1/5 Expediente Nº: E/06399/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades EXPERIAN BUREAU DE CREDITO, S.A., y TELEFÓNICA MÓVILES ESPAÑA, S.A.U., en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12 de septiembre de 2013, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A., con NIF E.E.E., en el que denuncia a la compañía Telefónica Móviles España, S.A.U. (en adelante MOVISTAR) manifestando que han realizado una contratación fraudulenta del número de línea D.D.D. sin verificar los datos personales y le han incluido en el fichero BADEXCUG, el día 9 de mayo de 2012, por importe de 804,6€. La compañía MOVISTAR da respuesta a la reclamación formulada por la denunciante, a través de la Consejería de Sanidad y Asuntos Sociales de la Junta de Castilla-La Mancha, el día 27 de agosto de 2013, comunicando lo siguiente: (..) hemos detectado alguna incidencia en la contratación de las líneas, por lo que procedemos a la anulación de todas las facturas generadas a nombre de la Sra. A.A.A. por los números D.D.D. y C.C.C.. Una vez anuladas dichas facturas no existe ninguna deuda pendiente de pago a nombre de la reclamante con el DNI E.E.E. de lo cual notificamos a las empresas de cobro para que no le soliciten el pago. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- Con respecto de la inclusión de los datos del denunciante en el fichero BADEXCUG: De la documentación remitida por la compañía Experian Bureau de Crédito, S.A., con fecha de 3 de diciembre de 2013, responsable del fichero sectorial denominado BADEXCUG cuya finalidad es la prestación de servicios sobre solvencia patrimonial y crédito, se desprende que no consta operación impagada asociada al NIF de la denunciante. Sin embargo, fue notificada a nombre y NIF de la denunciante una incidencia, con fecha de 10 de mayo de 2012, de la compañía informante MOVISTAR, por importe de 804,60€, a la dirección c/ B.B.B. de Madrid, según figura en el documento nº 3 Dicha incidencia fue dada de alta el día 9 de mayo de 2012 y de baja el 28 de agosto de
- Con respecto de TELEFONICA MÓVILES DE ESPAÑA, S.A.U.: Dicha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 compañía ha comunicado a la Inspección de Datos, con fecha de 29 de enero de 2014, en relación con la supuesta contratación de servicios por la denunciante lo siguiente: En el Sistema de Información de Clientes de la operadora consta a nombre de la denunciante las líneas D.D.D. y C.C.C., con fecha de alta el 20 de diciembre de 2011 y fecha de baja el 25 de junio de 2012, contrato básico personal terminal Samsung Galaxy, con domicilio c/ B.B.B. de Madrid y cuenta corriente de cargo. El motivo de la baja de la primera línea fue por “falta de pago” y la segunda por “fraude”. Las facturas emitidas por la operadora a nombre de la denunciante se encuentran anuladas y no constan contactos mantenidos entre la denunciante y la operadora. Por otra parte, la reclamación de la denunciante presentada ante la Junta de Castilla-La Mancha en la que manifiesta su disconformidad con las líneas contratadas se dio respuesta anulando las facturas y bloqueando la identificación y cuenta bancaria. La contratación de las líneas D.D.D. y C.C.C. se realizó de forma telefónica, procede de una portabilidad de la operadora Vodafone España, S.A., la cual se realizó de acuerdo con la normativa vigente en materia de telecomunicaciones, se aporta impresión de pantalla del Sistema de Gestión de Portabilidad y se aporta grabación telefónica de la contratación. Se ha verificado por la Inspección de Datos que en el fichero facilitado por la operadora, convertido a formato CD, consta una conversación telefónica mantenida entre dos personas, operadora y supuestamente la denunciante, en la que la operadora comunica los datos personales de la denunciante: nombre, apellidos, NIF, domicilio postal (c/ B.B.B. de Madrid), los teléfonos a portar D.D.D. y C.C.C. de la operadora Vodafone España, S.A. a MOVISTAR conservando los mismos números, los terminales que se le enviaran, condiciones económicas y de servicio. La denunciante exclusivamente contesta “SI” a las cuestiones de la operadora. En conclusión, manifiesta la operadora que inicialmente partió en todo momento de una contratación con una apariencia de total legitimidad, disponía de grabación y confirmación de la portabilidad realizada por ambas líneas con éxito, por lo que en un primer momento nada le hizo sospechar, el uso indebido por parte de un tercero. Asimismo, tras tener conocimiento formal de los hechos producidos y realizar una serie de comprobaciones por parte del departamento de fraude se procedió a la anulación de las facturas así como a bloquear cuenta bancaria e identificación, quedando de manifiesto la actuación diligente llevada a cabo por la operadora. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 y 2 de la LOD dispone que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 ”
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “
- No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el presente caso se trata de dilucidar si el tratamiento de los datos personales llevado a cabo por TME a raíz de la supuesta contratación por parte de la denunciante de la línea telefónica D.D.D. constituye, o no, posible infracción al principio del consentimiento recogido en el artículo 6 de la LOPD, toda vez que la afectada manifiesta que se ha realizado una contratación fraudulenta a su nombre. A la vista de información recabada durante las actuaciones previas de inspección se desprende que dicho tratamiento de datos se realizó por la entidad denunciada empleando la diligencia que le resultaba exigible, puesto que el alta de la línea telefónica en cuestión se realizó mediando grabación efectuada por un tercero independiente, en este caso Argonauta, S.A., al objeto de verificar la contratación telefónica por portabilidad, y cuya copia ha sido aportada por la entidad denunciada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 durante las actuaciones previas de inspección. TME también ha aportado impresión de varias pantallas que muestran que el operador donante es Vodafone y que la entidad verificadora comprobó que la portabilidad solicitada por la persona que se identificó con los datos personales de la denunciante era correcta, marcando el código “alta portada”. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística de fraude en la utilización de los datos personales. Así, La Audiencia Nacional señala en su Sentencia de 19 de enero de 2005, “el debate debe centrarse en el principio de culpabilidad, y más en concreto, en el deber de diligencia exigible a (…) en el cumplimiento de las obligaciones de la LOPD, y no tanto en la existencia misma de la contratación fraudulenta sino el grado de diligencia desplegado por la recurrente en su obligada comprobación de la exactitud del dato”. De acuerdo a estos criterios, se puede entender que TME empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación. En consecuencia, no cabe apreciar culpabilidad alguna en la actuación de esta entidad que trató los datos personales de la denunciante en la creencia de que se correspondían con los de la persona que solicitó la portabilidad. De este modo, la existencia de la grabación verificada por entidad independiente y la culminación sin rechazo del proceso de portabilidad dotan a dicha contratación por parte de la entidad denunciada de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad necesario para ejercer la potestad sancionadora, y que desde la perspectiva de la LOPD acreditaría la existencia de una relación contractual que, de conformidad con el artículo 6.2 de la LOPD, habilitaría a TME para tratar los datos personales de la denunciante en el marco de la gestión de los servicios supuestamente contratados por ésta. Junto a ello debe resaltarse que TME ha acreditado que con fecha 27 de agosto de 2013 informó a la Junta de Castilla La Mancha que se había anulado la deuda asociada a la facturación emitida a nombre de la afectada, no constando en la actualidad ningún importe pendiente de pago asociado a la denunciante. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a TME una vulneración de la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a EXPERIAN BUREAU DE CREDITO, S.A., a TELEFÓNICA MÓVILES ESPAÑA S.A.U., y a Doña A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es