1/8 Procedimiento Nº PS/00049/2015 RESOLUCIÓN: R/01606/2015 En el procedimiento sancionador PS/00049/2015, instruido por la Agencia Española de Protección de Datos a la entidad JAZZ TELECOM, S.A.U, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 17/03/2014 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), en el que declara que ha sido objeto de una suplantación de identidad y vulneración en la protección de datos hacia su persona por parte de JAZZ TELECOM, S.A.U. (en lo sucesivo JAZZTEL). Tiene conocimiento al recibir dos correos electrónicos de la empresa informando que le han enviado dos terminales móviles correspondientes a los números ***TEL.1 y ***TEL.2. Asimismo recibe una llamada de su compañía de móvil, Vodafone preguntando si había solicitado la portabilidad del número ***TEL.1, algo que niega. Aporta copia de denuncia ante la Guardia Civil entre otros. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad JAZZTEL, - Con fecha 18/6/2014 se solicita información a JAZZTEL relacionada con la contratación de los números de teléfono ***TEL.1 y ***TEL.2. De la respuesta facilitada por la entidad se desprende lo siguiente: 1. Los datos personales del denunciante están bloqueos tras la baja del cliente en la compañía. 2. Manifiestan que el cliente solicitó la portabilidad de las líneas ***TEL.1 y ***TEL.2 así como la activación de los servicios de Tarifa Plana Llama y Navega 1000 1 GB en ambas líneas el día 17/09/2013. 3. El 30/10/2013 el departamento de riesgos procede a la suspensión temporal de ambas líneas tras la comunicación recibida el 18/10/2013 en la que el cliente informa de alta no solicitada en estas dos líneas móviles, solicitando la baja de las mismas y el borrado de datos. JAZZTEL le solicita una copia de su DNI para poder cursar la baja de sus datos personales. El 28/2/2014 es cuando se procede a la baja definitiva de ambas líneas por impago. 4. Se han emitido facturas entre los meses septiembre de 2013 y marzo de 2014. Han sido anuladas al determinar que se ha tratado de un alta fraudulenta. 5. Aportan copia de la grabación de verificación de la contratación realizada el día 17/9/2013 para ambas líneas. 6. JAZZTEL manifiesta que al tratarse de una portabilidad, solicitó la misma a su anterior operador y fue aceptada por éste. Ese es el motivo por el que se tramitó el alta de ambas línea en JAZZTEL. 7. El 06/03/2014 reciben reclamación de la Junta de Andalucía en la que el cliente indica que tras haber recibido las grabaciones enviadas por JAZZTEL para la contratación de los servicios, éstas no han sido realizadas por él, asimismo adjunta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 copia de denuncia presentada ante la Guardia Civil. 8. También reciben reclamación de la SETSI el 27/03/2014. 9. Tras analizar ambas reclamaciones, se determinó que había existido un alta fraudulenta. El 26/06/2014 envían escrito al denunciante informando que han procedido a la cancelación de sus datos personales. 10. En la grabación se escucha como una operadora pasa la llamada a otra que supuestamente es el verificador. Comienza solicitando el nombre, a lo que el supuesto futuro cliente responde A.A.A., el operador le dice su DNI y asiente. También le informa la dirección e-mail para recibir notificaciones y también asiente. Le informa de las condiciones, supuestamente se trata de una portabilidad y la grabación es para aceptar las condiciones de contratación de ambas líneas TERCERO: Con fecha 17/02/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a JAZZTEL por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.
- b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, JAZZTEL mediante escrito de fecha 04/03/2015 formuló las siguientes alegaciones: que adjuntaba como ya lo había realizado al requerimiento de información copia la de la grabación de la contratación por lo que procedía el archivo de las actuaciones y que el tratamiento de los datos del denunciante se habían llevado a cabo empleando una diligencia razonable. QUINTO: Con fecha 09/03/2015 se inició el período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/03315/2014. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00049/2015 presentadas por JAZZTEL y la documentación que a ellas acompaña. Solicitar al denunciante copia de toda la documentación que obre en su poder relativa al procedimiento sancionador PS/00049/2015 que por cualquier motivo no hubiera sido aportado en el momento de la denuncia. Solicitar a BBVA el titular/es de la cuenta nº ***CUENTA.1 y documentación aportada. SEXTO: El 11/03/2015 el denunciante solicito ser tenido como interesado en el procedimiento. El instructor mediante escrito de 27/03/2015 le contestó teniéndole por tal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 SEPTIMO: En fecha 22/05/2015, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a JAZZTEL por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, con multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de JAZZTEL el 12/06/2015 presentó escrito de alegaciones formulando y reiterando la inexistencia de infracción del artículo 6.1 de la LOPD y manifestando la extralimitación de competencias de la instrucción considerando que la adecuación o no de la verificación de la portabilidad al contenido de la Circular de la CMT es competencia de la CNMC; que si bien entendía que la aportación de la primera parte de la grabación era suficiente para justificar la contratación de las líneas controvertidas, se aporta la segunda parte de la citada grabación realizada por empresa verificadora independiente y solicita el archivo de las actuaciones. HECHOS PROBADOS PRIMERO. En fecha 17/03/2014 tuvo entrada en la AEPD escrito del afectado en el que denuncia a JAZZTEL por usurpación de personalidad en la contratación de dos línea de telefonía móvil y por la reclamación del importe de facturas impagadas (folios 2 a 4). SEGUNDO. Consta que el afectado formuló el 24/12/2013, ante el puesto de la Guardia Civil de Armilla (Granada), denuncia manifestando que en septiembre una persona con sus datos de filiación ha contratado dos líneas de telefonía móvil con JAZZTEL; que dichas líneas están siendo cobradas en un número de cuenta que no es suyo; que puesto en contacto con JAZZTEL no le han dado una aclaración contundente de los hechos; que también han comprado a su nombre dos terminales de teléfono que según le han informado han sido enviados a un domicilio en San Roque (Cádiz) (folio 41). TERCERO. El denunciante presento reclamación por los mismos hechos el 29/10/2013, ante la Consejería de Administración Local y Relaciones Institucionales de la Junta de Andalucía (folio). Trasladada a JAZZTEL el 07/01/2014 respondía mediante fax, aportando copia de la grabación de la contratación y, además, en relación con la oferta comercial suscrita por el contratante copia de los albaranes de entrega ***ALBARÁN.1 y ***ALBARÁN.2, remitidos al denunciante en (C/............1) (Cádiz), domicilio que no era el suyo, relativo a los terminales correspondientes a los números ***TEL.1 y ***TEL.2, no figurando firma alguna en los mismos (folios 5 y 15 a 18). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 CUARTO. El denunciante ha aportado copia de dos Avisos de entrega de su Móvil JAZZTEL (***ALBARÁN.1 y ***ALBARÁN.2), remitidos vía e-mail en los que se indica que en respuesta a su petición se había procedido al envió de los terminales Sony Xperia U Oulet y LG Optimus L5 correspondientes a sus servicios móviles ***TEL.1 y ***TEL.2. La citada entrega seria realizada por SEUR en la dirección (C/............1) (Cádiz) (folios 6 y 7). También se aporta tanto las copias de los e-mails enviados al denunciante en los que se le informa que tiene disponibles las facturas correspondientes a los servicios contratados por importes de 17,51 €, 200,15 €, 59,34 €, 0,00 € y 0,00 €, (folios 25 a 34), como las capturas de pantalla correspondientes a los sms enviados a su móvil relativas a las entregas de los terminales anteriores, requerimientos de pago, etc. (folios 56 a 85). QUINTO. EL denunciante remitió a JAZZTEL carta e fecha 09/10/2013 informándole de la recepción de los correos electrónicos anunciándole el envío de los terminales móviles e importe de las facturas, anunciándole que no era cliente de la compañía ni había otorgado su consentimiento para ello por lo que solicitaba que cancelaran sus datos y se abstuvieran de enviarle ningún tipo de comunicación (folio). JAZZTEL le respondió el 18/10/2013 que para proceder a su petición de cancelación debía enviar copia de su DNI (folio 10 y 11). No obstante, en fecha 26/06/2014 le comunicaba haber procedido a la solicitada cancelación y el bloqueo de los datos (folio 125). SEXTO. En los ficheros informatizados de JAZZTEL figuran los datos del denunciante, nº cliente ***CLIENTE.1, debidamente bloqueados; no figuran las líneas denunciadas aunque la entidad ha manifestado que “En fecha 17 de septiembre de 2013 el cliente solicita la portabilidad de las líneas ***TEL.1 y ***TEL.2 y la activación de los servicios Tarifa Plana Llama y Navega 1000 1 GB en ambas líneas…Finalmente, el día 28 de febrero de 2014 se procede a la baja definitiva de ambas líneas…por impago” (folio 120). SEPTIMO. En los ficheros informatizados consta como datos de domiciliación bancaria la cuenta del BBVA nº ***CUENTA.1 y la emisión de las siguientes facturas: ***FACTURA.1 de 23/04/2014 por importe de -200,72 euros. ***FACTURA.2 de 23/03/2014 por importe de -76.28 euros. ***FACTURA.3 de 23/02/2014 por importe de 0,00 euros. ***FACTURA.4 de 23/01/2014 por importe de 0,00 euros. ***FACTURA.5 de 23/12/2013 por importe de 0,00 euros. ***FACTURA.6 de 23/11/2013 por importe de 59.34 euros. ***FACTURA.7 de 23/10/2013 por importe de 200.13 euros. ***FACTURA.8 de 23/09/2013 por importe de 17.51 euros. (folio 121). OCTAVO. BBVA en escrito de 20/03/2015 ha manifestado “Que bajo el número de cuenta ***CUENTA.2 no parece ningún producto en esta entidad” (folio 156). NOVENO. JAZZTEL ha aportado copia de un CD donde consta la grabación de la conversación mantenida entre una operadora y un tercero que afirma ser el denunciante; facilita el nombre, apellidos y NIF, para la portabilidad a JAZZTEL de dos líneas asociadas a los números ***TEL.1 y ***TEL.2 (folios 26 y 27). A fecha de la presente Resolución, este hecho probado debe entenderse modificado consecuencia de la aportación por JAZZTEL el 12/06/2015, de la 2ª parte de la grabación de un CD donde consta la verificación de la solicitud de portabilidad por empresa verificadora asociadas a los números ***TEL.1 y ***TEL.2. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 84.3 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT). II El artículo 6 de la LOPD determina que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 En el presente caso, es importante señalar que JAZZTEL no aportó la grabación de la verificación de la solicitud de portabilidad ni en el requerimiento de información realizado durante las Actuaciones de Investigación Previa por la inspectora actuante en fecha 18/06/2014, a pesar de habérselo demandado (folio 115 y 116), ni en las alegaciones al acuerdo de inicio de fecha 04/03/2015. De manera, que el documento sonoro que ahora se toma en consideración, ha sido aportado por la entidad denunciada en el trámite de alegaciones a la Propuesta de Resolución. JAZZTEL en escrito de fecha 12/06/2015 manifiesta que únicamente aportó al Acuerdo de Inicio la 1ª parte de la grabación de la contratación entendiendo que dicha grabación era suficiente a los efectos de acreditar el consentimiento del usuario para el tratamiento de sus datos personales, de conformidad con lo dispuesto en el artículo 6.1 de la LOPD. No obstante, la entidad denunciada aporta grabación de la 2ª parte de dicha contratación en la que se contiene la verificación de la solicitud de portabilidad realizada por la empresa verificadora independiente Tria Global Services, S.L. de conformidad con la Circular 1/2009 de 16/04/2009, de la Comisión del Mercado de las Telecomunicaciones (CMT), modificada posteriormente por la Circular 1/2012, de 16/03/2012, que tenía como objetivo seguir agilizando el proceso administrativo de la portabilidad fija y móvil y, además, el cambio de operador de servicios de banda ancha, con o sin portabilidad asociada, permitiendo que los usuarios que deseen portar su número a otro operador puedan hacerlo mediante el consentimiento verbal, añadiendo más agilidad a la tramitación administrativa, debido a la inmediatez derivada de utilizar el consentimiento verbal. En esta nueva grabación en la que se indica la fecha en la que tiene lugar, una persona que afirma ser el denunciante, tener su mismo NIF y domiciliado en (C/............1) (Cádiz), otorga su consentimiento a la portabilidad de las líneas de telefonía móvil asociadas a los números ***TEL.1 y ***TEL.2, de la que declara ser titular desde MOVISTAR (operador donante) a JAZZTEL (operador receptor). Es digno de destacar que el domicilio que se facilita en la grabación en la que consta el consentimiento a JAZZTEL para que porte la línea no coincide con el domicilio de la denunciante. Mientras que el contratante manifiesta que radica en San Roque (Cádiz), el denunciante manifiesta que radica en (C/............1) (Granada). Sin embargo, tal circunstancia tiene una importancia secundaria. Lo especialmente relevante y significativo a los fines que nos ocupan es que la entidad denunciada ha aportado una grabación con la conversación en la que se otorga el consentimiento a JAZZTEL para que porte las líneas objeto de esta controversia desde MOVISTAR; que tal grabación se ha efectuado con intervención de una empresa verificadora independiente; que la grabación se ha ajustado a las condiciones exigidas en la Circular 1/2009 de 16/04/2009, de la Comisión del Mercado de las Telecomunicaciones (CMT), modificada posteriormente por la Circular 1/2012, de 16/03/2012 y que en esta grabación se incluyen los datos del denunciante que directamente identifican su persona: nombre, apellidos y NIF. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Con esta grabación JAZZTEL demuestra que ha ajustado su comportamiento a la diligencia que le es exigible en el desarrollo de su actividad empresarial. Al objeto de valorar la medida de la diligencia que la entidad estaba obligada a desplegar debemos examinar lo dispuesto en la Circular de la CMT (en la actualidad Comisión Nacional del Mercado de la Competencia (CNMC)) que introdujo en nuestro ordenamiento “el consentimiento verbal con verificación por tercero en la contratación de servicios mayoristas regulados de comunicaciones fijas, así como en las solicitudes de conservación de numeración”. La norma reglamentaria precisa que el operador beneficiario no tramitará la portabilidad de una línea si la verificación del consentimiento verbal del abonado resulta negativa. Y señala que la verificación será negativa si la llamada no ha sido grabada por una empresa verificadora independiente – que no forme parte del mismo grupo económico de compañías que el operador beneficiario- , o cuando no se completa el cuestionario de verificación. El Anexo I de la Circular, relativo al cuestionario de verificación, exige que en él se haga constar la fecha en la que la conversación está teniendo lugar, el nombre del titular de la línea, NIF, dirección, numeración a portar, operador beneficiario, operador donante y número de serie de la tarjeta SIM para usuarios de prepago, etc. La valoración que merece el documento sonoro aportado por JAZZTEL es la de que la entidad ha actuado con suficiente diligencia, observando las normas vigentes que regulan el consentimiento verbal en las solicitudes de conservación de numeración o portabilidad de líneas de telefonía móvil. Por tanto, habida cuenta de que JAZZTEL ha facilitado copia de la grabación que prueba que un tercero, que suplantó la identidad del denunciante, le otorgó su consentimiento para gestionar la portabilidad de la línea de móvil y que la grabación se ajusta a las previsiones de la Circular de la actual CNMC, estimamos que no concurre en el presente caso el elemento subjetivo de la infracción y, todo ello sin perjuicio de que la reiteración en la aportación de la acreditación del consentimiento únicamente tras la apertura de un procedimiento sancionador, sin haberlo incorporado en las actuaciones previas de investigación, pueden suponer un comportamiento sancionable según la normativa de protección de datos. En consecuencia la conducta de la denunciada no podría encuadrarse en el tipo sancionador previsto en la LOPD, ni puede dar lugar a la exigencia de responsabilidad administrativa sancionadora en lo que se refiere a los hechos denunciados. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a la entidad JAZZ TELECOM, S.A.U, por una supuesta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a JAZZ TELECOM, S.A.U y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es