E-08048-2012

1/7 Expediente Nº: E/08048/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SERVICIOS FINANCIEROS CARREFOUR EFC, S.A.. en virtud de denuncia presentada ante la misma por Dª. C.C.C. y en base a los siguientes HECHOS PRIMERO: Con fecha de 31 de octubre de 2012 tiene entrada en esta Agencia un escrito de Dª. C.C.C. en el que declara: <<Con fecha 25 de septiembre de 2012 solicité derecho de rectificación de datos a SERVICIOS FINANCIEROS CARREFOUR EFC, S.A.., para que eliminaran cualquier dato que no fuera mi dirección postal, siendo aceptada por esta entidad dicha rectificación de datos, según consta en su escrito de fecha 1 de octubre de 2012, con fecha de efecto desde mi solicitud (25-10-12) y que se adjunta. Quiero denunciar mediante el presente escrito que pese a que SERVICIOS FINANCIEROS CARREFOUR, EFC, S.A, aceptó mi solicitud de rectificación de datos, está contactando y comunicando desde el 3-10-2012, con otra persona que en nada le conciernen los asuntos que con esta financiera estoy tratando, puesto que le comunican datos que en nada son de su incumbencia. Llaman a dos números de teléfono que no deberían estar en sus bases de datos. Utilizan el correo electrónico de esta persona para intentar contactar conmigo y obtener información confidencial, le envían mensajes de texto, algunos en tono de coacción e intimidante. Esos medios de comunicación: 1º) No deberían estar sus bases de datos. 2º) No son de mi titularidad. Están llamando desde el F.F.F. y el J.J.J., número ligados a SERVICIOS FINANCIEROS CARREFOUR EFC, S.A.. a esta persona que nada tiene que ver y que le están provocando un quebranto y malestar en su quehacer diario tanto personal como profesional.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Aporta la siguiente documentación: - Escrito fechado el 25/9/2012 por el cual la denunciante ejercía el derecho de rectificación ante SFC. - Acuse de recibo de escrito de rectificación de datos a SFC. - Escrito fechado el 1/10/2012 por el que SFC accedía a la solicitud de rectificación realizada por la denunciante. - Escrito fechado el 30/10/2012 por el cual D. B.B.B. declara bajo juramento: <<Que desde el pasado 3 de octubre de 2012, estoy recibiendo en el número de teléfono G.G.G. del que soy titular, llamadas del número F.F.F. que dicen ser de Servicios Financieros Carrefour y preguntan por C.C.C., refiriendo una supuesta deuda por parte de esta persona. Por otra parte desde esa misma fecha he recibido del citado número en mi teléfono móvil n° I.I.I. diferentes mensajes de Servicios Financieros Carrefour, requiriéndome para solucionar un problema, cuando yo con esta entidad no tengo ningún problema. Asimismo he recibido en mi correo electrónico particular D.D.D. un mensaje de Servicios Financieros Carreofur el 11 de octubre de 2012 requiriéndome un supuesto acuerdo de pago, cuando yo con esa entidad hasta la fecha no tengo ningún problema.>> - Listado de llamadas recibidas. - Listado de mensajes recibidos. - Copia del correo electrónico mencionado por el denunciante, fechado el 11/10/

1. Aun cuanto en la línea superior del correo electrónico aportado aparece el nombre de D. B.B.B., es necesario señalar que dicho dato es configurable en la aplicación de correo electrónico del receptor, de forma que aparezca el texto que se desee. Dentro del cuerpo del correo electrónico no aparece dato personal alguno, solo aparece una solicitud de contacto con un determinado teléfono, tras el incumplimiento de una promesa de pago con la entidad denunciada. Examinadas las cabeceras del correo electrónico se aprecia que fue enviado desde una cuenta del dominio www.carrefour.com a una lista de distribución denominada ..........._impagados@carrefour.com y que fue finalmente recibida en la cuenta ....@..... SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 extremos: De la información y documentación aportada por D. B.B.B., se desprende:
2. Declara que Dª C.C.C. es su esposa.
3. Aporta relación de SMS recibidos de Carrefour en los que se solicita que se ponga en contacto con CARREFOUR, no apareciendo en ninguna de ellas información que revele la identidad de la persona a la que se dirige ni la deuda ni importe alguno. De la información y documentación aportada por SFC se desprende:
4. Aporta la entidad impresión de pantalla relativa a Dª C.C.C. en la que consta que el denunciante es cónyuge de D. B.B.B.. Consta igualmente el número de teléfono G.G.G..
5. Aporta copia de contrato de préstamo mercantil fechado el 10/12/2007, por el que la denunciante fijaba como teléfono de contacto el G.G.G..
6. Aporta igualmente escrito remitido por la denunciante a la entidad y fechado el 22/8/2012 en el que fija como números de teléfono de contacto H.H.H. y G.G.G. coincidentes con los informados por D. B.B.B.. Aun cuanto la única dirección electrónica de contacto que consta en la documentación aportada por CARREFOUR es la de E.E.E., resulta técnicamente viable redirigir los correos que se reciban en esta dirección a una segunda dirección en la que finalmente se reciban. Resulta igualmente viable recibir los correos remitidos a dos cuentas de correo electrónico distintas en una misma aplicación de correo electrónico FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el supuesto que nos ocupa, la denunciante manifiesta que SERVICIOS FINANCIEROS CARREFOUR EFC, a pesar de su solicitud de rectificación continúa llamándole a un número de teléfono no facilitado y ha revelado a un tercero información sobre su deuda. En este sentido, cabe destacar lo señalado por la Audiencia Nacional en su Sentencia de 14 de mayo de 2009, que recoge lo siguiente: “al haber prestado el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 denunciante su consentimiento para el tratamiento de determinados datos personales como su nombre y apellidos, domicilio y número de teléfono, en el contexto de una relación contractual, ese consentimiento inicial continúa proyectándose mientras permanece la relación contractual respecto de datos personales del mismo tipo que los que fueron proporcionados y autorizado su uso, siempre que su tratamiento continúe siendo necesario para el cumplimiento o ejecución del contrato ningún reproche puede hacerse por tanto al tratamiento de dichos datos. Añade la referida Sentencia que “incluso la LOPD prescinde de la necesidad del consentimiento al establecer como excepción al mismo - en el apartado 2 del artículo 6 que no es necesario el consentimiento cuando los datos se refieran a las partes de un contrato o precontrato y sean necesarios para su mantenimiento o cumplimiento”. concluye que “la entidad que actuaba como encargada del tratamiento realiza su actividad para el cumplimiento del contrato suscrito entre el denunciante y la entidad que le efectuó el encargo y que dicho contrato exige para su cumplimiento el tratamiento de los datos personales del domicilio del denunciante para poder comunicar con él cuando deja de cumplir sus obligaciones, siendo indiferente a estos efectos que el concreto dato del domicilio haya cambiado pues su tratamiento está amparado en el consentimiento inicial o, en todo caso, en la excepción contenida en el artículo 6.2 LOPD . La doctrina sentada por la citada Sentencia ha sido, asimismo, recogida por la Audiencia Nacional en las Sentencias de 21 de enero y 22 de julio de
7. En las citadas Sentencias se hace referencia a la obtención por parte de un encargado del tratamiento contratado por un determinado acreedor de datos adicionales que permiten conocer el domicilio o número de teléfono de un deudor determinado en supuestos en los que se ha producido un cambio en los mencionados datos, habiéndose obtenido la información de fuentes tales como ficheros con el carácter de fuente accesible al público, detectives privados o incluso la solicitud de información a familiares del deudor. En el caso denunciado, Servicios Financieros Carrefour se encuentra, por tanto, legitimada para el tratamiento del dato del número de teléfono, aunque no haya sido facilitada por la deudora esa concreta línea telefónica, en la medida en que dicho tratamiento resulta necesario para el cumplimiento o ejecución del contrato, en cuyo marco se generó la deuda que ahora se reclama. Ahora bien la legitimación para el tratamiento de los datos comprende el tratamiento de los datos del deudor y no el de los familiares, por lo que si Servicios Financieros Carrefour los estuviere tratando deberá proceder a la cancelación de éstos, cuando se hayan actualizado los datos del deudor y, en todo caso, cuando el afectado – familiar o persona del entorno del deudor- ejercite su derecho de cancelación, al prevalecer, en estos casos, el derecho a la protección de datos sobre el interés del acreedor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 III A lo anterior procede añadir, en cuanto a la denuncia que se formula contra Servicios Financieros Carrefour por vulneración del deber de secreto, que el artículo 10 de la LOPD, establece que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. El deber de secreto que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la Sentencia del Tribunal Constitucional 292/2000 y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley. Este deber de guardar secreto, que incumbe a los responsables de ficheros y a quienes intervengan en cualquier fase del tratamiento, incluye el deber de guardarlos, y lo contempla como obligación que subsistirá aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. Ahora bien, en el supuesto denunciado ha de tenerse en cuenta que el Tribunal Constitucional viene manteniendo que los principios y garantías del procedimiento judicial penal son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también este es manifestación del ordenamiento punitivo del Estado, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 “
8. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. En el presente caso, no se ha aportado ninguna evidencia o indicios de los que pueda deducirse que Servicios Financieros Carrefour facilitara a su marido información sobre su deuda. IV Dicho lo anterior resta por decir que tampoco corresponde a esta Agencia evaluar la conducta de la entidad denunciada en lo relativo a la persistencia de los procedimientos utilizados para realizar el requerimiento de pago. Asimismo señalar que la Ley 3/1991, de 10 de enero, de Competencia Desleal, modificada por Ley 29/2009, de 30 de diciembre, por la que se modifica el régimen legal de la competencia desleal y de la publicidad para la mejora de la protección de los consumidores y usuarios, considera en su artículo 29 prácticas agresivas por acoso realizar propuestas no deseadas y reiteradas por teléfono, fax, correo electrónico u otros medios de comunicación a distancia, salvo en las circunstancias y en la medida en que esté justificado legalmente para hacer cumplir una obligación contractual, como sucede en el caso que nos ocupa. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
9. PROCEDER AL ARCHIVO de las presentes actuaciones.
10. NOTIFICAR la presente Resolución CARREFOUR EFC, S.A.. y a Dª. C.C.C. a SERVICIOS FINANCIEROS De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es