E-05410-2015

1/7 Expediente Nº: E/05410/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad IBICE DT OPERACIONES, S.L., en virtud de la denuncia presentada por D. B.B.B. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 09/06/2015 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. B.B.B. (en lo sucesivo, el denunciante) en el que expone que el 08/05/2015 IBICE DT OPERACIONES, S.L., (en lo sucesivo, IBICE o la denunciada), entidad a la que no conoce y a la que no le ha facilitado sus datos bancarios, ha realizado un cargo por importe de 29 euros en su cuenta bancaria. Acompaña a la denuncia copia del DNI y de un recibo de adeudo por domiciliación en una cuenta de BANKIA cuyo titular es el denunciante por importe de 29 euros, en el que consta como emisor/acreedor IBICE DT OPERACIONES, ES***********, como concepto “Asistencia Legal Familiar” y como fecha de operación 08/05/

1. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: << ACTUACIONES PREVIAS
2. Ibice DT Operaciones S.L. es una entidad que presta servicios de asesoramiento jurídico y asistencia legal y opera bajo la marca PROTECTOR LEX. Los clientes pueden ser personas físicas, autónomos o empresas. Los clientes que son personas físicas se dan de alta en la entidad a partir de un enlace que se les facilita por medio de diferentes campañas comerciales, entre las que se encuentra la financiera de Renault -RCI BANQUE S.A.-,. Para los clientes de RCI BANQUE S.A., interesados en los servicios ofertados por la PROTECTOR LEX, deben darse de alta por medio de un enlace a su portal de Internet que le ha facilitado la propia financiera y aportar sus datos personales. La oferta comercial incluye los primeros 6 meses sin cargo, pasado este plazo se pasa un cobro de 29 € correspondiente a otro semestre, a partir de este momento el cobro que se realiza es anual. Una vez que el cliente ha cumplimentado el formulario debe aceptar las condiciones del servicio y prestar su consentimiento para que RCI Banque S.A. comunique a Protector Lex los datos identificativos y bancarios del cliente para dar cumplimiento a la finalidad del contrato. En este formulario se pueden descargar las condiciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 generales de uso y contratación. En dichas condiciones figura un apartado que informa de los tratamientos de datos y de la identidad del responsable del fichero. También incluye información relativa al desistimiento. Los datos aportados en el formulario que figura en el portal de Internet de la entidad se envían al fichero de clientes, quedando registrada toda la información facilitada así como la dirección IP desde la que se realiza la conexión y la hora.
3. Sobre el sistema de información de la entidad se han realizado las siguientes verificaciones. 2.
4. Se consulta en el fichero de clientes la información asociada al DNI F.F.F. verificando que figuran datos relativos a D. B.B.B., con fecha de alta 14/11/2014 y titular del servicio “Asistencia Legal Familiar”, estado de pago “impagado” y cuenta “RCI NL”. A la vista de esta información, los representantes de la entidad manifiestan que este cliente se ha dado de alta personalmente utilizando el enlace de la entidad facilitado por la financiera RCI Banque. 2.
5. Se accede al fichero de facturación verificándose que se ha emitido una única factura de 29 € que consta como devuelta. A la vista de esta información, los representantes de la entidad manifiestan que este cliente ha disfrutado de 6 meses gratuitos de servicio sin haber desistido del mismo. Al recibir la primera factura la ha devuelto causando baja en la entidad. 2.
6. Se accede al fichero que contiene sin procesar la información recabada en el formulario cumplimentado por el cliente y enviada desde el portal de Internet al fichero de clientes, constando como dirección IP D.D.D. y fecha de la conexión 14/11/2014 a las 19:59:41>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Corresponde indicar, en primer término, cuál es el marco normativo en el que han de valorarse los hechos expuestos en la denuncia. La LOPD consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone en su artículo 6, bajo la rúbrica “Consentimiento del afectado”: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 “
7. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.
8. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. Este precepto debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3 h) de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De acuerdo con las disposiciones transcritas el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular del que se dispensa al responsable del fichero - entre otros supuestos previstos en la LOPD- cuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD), pues en tal caso el consentimiento otorgado por el contratante lleva implícito el consentimiento para el tratamiento de su datos personales en tanto son necesarios para su desenvolvimiento o ejecución. El principio del consentimiento o autodeterminación recogido en el artículo 6.1 de la LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos y alude a la necesidad de contar con el consentimiento inequívoco e informado del afectado para que el tratamiento de sus datos sea ajustado a Derecho. Conforme al citado precepto el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos que en palabras del Tribunal Constitucional Sentencia 292/2000, de 30 de noviembre, F.J. 7- “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 poder oponerse a esa posesión y usos.” La cesión de datos personales se regula en el artículo 11 de la LOPD que dispone: “Comunicación de datos.1.Los datos de carácter personal objeto de tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”. (El subrayado es de la AEPD) III La denuncia que examinamos versa sobre el tratamiento que IBICE ha hecho de los datos personales del denunciante -materializado en la emisión contra su cuenta bancaria de un cargo de 29 euros correspondiente a un servicio de asistencia legalpresuntamente sin su consentimiento. El denunciante ha manifestado que ni conoce a la entidad denunciada ni le ha facilitado sus datos bancarios y en el formulario de su denuncia, en el apartado destinado a “asunto denunciado” ha hecho constar “fraude o suplantación en la contratación”. Las actuaciones llevadas a cabo por la Inspección de Datos de la AEPD en la sede de la entidad IBICE han puesto de manifiesto los siguientes hechos con relevancia a los efectos que nos ocupan. IBICE, que presta servicios de asesoramiento jurídico y asistencia legal y opera bajo la marca comercial Protector Lex, ha explicado que sus clientes personas físicas “se dan de alta con la entidad” a partir de un enlace al que es posible acceder en el marco de diferentes campañas comerciales entre las que se encuentra la de RCI BANQUE S.A. Así, los clientes de RCI BANQUE, S.A., que estuvieran interesados en sus servicios debían darse de alta a través de un enlace que facilita la entidad financiera, cumplimentar sus datos y aceptar tanto las condiciones del servicio como la cesión por RCI BANQUE, S.A., de sus datos bancarios a IBICE. La denunciada ha explicado también que la oferta comercial que se efectuó a través de RCI BANQUE, S.A., consistió en que durante los seis primeros meses el cliente no abonaría ningún cargo, debiendo abonar 29 euros por el segundo semestre y a partir de entonces abonar anualmente el precio del servicio. Por lo que respecta a los datos personales del denunciante, en el curso de la inspección practicada en IBICE los inspectores de la AEPD accedieron a los ficheros de clientes de la entidad y verificaron que se encuentra registrado en ellos el DNI del denunciante, F.F.F., asociado a su nombre y apellidos, como titular de un servicio de “Asistencia Legal Familiar” con fecha de alta el 14/11/2014, constando como impagado y cuenta “RCI NL”. Los representantes de la entidad manifestaron que el denunciante se había dado de alta personalmente a través de un enlace facilitado por RCI BANQUE, S.A. Examinado el fichero que contiene la información procedente del formulario que supuestamente cumplimentó el denunciante al darse de alta, consta lo siguiente: su nombre y apellidos, el NIF ( F.F.F.), teléfono ( E.E.E.), dirección electrónica ( C.C.C.), dirección IP desde la que se dio de alta ( D.D.D.) y fecha y hora de alta (14/11/2014 a las 19:59:41). Tanto el NIF, como el teléfono y la dirección electrónica coinciden plenamente con la información que el denunciante ha hecho constar en el escrito de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 denuncia que dirigió a la AEPD. Los inspectores accedieron al enlace que RCI BANQUE, S.A., proporcionó a sus clientes y a través del cual se habría dado de alta el afectado y obtuvieron una copia del formulario que había que cumplimentar y de las condiciones generales de la contratación que el afectado tenía que aceptar, a las que se accedía a través de un enlace. Se comprueba que el formulario de recogida de datos tiene una casilla sin marcar seguida de esta leyenda: “Conozco, acepto y doy mi conformidad a las Condiciones del servicio. Así mismo, consiento que RCI BANQUE, S.A., con domicilio en (C/.......1), la cesión de mis datos identificativos y bancarios a PROTECTOR, para dar cumplimiento a los fines relacionados con el presente contrato. Descargar condiciones”. A continuación hay un botón con la indicación “Aceptar”. (El subrayado es de la AEPD) Igualmente, se comprueba que el documento que puede descargarse a través del enlace, denominado “Condiciones generales de uso y contratación, Asistencia Legal Familiar”, indica lo siguiente: “El servicio contratado le permite disponer de un número de teléfono en el que será atendido las 24 horas del día todo el año por abogados expertos en cuestiones legales relacionadas con la vida cotidiana. Los servicios son los descritos a continuación. (…) Este documento informa además de que los datos facilitados por los beneficiaros del servicio Asistencia Legal Familiar serán incluidos en un fichero de Protector Lex, de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición y del medio facilitado para ello, e indica que el contratante autoriza a RCI BANQUE a ceder sus datos bancarios para el cumplimiento de los fines relacionados con el presente documento y a Protector Lex para que emita un recibo de 29 euros contra su cuenta bancaria transcurridos los seis primeros meses de disfrute del servicio, que será gratuito, y a las sucesivas renovaciones anuales por importe de 59 euros. A la luz de la documentación que obra en el expediente hemos de concluir que no existe ningún indicio razonable que corrobore la versión de los hechos ofrecida por el denunciante. Por el contrario, existen numerosos indicios de que el denunciante, mediante la cumplimentación de un formulario al que habría tenido acceso desde un enlace de RCI BANQUE, S.A., facilitó sus datos personales a la entidad denunciada, aceptó las condiciones generales del contrato de Asistencia Legal Familiar -consintiendo así el tratamiento de sus datos personales con la finalidad de dar cumplimiento a dicho contrato, ex artículo 6.2 LOPD- y consintió la cesión por RCI BANQUE, S.A., a la denunciada de sus datos bancarios con el único fin de dar atender el pago del servicio de asistencia legal contratado. Hay que recordar, llegados a este punto, que están vigentes en el Derecho Administrativo sancionador -con alguna matización pero sin excepciones- los principios que inspiran el Derecho Penal, entre ellos el de presunción de inocencia consagrado en el artículo 24.2 de la Constitución que impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor y que ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990 considera que el derecho a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “
9. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En atención a lo expuesto, habida cuenta de que no existe ningún indicio razonable de una presunta infracción de la LOPD (artículos 6.1 y 11.1) que se atribuye a IBICE, corresponde acordar el archivo de las actuaciones de investigación practicadas. Por tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
10. PROCEDER AL ARCHIVO de las presentes actuaciones.
11. NOTIFICAR la presente Resolución a IBICE DT OPERACIONES, S.L. y a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es