E-07470-2012

1/4 Expediente Nº: E/07470/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad XFERA MOVILES S.A.. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 05/10/2012, ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), escrito presentado por Dª A.A.A. (en lo sucesivo denunciante), en el que denuncia a la compañía XFERA MOVILES, S.A. (en adelante XFERA) manifestando que a pesar de tener una línea telefónica contratada con la citada operadora D.D.D., a partir del mes de junio domicilian recibos en su cuenta bancaria por una segunda línea E.E.E., creada de forma fraudulenta, y utilizando sus datos personales sin su consentimiento. Se adjunta factura emitida por XFERA a nombre de la denunciante, referente al mes de agosto de 2012, por los servicios de los números D.D.D. y E.E.E. y denuncia formulada ante la Guardia Civil que fue remitida a YOIGO con fecha de 04/09/

1. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: - La compañía XFERA MOVILES, S.A. ha informado a la Inspección de Datos, con fecha de 19/02/2013, en relación con la contratación del nº E.E.E. lo siguiente: La contratación de la línea E.E.E. fue solicitada el 08/06/2012 y dada de baja el 11/09/2012, debido a que el cliente informó de una supuesta suplantación de identidad y facilitó la denuncia formulada ante la Guardia Civil. Se adjunta copia del contrato supuestamente suscrito por la denunciante, del DNI, y de las condiciones generales de contratación, como documentos nº 7, 8, 9 y 10, por lo que indican que demuestran que la contratación tiene la apariencia de ser cierta, conforme a lo estipulado por el Real Decreto 1720/
2. Las facturas impagadas fueron las relativas a los meses de agosto y septiembre de 2012, cuya copia adjuntan, que fueron anuladas y no existen cantidades pendientes de devolver por parte de YOIGO. El distribuidor que realizó la contratación, que aparece identificado en la impresión de pantalla, es Dextra, S.A., sociedad con CIF ********** domiciliada en Madrid, en la (C/.........................1) en la localidad de Pinto. Se adjunta copia del contrato suscrito entre la operadora y el distribuidor como documento nº 11, en el que constan las instrucciones facilitadas al distribuidor para realizar las altas de los productos o servicios, en las que consta que los originales del contrato y de la documentación deben ser escaneados y remitidos al sistema de gestión documental de YOIGO. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 II El artículo 6.1 de la LOPD, determina: “
3. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Por su parte el apartado segundo del citado artículo establece que: “
4. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento del afectado constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso, la denunciante ha manifestado que tiene contratada línea de telefonía móvil con XFERA, pero que le estaban domiciliando recibos en su cuenta bancaria, por una segunda línea asociada al número C.C.C., que no había contratado. En primer lugar, de la documentación aportada al expediente se acredita que XFERA incorporó a sus ficheros los datos personales de la denunciante vinculados a la citada línea. También constan las facturas emitidas por XFERA con relación a línea de telefonía asociada al número C.C.C., documentos que han sido aportados por la entidad denunciada, de los que se desprende que los datos personales de la denunciante también figuran vinculados a la emisión de diversas facturas. XFERA ha aportado copia del contrato supuestamente suscrito por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 denunciante, con fecha 08/06/2012, donde figuran sus datos personales de carácter personal, así como sus datos bancarios y copia del DNI; el contrato se encuentra firmado, pero la firma no parece coincidir con la de la denunciante. No obstante, el documento aportado acreditaría la existencia de una relación contractual con la denunciante que habilitaría, de conformidad con el artículo 6.2 de la LOPD, al tratamiento de sus datos Por otra parte, tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por los servicios de inspección de esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a XFERA una vulneración de la normativa en materia de protección de datos: en primer lugar, ha aportado el contrato donde se recogen los datos de la denunciante, así como la adopción de la diligencia en la contratación de la línea, por una persona que responde a los datos personales de la denunciante al aportar copia del DNI y, en segundo lugar, la entidad denunciada actuó con una razonable diligencia al advertir, como consecuencia de la reclamación efectuada por la denunciante y el envío de la denuncia ante la guardia civil, la existencia de una actuación fraudulenta de suplantación de personalidad en la citada contratación, procediendo al bloqueo de las líneas y a su baja definitiva, así como la anulación de las facturas emitidas como consecuencia de la utilización de dicho servicio. En este sentido, se pronuncia la Audiencia Nacional en sentencia de 29/04/2010, rec. 76/2009 al señalar que “Así, al igual que razonamos en nuestra sentencia de fecha 29 de octubre de 2009 , a la vista de las especiales circunstancias concurrentes en el caso de autos, no cabe apreciar culpabilidad alguna (ni siquiera a título de culpa o falta de diligencia) en la actuación de la entidad recurrente, que actuó en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal con una documentación en apariencia auténtica y a ella correspondiente, por lo que estaba legitimada para el tratamiento de sus datos de carácter personal”. En consecuencia, al faltar uno de los requisitos exigidos para la imposición de sanción por vulneración del principio del consentimiento consagrado en el artículo 6.1 de la LOPD, procede dejar sin efecto la sanción impuesta por la comisión de dicha infracción”. Asimismo, la sentencia de la Audiencia Nacional de la misma fecha, rec. 700/2009, señala que “En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. Candelaria. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD”. Debe recordarse que como ha sostenido la Audiencia Nacional en la sentencia de 29/04/2010, la cuestión no es dilucidar si la recurrente trató los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato. Por todo ello, hay que concluir que XFERA no ha vulnerado el principio de consentimiento recogido en el artículo 6.1 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
5. PROCEDER AL ARCHIVO de las presentes actuaciones.
6. NOTIFICAR la presente Resolución a XFERA MOVILES S.A.. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es