1/5 Expediente Nº: E/06018/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad EL CORTE INGLES, S.A., en virtud de denuncia presentada por Don B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 28 de agosto de 2014, tuvo entrada en esta Agencia un escrito remitido por Don B.B.B., en el que declara lo siguiente:
- Que en fecha de 06/08/2014, realizó una compra de un teléfono móvil financiado a través de la página web de El Corte Inglés, siendo informado de que posteriormente le remitirían por correo el correspondiente contrato de venta financiada del que tendría de devolver una copia firmada a El Corte Inglés.
- Que a su regreso de las vacaciones recogió en su correspondencia postal un sobre remitido por El Corte Inglés conteniendo una carta a su nombre y un contrato para la adquisición financiada de ropa a nombre de otra persona.
- Que contactó con El Corte Inglés a quienes traslado su queja al pensar que si había recibido la información de otro cliente posiblemente la correspondiente a él, incluyendo sus datos personales y bancarios, había sido remitida a otro distinto. Que de la queja anterior únicamente obtuvo un reconocimiento del error sin que a su juicio aplicaran ningún protocolo por su parte para salvaguardar sus datos personales.
- Que el número de expediente que le facilitaron en atención al cliente relativo a su caso es el ***NÚMERO.
- Junto a la denuncia aporta la siguiente documentación:
- Copia del DNI C.C.C. de Don B.B.B..
- Copia de la página web relativa al pedido nº ***NÚMERO.1 efectuado por Don B.B.B., en fecha de 6/8/2014 para la adquisición de un Smartphone marca Samsung.
- Copia del escrito de fecha 21/8/2014 remitido por El Corte Inglés a Don B.B.B., con la documentación relativa al contrato de venta aplazada de ropa a nombre de Don A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- En fecha de 11/2/2015 se solicita información a El Corte Inglés, quien remite escrito de respuesta recibido en fecha de 2/3/2015, en el que pone de manifiesto que el proceso de preparación de la documentación en el caso de las comprar financiadas es el siguiente: 1.
- Se incluye en una tabla los datos de los clientes para su posterior impresión tanto en la carta que se adjunta con el contrato como en la etiqueta que se pega en el sobre. 1.
- Una vez confeccionada la tabla con los datos de los clientes, se sacan las copias de los contratos que se remiten a los clientes, se sacan las copias de los contratos que se remiten a los clientes, imprimiendo 2 copias de cada contrato. 1.
- Una vez impresos los contratos, se imprimen las etiquetas para los sobres. 1.
- A continuación, se introducen los contratos junto con la carta correspondiente en un sobre con la etiqueta con los datos de envío. 1.
- La fecha en que se produjo la incidencia mencionada es la misma que figura en la carta adjunta al cliente, el día 21 de agosto de 2014 1.
- Añade la entidad que todo el proceso de ensobrado y envío de los contratos se realiza de forma manual. 1.
- Finalmente señala la entidad que no consta en la base de datos ninguna reclamación de otros clientes, ni siquiera de Don A.A.A., en el sentido de que se le hubiera enviado un contrato que no fuera el suyo ya que afirman el Sr. A.A.A. recibió su contrato y lo envió firmado adjuntando copia del mismo, copia que coincide, salvo la firma del Sr. A.A.A., con la aportada por el denunciante Don B.B.B.. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal establece que: “El responsable del fichero y quienes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene, en palabras del Tribunal Constitucional en la citada Sentencia 292/2000, un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. La denuncia se concreta en el hecho de que El Corte Inglés le remitió una carta a su nombre y, en el interior del sobre, contenía un contrato para la adquisición financiada de ropa a nombre de otra persona. Se ha de tener en cuenta que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 137.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, establece que “Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. En este punto, procede traer a colación la Sentencia de la Audiencia Nacional de fecha 25 de mayo de 2011, que señala que: “de la valoración de la prueba obrante en el expediente administrativo se llega a la conclusión que no ha quedado debidamente acreditado esta hecho integrador del tipo, es decir no se prueba que el Banco entregara al Sr… el respectivo extracto, suscitándole este hecho concreto serias dudas frente a la exigible certidumbre”. Y concluye afirmando que “sin negar que pudieron producirse los hechos como indica la denunciante, tampoco puede rechazarse la posibilidad que el extracto no le fuera entregado al marido por el Banco, sino que aquel lo obtuviera aprovechando alguna visita al domicilio o mediante la actuación de algún familiar, dicho ello en términos de pura hipótesis”. En este sentido y para este caso, se ha de señalar que, tras las actuaciones previas de investigación, no se han encontrado indicios razonables que permitan establecer que se han producido los hechos denunciados. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a EL CORTE INGLES, S.A., y a Don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es