E-05395-2013

1/8 Expediente Nº: E/05395/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO CETELEM, S.A., en virtud de denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 2 de abril de 2013 tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que BANCO CETELEM, S.A., (en lo sucesivo, CETELEM o la denunciada) “entidad de crédito con la que nunca he tenido relación contractual”, le ha enviado sms de publicidad a su móvil -***TEL.1- sin su consentimiento. Manifiesta que ha recibido un total de doce mensajes desde el 2 de julio de 2012 y añade que, siguiendo las indicaciones de los mensajes, el 14 de febrero de 2013 contactó con CETELEM en el número ***TEL.2 y solicitó no recibir más publicidad, pese a lo cual el 2 de abril de 2013 recibió un nuevo sms publicitario de la denunciada. El presente expediente, E/05395/2013, es consecuencia de la resolución del Director de la Agencia Española de Protección de Datos, de 30 de septiembre de 2013, que estimó el recurso de reposición formulado por el denunciante contra una anterior resolución -recaída en el E/02644/2013, de fecha 22 de julio de 2013, que acordaba no incoar actuaciones de investigación previa en relación a los hechos denunciados- y ordenó a la Subdirección General de Inspección de Datos de esta Agencia que procediera a efectuar la correspondiente investigación. SEGUNDO: Por la Subdirección General de Inspección de Datos se efectuaron las actuaciones encaminadas al esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas que se reproduce: <<ANTECEDENTES Con fecha de 2 de abril de2013 tiene entrada en esta Agencia a través de su sede electrónica un escrito de A.A.A., en adelante el denunciante, en el manifiesta lo siguiente: HECHOS DENUNCIADOS 1. BANCO CETELEM S.A., en adelante CETELEM, entidad con la que no ha mantenido relación comercial alguna, le ha remitido un total de 12 SMS publicitarios desde el 2/07/2012 a su línea de telefonía móvil ***TEL.1. 2. Con el fin de no recibir más mensajes llamó el 14 de febrero al ***TEL.2, línea en la cual quien le atendió le pregunto, aduciendo motivos de seguridad, su nombre, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 apellidos, número de móvil, DNI y el nombre de las entidades financieras de las que había sido cliente. 3. A fecha 2 de abril ha vuelto a recibir un nuevo SMS de CETELEM. Con fecha 7 de mayo de 2013 tiene entrada en esta Agencia un correo electrónico del denunciante en el que éste aporta lo siguiente:

1. a)Imágenes, un tanto oscuras, de los mensajes recibidos por éste entre el 8 de marzo de 2012 y el 2 de abril de 2013.
2. b)Copia del burofax de baja remitido el 19 de abril de 2013.
3. c)Copia de la respuesta dada por CETELEM el 23 de abril de 2013.
4. d)Copia del correo electrónico remitido a CETELEM el 26 de abril de 2013 Mediante resolución de 22 de julio de 2013, se acuerda no incoar actuaciones previas de inspección al entender esta agencia que no se habían aportado elementos de prueba que justificasen los hechos denunciados. El 31 de julio de 2013 el denunciante presenta escrito de Recurso de reclamación que es resuelto el 30 de septiembre de 2013 estimando la reclamación lo que da lugar a la apertura del presente expediente. ACTUACIONES PREVIAS 1. Debido a la calidad de las imágenes no es posible distinguir en todos los caso el contenido y la fecha de recepción de los SMS. Se debe de tener en cuenta que la naturaleza de los mensajes aportados es en algunos casos publicitaria mientras que en otras es informativa, limitándose el texto del mensaje a indicar al destinatario la utilización de un servicio financiero prestado por CETELEM. En el caso de los mensajes de contenido publicitario, todos son identificados con el texto “CETELEM. PUBLI” y proporcionan un número gratuito al que llamar para no recibir más mensajes. Todos los mensajes informativos comienzan con el texto “CETELEM. Cetelem informa:”. Y proporcionan como medio para no recibir más mensajes informativos el teléfono ***TEL.2. A continuación se listan las fechas en las que el denunciante recibió mensajes indicando en cada caso si la naturaleza del mensaje es puramente informativa o publicitaria.  08/03/2012 (Publicidad)  29/03/2012 (Publicidad)  17/04/2012 (Publicidad)  25/04/2012 (Publicidad)  28/05/2012 (Operación)  02/07/2012 (Publicidad)  08/08/2012 (Publicidad) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8  24/09/2012 (Operación)  11/10/2012 (Publicidad)  27/11/2012 (Publicidad)  13/12/2012 (Publicidad)  03/01/2013 (Publicidad)  11/01/2013 (Publicidad)  08/02/2013 (Publicidad)  13/02/2013 (Operación)  02/04/2013 (Publicidad) El 13 de febrero de 2014 se realizó una inspección en la sede de CETELEM en la que se verifican los siguientes hechos: 2. El denunciante consta en el fichero de clientes de CETELEM asociado a un producto financiero contratado el 5 de febrero de 2004 CETELEM dispone de un contrato firmado a nombre del denunciante al que acompaña una fotocopia del DNI del denunciante y de la primera página de una libreta de una cuenta bancaria a su nombre. 3. En los sistemas de la entidad no consta el envío de ningún SMS al denunciante ni a la línea ***TEL.1. 4. En el fichero Robinson de CETELEM constan los datos del denunciante, que fueron incluidos el 14 de febrero de 2013. Los representantes de la entidad manifiestan que la publicidad de la entidad únicamente se remite a personas que sean clientes de la misma y que no estén incluidos en el fichero Robinson de la entidad, que se cruza con la lista de destinatarios antes de realizar cualquier envío. 5. En los sistemas de información de la entidad constan como interacciones la resolución de la solicitud de oposición de fecha 14 de febrero de 2013 y el envío de la respuesta de 23 de abril de 2013 aportada por el denunciante en la que CETELEM le indica la resolución de su solicitud. 6. Consultado el expediente en papel que contiene las solicitudes de oposición remitidas por el denunciante los días 19 y 26 de abril de 2013 se constata que, aparte de las solicitudes y de la carta informando de la resolución se encuentran dos dichas de actualización de datos, una a nombre del denunciante de fecha 23 de abril de 2013, con fecha de inicio de 14 de febrero de 2013 en la que se muestra que éste no tiene teléfonos asociados y una segunda ficha de actualización a nombre de B.B.B., en adelante la cliente, de identifica fecha y sin fecha de inicio. En la ficha de actualización de la cliente consta como uno de los teléfonos de contacto la línea ***TEL.3. En el expediente en papel constan copias de los contratos firmados tanto por el cliente como por el denunciante entre los que no parece haber relación. En respuesta a las cuestiones planteadas por los inspectores actuantes, los representantes de la entidad manifiestan que es práctica común cuando una cliente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 solicita no recibir más mensajes en su móvil, buscar el número de línea en cuestión en el fichero de clientes y borrar la línea en las fichas de cualesquiera otros clientes en los que aparezca. A su entender la ficha de la clienta aparece en el expediente porque el número ***TEL.1 aparecía entre sus datos de contacto previamente. 7. Consultados los sistemas de la entidad se comprueba que la línea ***TEL.3 asociada a la cliente si recibió todos los mensajes de naturaleza publicitaria que fueron incluidos en la denuncia. 8. Se comprueba que las operaciones registradas por la cliente coinciden con los SMS operativos de fechas 28 de mayo de 2012 y 24 de septiembre de 2012 que le informan de movimientos realizados con su tarjeta Aurora los días 26 de mayo y 21 de septiembre respectivamente.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
5. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada realizada por vía electrónica y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones han permitido que esta práctica se realice de forma abusiva e indiscriminada. La Ley 34/2002, de 11 de julio, de Servicios de la sociedad de la información y del comercio electrónico (LSSI), en su artículo 21, prohíbe el envío de comunicaciones sin el consentimiento previo del destinatario. El artículo 21 de la LSSI establece: “Prohibición de comunicaciones comerciales realizadas a través de correo electrónico o medios de comunicación electrónica equivalentes. 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija.” (El subrayado es de la Agencia) Por tanto, el envío de comunicaciones comerciales que no hayan sido autorizadas o solicitadas – con la excepción del primer párrafo del artículo 21.2 de la LSSI- podría ser constitutivo de una infracción grave o leve, tipificadas, respectivamente, en los artículos 38.3.
6. c)y 38.4.
7. d)de la citada norma, según redacción introducida por la Disposición Adicional octava de la Ley 59/2003. El artículo 38 de la LSSI dispone: “3. Son infracciones graves:
8. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente o el envío, en el plazo de un año, de más de tres comunicaciones comerciales por los medios aludidos a un mismo destinatario, cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
9. e)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.” El artículo 37 de la LSSI sujeta a su régimen sancionador a “los prestadores de servicios de la sociedad de la información” “cuando la presente Ley les sea de aplicación”. A su vez, el apartado
10. c)del Anexo de la Ley 34/2002 ofrece un concepto de lo que debe entenderse por “prestador del servicio”. Considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Paralelamente el apartado
11. a)del Anexo indica que, a los efectos de la LSSI, se entenderá por “Servicios de la sociedad de la información o servicios” “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario”. Y añade: “El concepto de servicio de la sociedad de la información comprende también a los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros, y siempre que representen una actividad económica, los siguientes: (…) 4. El envío de comunicaciones comerciales” (El subrayado es de la Agencia) III En relación con el asunto que nos ocupa hay que subrayar las siguientes cuestiones El denunciante ha manifestado que “nunca he tenido relación contractual” con CETELEM. Afirmación que reitera en el escrito de interposición del recurso de reposición en cuya alegación primera dice textualmente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 “que queda demostrado que CETELEM se apropió de mi número de móvil fraudulentamente al hacerlo sin mi consentimiento expreso, ya que no existe ninguna prueba documental o testimonial de que hubiera existido relación contractual alguna entre CETELEM y mi persona. En otras palabras, CETELEM no puede demostrar que obtuviera mi móvil de forma legal, violando de esta manera el artículo 44 punto 4 de la ley 15/1999” La investigación llevada a cabo por el Servicio de Inspección de la Agencia ha permitido verificar que el denunciante sí fue cliente de CETELEM, con la que contrató el 5 de febrero de 2004 un producto financiero. CETELEM conserva el contrato firmado por el denunciante, la copia de su DNI y la copia de la primera página de una libreta bancaria abierta a su nombre. Copias de estos documentos han sido incorporadas a este expediente por el Servicio de Inspección de la Agencia. El examen de esta documentación revela, entre otros aspectos, que fue el denunciante quien hizo constar en el contrato que celebró con CETELEM el número de móvil ***TEL.1 al que hace alusión en su denuncia y en el que dice haber recibido los sms de la entidad denunciada. Por tanto –en contra de lo aducido por el denunciante- sí fue cliente de CETELEM, entidad que obtuvo el dato relativo al número ***TEL.1 de forma legítima, pues fue su titular y actual denunciante quien se lo facilitó al incluirlo en el documento contractual. Los ficheros de CETELEM revelan que además de la contratación efectuada por el denunciante el 5 de febrero de 2004 existen registros de otras operaciones asociadas a su número de cliente que son posteriores a 2004, como una actualización del capital disponible de la línea de crédito, que tiene fecha de 23 de enero de 2012, y un apunte de fecha 23 de abril de 2013 con los datos bancarios del denunciante. De lo expuesto en los párrafos precedentes se evidencia que en la hipótesis de que CETELEM hubiera enviado los sms de contenido publicitario al número de móvil del denunciante -***TEL.1- esta conducta no sería contraria a la LSSI ni encuadrable en los tipos sancionadores del artículo 38.3 y/o 38.4. Esto, porque del artículo 21.2 de la LSSI, a sensu contrario, resulta que no es necesario el consentimiento expreso del destinatario de la comunicación comercial si existe una relación contractual previa y se cumplen las siguientes dos condiciones: que las comunicaciones versen sobre productos de la propia empresa y que sean similares a los que fueron inicialmente objeto de contratación. Todo ello sin perjuicio de que el denunciante, como ha quedado acreditado, hubiera comunicado a CETELEM el 14 de febrero de 2013 su oposición al envío de publicidad – oposición que fue atendida correctamente por la entidad denunciada- y de que posteriormente CETELEM enviara un sms el 2 de abril, cuestión sobre la que volveremos más adelante. Ahora bien, llegados a este punto hay que destacar un hecho de gran relevancia. La inspección practicada en los ficheros de CETELEM por esta Agencia ha acreditado que ninguno de los sms que CETELEM envió y a los que alude el denunciante se dirigieron al número de móvil ***TEL.1, sino a otro número distinto: el ***TEL.3 que en los ficheros de la compañía denunciada no está asociado al denunciante sino a una tercera persona, cliente de la entidad, M.T.C.H. Se ha verificado que obra en los ficheros de CETELEM una copia del contrato firmado por M.T. C.H. en el que consta el número de teléfono ***TEL.3 como teléfono del cónyuge de la contratante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 La información que aparece registrada en los sistemas de CETELEM es que no se remitió ningún sms a la línea del denunciante, ***TEL.1. Los inspectores de la Agencia comprobaron, mediante consulta hecha en el sistema que registra las comunicaciones remitidas por SMS -utilizando como criterio la línea de teléfono ***TEL.3- que figuraban un conjunto de envíos entre el 29 de marzo de 2012 y el 12 de diciembre de 2013 y tras un repaso a los mensajes publicitarios que el denunciante aportó con la denuncia se verificó que existían en el sistema registros de todos los sms a los que se alude en la denuncia y que todo ellos constan enviados a la línea ***TEL.3. Por último, solo resta indicar que es irrelevante a los efectos que nos ocupan que con “posterioridad a la fecha de 14 de febrero de 2013”, en la que el denunciante comunicó a la denunciada su oposición al tratamiento de sus datos, CETELEM hubiera enviado un nuevo sms, el 2 de abril de 2013. Como ya se ha indicado, y está acreditado, esta comunicación comercia de 2 de abril de 2013 se dirigió a un número de teléfono que no era el del denunciante, al ***TEL.3, número que no figura en los ficheros de la entidad CETELEM asociado a él. En definitiva, el sms no se remitió al teléfono del denunciante, ***TEL.1, que es el dato respecto al cual el denunciante había ejercido su derecho de oposición; derecho que fue correctamente atendido por CETELEM que incluyó este número en un particular fichero Robinson de clientes. En línea con esta consideración parece conveniente advertir que la legitimación para el ejercicio del derecho de oposición únicamente alcanza a aquellos datos de los que sea titular quien ejerce el derecho y como tal conste en los ficheros de la entidad ante la que se ejercita. Consecuencia del carácter personalísimo que tiene el derecho de oposición (STC 292/2002) y sobre lo que se ha pronunciado la Audiencia Nacional en Sentencia de 14 de diciembre de 2011 (Rca. 749/2010) A tenor de lo expuesto en los párrafos precedentes la conducta de CETELEM que se somete a nuestra consideración no vulnera las disposiciones de la LSSI, por cuanto los sms enviados por la denunciada se ajustaron a las previsiones del artículo 21 de la Ley 34/202. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a BANCO CETELEM, S.A. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es