/10/2012 CELERIS ha gestionado exclusivamente los préstamos de su propia cartera. La entidad se encuentra en un proceso de desinversión, de forma que entre el 30/10/2012 y el 28/2/2013 se ha procedido a la cesión de parte de su cartera, actuando actualmente en la recuperación de deudas, en calidad de encargado del tratamiento respecto de la cartera cedida. b. Manifiesta la entidad que ya fue objeto de inspección hace aproximadamente unos dos años con el mismo motivo. Pese al tiempo transcurrido, los procedimientos de la entidad no han cambiado, si bien se han adoptado y comunicado a los gestores políticas internas en la actividad de recobros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 c. Para la gestión de los préstamos y recobros de impagos CELERIS dispone de un fichero denominado “MAESTRO CLIENTES”, inscrito en el Registro General de Protección de Datos con la descripción “PROCESO DE CAPTACIÓN Y ACEPTACIÓN DE CLIENTES, CONTABILIDAD Y DESARROLLO DE LAS OPERACIONES REALIZADAS CON ESTOS”. d. CELERIS emite los primeros días de cada mes los recibos correspondientes para el cobro de los préstamos contratados por los clientes, y los gira a las cuentas bancarias facilitadas por los mismos. e. Los Inspectores de la Agencia solicitan a los representantes de la entidad copia del argumentario utilizado en la gestión de recobros, manifestando que no disponen de ningún documento escrito, no obstante aportan, copia del documento denominado “POLITICAS DE RECOBROS: CRITERIOS BÁSICOS DE CONFIDENCIALIDAD Y LOCALIZACIÓN DE CLIENTES”, que se adjunta como DOC.
2. f. Ante una situación de impago o devolución de un recibo, CELERIS tiene establecido el siguiente procedimiento de recobro: i.Para la gestión del cobro de impagados, CELERIS utiliza principalmente la vía telefónica para contactar con el deudor con objeto de llegar a un compromiso de pago, utilizando para ellos las líneas de teléfono ***TEL.1, ***TEL.2 y ***TEL.3 ***TEL.4, ***TEL.5, ***TEL.6 y ***TEL.1, ***TEL.7, ***TEL.8, entre otras, pues la entidad dispone de unas 300 líneas. además también se efectúan envíos de cartas de reclamación de pago y, extraordinariamente, mensajes SMS. ii.CELERIS dispone de grupos de gestores que se encargan de llevar a cabo la recuperación de la deuda. Estos gestores son personal propio de la empresa y se organizan en tres grupos de trabajo especializados en la gestión del recobro en función de la antigüedad de la deuda. El primer grupo de trabajo gestiona la recuperación de impagos que no sobrepasan los 30 días. El segundo gestiona la recuperación de deudas una vez superados los 30 días desde la fecha del impago. El tercer grupo de trabajo gestiona la recuperación de la deuda en fase judicial, una vez superados 120 días desde la fecha del impago. iii.Cuando se produce la devolución de un recibo, el primer grupo de trabajo intenta contactar telefónicamente con el cliente con objeto de recabar información sobre los motivos de la devolución y obtener el compromiso de pago. Solo en el caso de que se contacte con el cliente y se obtenga el compromiso de que se va a aprovisionar la cantidad debida en la cuenta consignada por el cliente, se vuelve a presentar al cobro el recibo al mes siguiente en dicha cuenta, aunque se prefiere el ingreso en cuenta o la transferencia por considerarse mejor práctica de cara al cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 Si no se consigue contactar con el cliente, el recibo no se vuelve a presentar al cobro en su cuenta bancaria, salvo acuerdo de pago con el cliente. iv.Transcurridos 30 días desde la fecha del impago, se remite una carta, según modelo establecido, a la dirección postal facilitada por el deudor, en la que se le indica el número de cuenta bancaria de CELERIS en la que tiene que efectuar el ingreso de la cantidad adeudada. En paralelo se intenta contactar telefónicamente con el cliente en los números de teléfono facilitados por el mismo, u otros obtenidos de repertorios públicos de abonados a servicios telefónicos. Cuando no se consigue contactar con el titular de la deuda, al objeto de contactar con él, se buscan números de teléfono de personas que pudieran ser familiares o vecinos, así como de empresas o establecimientos próximos al domicilio del mismo. En las llamadas realizadas a terceras personas distintas del deudor, se pregunta si conocen al titular, facilitando para ello el nombre completo del mismo. Si la persona colabora y conoce al titular se le deja un recado para que se ponga en contacto con CELERIS al número de teléfono que se le indica. No se facilitan a terceros datos con relación a la deuda y se procura no identificar a la entidad como “Celeris Servicios financieros” sino que se dice solamente “Celeris, una empresa de Madrid” o se da el nombre del gestor. Solo en el caso de que la tercera persona conozca la deuda y así lo ponga de manifiesto por su propia iniciativa y solicite instrucciones de pago, el operador puede hablar sobre la misma y siempre ateniéndose a la información que la tercera persona comunica. v.Transcurridos 120 días desde la fecha del vencimiento del recibo impagado, se pasa a la fase judicial, en la cual, además de requerir el pago a través de demandas judiciales, puede continuarse realizando gestiones telefónicas encaminadas a conseguir un acuerdo de pago de la deuda. g. De acuerdo con el procedimiento utilizado por CELERIS: i.Las llamadas de teléfono se realizan en principio a los teléfonos de contacto que han sido facilitados por el propio cliente, sin embargo, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 en el caso en que no sea posible contactar con ellos, se realizan búsquedas de posibles teléfonos de contacto en los repertorios telefónicos (páginas amarillas, QDQ y similares), utilizando como criterios de búsqueda el nombre y apellidos y la localidad del domicilio del cliente, o bien cualquier dato que el cliente haya facilitado en el contrato suscrito, así como la información que sobre el cliente figura en la documentación aportada en la solicitud del crédito, (Documento Nacional de Identidad, justificante de nómina u otra). No se enriquece la información a través del servicio de información de terceros, como Saberlotodo, Dateas, o similares. Tampoco se usan guías telefónicas de búsqueda inversa. ii.De esta forma, se obtienen “posibles teléfonos de contacto” de un cliente a través de llamadas a familiares (padres o hermanos), cuyos datos de números de teléfono se obtienen de repertorios telefónicos, a partir de los apellidos del cliente y la localidad de su domicilio y en algún caso, a partir de los nombres de los padres, que constan en el Documento Nacional de Identidad del cliente. iii.En las llamadas realizadas, una vez confirmada la relación del interlocutor con el cliente, se solicita que se traslade al cliente el “aviso” de que contacte con CELERIS para un asunto urgente, no facilitando ninguna información acerca de la deuda ni del importe de la misma. iv.Así mismo, se remiten “avisos” a través de llamadas a números de teléfono que se obtienen de fuentes accesibles al público a partir de cualquier documento facilitado por el cliente. Al igual que en los contactos que se mantienen con familiares del cliente, no se facilita ninguna información acerca de la deuda ni del importe de la misma. h. La entidad dispone de una plantilla de 69 gestores de recobros, a fecha de la presente inspección. Es un personal que tiene un alto nivel de rotación. La entidad ha contratado formación sobre la LOPD para su personal a través de una empresa externa, mediante la impartición cursos on line. Aporta la entidad documentación acreditativa, consistente en dos certificados de la empresa INFORMA CONSULTING, fechados el 18 y 21/12/2012, según la cual dos grupos de empleados de CELERIS han realizado un curso sobre la LOPD y su reglamento de desarrollo. Dicho curso, según el certificado, ha sido adaptado a los procedimientos internos y al Documento de Seguridad de CELERIS. i. C/ Jorge Juan, 6 28001 – Madrid La entidad dispone de una aplicación informática denominada BASARI, donde quedan registrados, entre otros eventos, los contactos telefónicos que se mantienen tanto con el cliente como con otras personas. No existe codificación normalizada, y cada gestor anota en texto libre los comentarios www.agpd.es sedeagpd.gob.es 5/13 sobre las gestiones realizadas y los contactos mantenidos con el titular o terceros, utilizando abreviaturas propias.
3. Los inspectores de la Agencia solicitan a los representantes de CELERIS que les facilite el acceso al fichero de GESTION DE EXPEDINTES, con objeto de realizar comprobaciones de los datos que constan en los mismos relativos a 18 personas que han presentado denuncia ante la Agencia Española de Protección de Datos en relación con los hechos investigados en la presente Inspección. Los datos de cada una de los denunciantes y de los resultados de las comprobaciones realizadas se adjuntan a la presente Acta de Inspección como ANEXOS numerados del 1 al
4. Con carácter general, se ha comprobado lo siguiente: a. Se intenta localizar a los prestatarios en los teléfonos facilitados al efecto por ellos mismos. b. De no ser localizados en estos teléfonos se intenta localizarlos en su trabajo. Informa la entidad que dispone de dicha información por ser habitualmente solicitada una copia de la nómina en el momento de constituir el préstamo. Si el prestatario cambia de trabajo se intenta localizar el nuevo trabajo. c. Se intenta localizar al prestatario en otros posibles teléfonos de contacto a través de llamadas a familiares, cuyos números de teléfono se obtienen mediante consultas en repertorios telefónicos a partir de los apellidos de cliente y de la localidad en que reside. d. Se buscan también teléfonos en el mismo edificio en que vive el prestatario, solicitando a los vecinos que deje nota o den recado al prestatario para que se ponga en contacto con el gestor. e. Se busca igualmente en su entorno, tiendas del barrio, o en personas con apellidos similares, que puedan conocer al prestatario. f. Consta en el sistema de gestión de contactos que se pueden bloquear o desbloquear los intentos de contacto con el entorno. g. Consta igualmente en el sistema que se realizan solicitudes en nombre de los prestatarios, siendo requerida por la entidad la acreditación de representación.
5. Manifiestan los representantes del inspeccionado: a. Los clientes están categorizados en tres tipos: A: Cliente que cobra de durante los días 1 al 9 de cada mes. B: Cliente que cobra el día 10 (aquellos que están en paro) C: Clientes que cobran después del día 10 (jubilados). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 b. Indican los representantes de la entidad que siempre se pregunta si conocen al titular, para dejar recado de que llame. Se suele dar el nombre del recobrador, se puede dar también el nombre de la empresa, pero sin identificar que se trata de una entidad financiera, solamente se identifica como “Celeris”. c. Si no se puede contactar con familiares, previa autorización, se pasa a realizar búsquedas en el entorno (búsquedas por páginas blancas, en el mismo edificio, comercios en la misma calle, etc). Si ha habido quejas del titular respecto a las actuaciones en su entorno se puede dar orden de que no se realicen contactos con el entorno (vecinos y similares) o con familiares. Si no es posible contactar con el denunciante se puede autorizar nuevamente que se realicen contactos con familiares o con el entorno. d. Se puede igualmente intentar el contacto con los titulares a través de la empresa en la que trabajan, información de la que se dispone normalmente, por solicitarse habitualmente la entrega de una nomina para la formalización del préstamo, además, usualmente los familiares o vecinos informan de la empresa en la que trabaja el titular del préstamo. e. Los representantes de la entidad reconocen que la actividad de recobros se percibe como molesta e insistente, habiendo sido denunciados en varias ocasiones por acoso o amenazas, si bien las denuncias han acabado siendo finalmente desestimadas por los jueces. En todo caso, se han impartido instrucciones a todos los niveles para que se respete la normativa de protección de datos. Aporta la entidad dos resoluciones judiciales. La primera de ellas, es una sentencia del Juzgado de Paz de Villamanrique, fechada en 2012, según la cual el acusador formuló denuncia ante la Guardia Civil, por molestias causadas a consecuencia de llamadas de la entidad financiera. Entendió entonces el Juzgado que no había quedado probada la existencia de actitud coactiva o amenazante por parte de la entidad denunciada. En la segunda sentencia, del Juzgado de Instrucción nº 54 de Madrid, se acusa a la entidad: <<… a causa de unos impagos ese empresa y sus empleados la llaman por teléfono constantemente, reclamándole el pago de la deuda y diciendo que están enfrente de su casa y que tenga cuidado al salir, que van a decir a todos sus vecinos que es una morosa y que está en búsqueda para que no pueda salir de su casa…>> En los fundamentos de derecho de dicha sentencia el juez dice: <<… no se prueba que la empresa Celeris Servicios Financieros, a través de sus empleados, llamara continuamente a la denunciante, intimidándola con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 frases amenazantes. Los testigos que declararon en el acto de juicio, a propuesta de la denunciante, solo acreditan que en su presencia la denunciante recibió una llamada, reconociendo el testigo policía que en esa llamada le reclamaban el pago de una deuda … Por tanto, no habiendo aportado por la acusación prueba cierta, objetiva e incuestionable, que desvirtúe la presunción de inocencia que como derecho fundamental ampara a la denunciada acusada la sentencia ha de ser absolutoria con todo clase de pronunciamientos favorables.>> f. En las anotaciones realizadas por los recobradores en el sistema de gestión de contactos se suele anotar si las personas contactadas colaboran o no. Muchas personas suelen dar amplia información acerca de familiares, empresa, domicilios. g. Se puede dar información a representantes legales, pero se les requiere acreditar la representación, al menos mediante autorización firmada por el prestatario. h. En ocasiones llama un tercero solicitando instrucciones de pago de la deuda, y la entidad le facilitará la información solicitada si el interlocutor demuestra conocer al prestatario y la deuda existente. i. Ha habido prestatarios que han intentado utilizar la LOPD como herramienta para dificultar las acciones de recobro. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III En el caso que nos ocupa, de las actuaciones practicadas por la Agencia en la inspección realizada ante Celeris, se comprueba que esta entidad no ha vulnerado el deber de secreto recogido en el artículo 10 de la LOPD, en la medida en que no reveló ningún dato de la deuda de ninguno de los denunciantes a terceros ajenos a la misma. Existen diversas vías de comunicación utilizadas por Celeris para ponerse en contacto con los deudores para requerirles el pago de la deuda. Si contactan con personas distintas al titular u otros intervinientes, una vez conocida la relación del interlocutor con el cliente, se les solicita únicamente que traslade al cliente el “aviso” y no se comunica a terceros información sobre el objeto de la llamada ni de la deuda. Por tanto, no hay evidencias que permitan señalar que Cleris haya revelado datos de la deuda de los denunciantes a terceros ajenos a la misma, y ello se deduce de la inspección practicada por esta Agencia, así como por el hecho de que no se han aportado por los denunciantes pruebas que puedan determinar una posible vulneración de la normativa en materia de protección de datos por parte de esta entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 A este respecto ha de tenerse en cuenta que el Tribunal Constitucional viene manteniendo que los principios y garantías del procedimiento judicial penal son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también este es manifestación del ordenamiento punitivo del Estado, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: “
6. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. En el presente caso, no se ha aportado ninguna evidencia o indicios de los que pueda deducirse que Celeris facilitara a terceros información sobre las deudas. Por último, es preciso señalar, en relación a las gestiones de cobro de las deudas practicadas por Celeris, lo recogido en la Sentencia de la Audiencia Nacional de 14 de marzo de
7. La citada Sentencia examina la actuación de la entidad Cofidis que con el objeto de realizar las gestiones de recobro de deudas mantiene reiterados contactos telefónicos tanto con sus clientes como con otras personas de su entorno, señalando que el hecho de que dicha entidad “...realizara numerosas llamadas a teléfonos de personas distintas de sus clientes, tanto de familiares o de “otros”, tampoco tiene entidad por si solo para acreditar la infracción apreciada, pues lo relevante (como la propia resolución impugnada viene a reconocer) es su contenido, es decir, que en dichas llamadas se revelaran datos personales de sus clientes y especialmente, información sobre su situación de morosidad”. En lo que se refiere a los faxes enviados a los centros de trabajo en los que se conmina al deudor a contactar con COFIDIS, la Sentencia señala que <<en ellos se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 indica el nombre y apellidos de la persona a quien se dirige y un número de teléfono para que el destinatario contacte de forma urgente con dicho número, figurando como “asunto: solicitud de contacto” y si bien figura en algunos una referencia al contrato, se trata de una referencia numérica que nada dice por si misma ni se relaciona con ninguna deuda, efectuándose para facilitar la identificación del asunto al denunciante>>. Considera la Sala que “no cabe apreciar que se produzca infracción del deber de confidencialidad a través de dichos faxes y el hecho de que se reciban llamadas en el centro de trabajo para contactar con clientes de Cofidis, no implica por si solo ni en conexión con los citados faxes... vulneración del deber de secreto, no debiendo olvidarse que los tipos sancionadores al igual que los penales, son de aplicación estricta. >> IV Respecto al posible tratamiento de datos de los denunciantes por Celeris a la hora de contactar con terceros ajenos a la deuda para localizar a los denunciantes, cabe señalar lo siguiente: El artículo 6.1 y 2 de la LOD dispone que: ”
8. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “
9. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el tratamiento de datos sin consentimiento de su titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. La Audiencia Nacional en su Sentencia de 14 de mayo de 2009 recoge lo siguiente: “al haber prestado el denunciante su consentimiento para el tratamiento de determinados datos personales como su nombre y apellidos, domicilio y número de teléfono, en el contexto de una relación contractual, ese consentimiento inicial continúa proyectándose mientras permanece la relación contractual respecto de datos personales del mismo tipo que los que fueron proporcionados y autorizado su uso, siempre que su tratamiento continúe siendo necesario para el cumplimiento o ejecución del contrato ningún reproche puede hacerse por tanto al tratamiento de dichos datos. Añade la referida Sentencia que “incluso la LOPD prescinde de la necesidad del consentimiento al establecer como excepción al mismo - en el apartado 2 del artículo 6 que no es necesario el consentimiento cuando los datos se refieran a las partes de un contrato o precontrato y sean necesarios para su mantenimiento o cumplimiento”. concluye que “la entidad que actuaba como encargada del tratamiento realiza su actividad para el cumplimiento del contrato suscrito entre el denunciante y la entidad que le efectuó el encargo y que dicho contrato exige para su cumplimiento el tratamiento de los datos personales del domicilio del denunciante para poder comunicar con él cuando deja de cumplir sus obligaciones, siendo indiferente a estos efectos que el concreto dato del domicilio haya cambiado pues su tratamiento está amparado en el consentimiento inicial o, en todo caso, en la excepción contenida en el artículo 6.2 LOPD . La doctrina sentada por la citada Sentencia ha sido, asimismo, recogida por la Audiencia Nacional en las Sentencias de 21 de enero y 22 de julio de
10. En las citadas Sentencias se hace referencia a la obtención por parte de un encargado del tratamiento contratado por un determinado acreedor de datos adicionales que permiten conocer el domicilio o número de teléfono de un deudor determinado en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 supuestos en los que se ha producido un cambio en los mencionados datos, habiéndose obtenido la información de fuentes tales como ficheros con el carácter de fuente accesible al público, detectives privados o incluso la solicitud de información a familiares del deudor. Ahora bien la legitimación para el tratamiento de los datos comprende el tratamiento de los datos del deudor y no el de los familiares, por lo que si Celeris los estuviere tratando deberá proceder a la cancelación de éstos, cuando se hayan actualizado los datos del deudor y, en todo caso, cuando el afectado –familiar o persona del entorno del deudor- ejercite su derecho de cancelación, al prevalecer, en estos casos, el derecho a la protección de datos sobre el interés del acreedor. V Dicho lo anterior resta por decir que tampoco corresponde a esta Agencia evaluar la conducta de la empresa que realiza la gestión de cobro de la deuda, en lo relativo a la persistencia de los procedimientos utilizados para realizar el requerimiento de pago. Asimismo señalar que la Ley 3/1991, de 10 de enero, de Competencia Desleal, modificada por Ley 29/2009, de 30 de diciembre, por la que se modifica el régimen legal de la competencia desleal y de la publicidad para la mejora de la protección de los consumidores y usuarios, considera en su artículo 29 prácticas agresivas por acoso realizar propuestas no deseadas y reiteradas por teléfono, fax, correo electrónico u otros medios de comunicación a distancia, salvo en las circunstancias y en la medida en que esté justificado legalmente para hacer cumplir una obligación contractual, como sucede en el caso que nos ocupa. VI A la vista de las consideraciones precedentes y toda vez que hay una falta de pruebas que acrediten los hechos atribuidos a Celeris por los denunciantes, debe concluirse que no existe prueba de cargo suficiente para imputar a la citada entidad la comisión de una infracción del artículo 10 de la LOPD, por lo que procede acordar el archivo de las actuaciones previas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
11. PROCEDER AL ARCHIVO de las presentes actuaciones.
12. NOTIFICAR la presente Resolución y el Anexo 1 al denunciante 1, la presente Resolución y el Anexo 2 al denunciante 2, la presente Resolución y el Anexo 3 al denunciante 3, la presente Resolución y el Anexo 4 al denunciante 4, la presente Resolución y el Anexo 5 al denunciante 5, la presente Resolución y el Anexo 6 al denunciante 6, la presente Resolución y el Anexo 7 al denunciante 7, la presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Resolución y el Anexo 8 al denunciante 8, la presente Resolución y el Anexo 9 al denunciante 9, la presente Resolución y el Anexo 10 al denunciante 10, la presente Resolución y el Anexo 11 al denunciante 11, la presente Resolución y el Anexo 12 al denunciante 12, la presente Resolución y el Anexo 13 al denunciante 13, la presente Resolución y el Anexo 14 al denunciante 14, la presente Resolución y el Anexo 15 al denunciante 15, la presente Resolución y el Anexo 16 al denunciante 16, la presente Resolución y el Anexo 17 al denunciante 17 y la presente Resolución y el Anexo 18 al denunciante
14. NOTIFICAR la presente Resolución y el Anexo 19 a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es