1/12 Procedimiento Nº PS/00053/2013 RESOLUCIÓN: R/01876/2013 En el procedimiento sancionador PS/00053/2013, instruido por la Agencia Española de Protección de Datos a TELEFONICA MOVILES ESPAÑA S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 29/02/2012 tiene entrada en esta Agencia una denuncia de A.A.A. en la que denuncia a TELEFÓNICA MÓVILES porque al solicitar un crédito en octubre 2011 en BBVA le informaron que figuraba en el fichero de solvencia ASNEF. Tras efectuar las indagaciones y ejercitar su derecho, EQUIFAX responsable del fichero le envío la copia de documento que aporta en el que figura 23/11/2011 informando “De acuerdo con su solicitud registrada en nuestras oficinas con fecha 17/11/2011 le comunicamos que tras las comprobaciones pertinentes, se ha procedido a la subsanación del error en el identificador (DNI del denunciante a nombre del denunciante). Adjunto le remitimos impresión de pantallas en la que consta expresamente la no existencia de datos.” El denunciante presenta copia de reclamación ante OMIC de 21/12/2011 contra Telefónica Móviles frente a la que efectuó también una reclamación telefónica y le informó que “mi DNI se corresponde con otra persona, que si tiene una deuda con ellos”. El denunciante solicita además, que se le compense económicamente por los perjuicios sufridos. El DNI del denunciante es ***DNI.1 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información teniendo conocimiento de: 1) EQUIFAX con fecha de entrada 13/07/2012 informa que a esa fecha no figuran datos del denunciante en sus ficheros. Constando en el histórico una inclusión en el fichero ASNEF con dicho DNI, a instancia de Telefónica Móviles, de 5/09/2011 y baja 23/11/2011 por “incongruencia” por un saldo impagado de 75,39 €, siendo la persona B.B.B., figurando la dirección de (C/.........................1) en un municipio de Almería. El importe pendiente de pago a la fecha de la baja es de 636.31 €. EQUIFAX aporta copia del escrito del denunciante de 9/11/2011, entrada en EQUIFAX el 17, en el que el denunciante ejercita el derecho de acceso a sus datos por desconocer la deuda, junto con copia de su DNI. En las notas de EQUIFAX figura la baja junto a”Error duplicidad DNI nos figura a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 nombre de B.B.B.”. 2) Con fecha 15/06/2012 se ha requerido a TELEFÓNICA MÓVILES DE ESPAÑA para que informe sobre la información en sus ficheros relativa al DNI del denunciante. Este requerimiento consta como entregado sin que hasta hoy se haya recibido respuesta. TERCERO: Con fecha 14/02/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a TELEFONICA MOVILES ESPAÑA S.A. por una infracción del artículo 6.1 y otra del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
- b)y 44.3.c), de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 14/03/2013 la denunciada manifiesta: 1.- A TME le consta que el Sr. B.B.B. en las pantallas de sus sistemas con un NIF idéntico al del denunciante coincidiendo también la letra. Esta persona contrató la línea ***TEL.1 con fecha de alta 23/03/2011 y baja 22/08/2011. La citada línea provenía de portabilidad, operador donante VODAFONE y facilitó todos los datos “de lo que se deduce que los mismos eran incorrectos en la propia solicitud de portabilidad”. 2.- La solicitud de portabilidad se efectuó por TME al donante, VODAFONE, y este la confirmó. La portabilidad se produjo a través del canal Internet. Aporta copia de pantalla de sus sistemas “Consulta datos históricos” y copia de “Formulario solicitud cliente”, contacto 21/03/2011 con datos de B.B.B., operadora donante VODAFONE tarjeta, y el NIF que coincide con el del denunciante. A la solicitud de alta, se respondió por TME el 21/03/2011mediante correo electrónico proporcionado por el solicitante, indicando “hemos intentado contactar telefónicamente con usted” y le piden una hora y un teléfono de contacto en el que puedan localizarle. El día 23/03/2011 le informan que la solicitud ha sido tramitada, comenzando la petición a su actual operador de telefonía móvil. “Posteriormente se le intentó localizar para confirmar la recepción”, aportando copia de correo de 31/03/2011 en el que señala que “han intentado contactar telefónicamente con usted”. En la pantalla de gestión de portabilidad que aporta, figura el DNI que coincide con el del denunciante, asociada a la línea ***TEL.1, con la anotación por la entidad verificadora “Alta portada”. Manifiesta la denunciada que “Tras confirmar la entrega del pedido y la portabilidad de la línea, se le envió e-mail con encuesta para valorar atención, aporta copia de correo de 5/04/2011.” Consta factura abonada contra reembolso del terminal entregado. En dicha copia de factura que aporta figura 4/04/2011 y los datos del cliente con el DNI que coincide con el del denunciante. 3.- Cuando se dieron los datos para alta en portabilidad, los datos del cliente eran en cuanto al DNI, coincidentes con el del denunciante, existiendo relación jurídica con el mismo. El DNI que en ese momento era del cliente Sr. B.B.B., quedo incluido en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 los ficheros de solvencia patrimonial al producirse el impago de las facturas de la línea contratada. Aporta copia de impresión de sus pantallas figurando emitidas facturas desde 1/05/2011 a 1/10/2011, siendo las cantidades de 32,39 € (dos), 10,61 € y 560,92. Con fecha 4/02/2012 figuran en negativo todas las cuantías Los datos del denunciante estuvieron incluidos en ficheros de solvencia desde 4/09 a 22/11/2011, fecha en que el Departamento correspondiente tuvo conocimiento de los hechos mediante algún contacto establecido, del cual no se dispone en la actualidad dado el tiempo transcurrido. En sus sistemas figura en la impresión de pantalla de actualización semanal de datos al fichero, el 22/11/2011 “baja cautelar”. Si que cuentan con una reclamación presentada mediante OMIC A Coruña de 27/12/2011, fecha en que formalmente tienen conocimiento de los hechos. “La reclamación quedo contestada el 16/01/2012 comunicando, según copia que aportan que se cancela cualquier deuda que figurase con su NIF”. 4.- Concurso ideal de infracciones ex artículo 4.4 del Real decreto 1398/1993. 5.- El DNI por sí solo no es un dato de carácter personal, no permite identificar al titular del mismo. El DNI por lo que respecta a los datos que en sus ficheros guarda la denunciada, no permite la identificación de ninguna persona. Por un DNI de una persona que no ha sido cliente, no se puede obtener ningún dato más. 6- .En cuanto a la infracción del artículo 4.3 de la LOPD, al fichero de solvencia se comunica el DNI y el importe, y esos datos se rectificaron cumpliendo lo previsto en el artículo 4.4 de la LOPD. 7.- Ausencia de culpabilidad pues la contratación de forma inicial estaba dotada de total validez. 8. - Propone como prueba que se solicite copia del contrato y de la documentación del solicitante de la portabilidad a VODAFONE, pues el dato del DNI ya venía incorrecto por parte del operador donante. QUINTO: Con fecha 15/06/2012, se inició el período de práctica de pruebas, en el que se incorporaran la procedente de actuaciones previas, añadiendo:
- a)A VODAFONE, se le solicita que respecto de la portabilidad de la línea ***TEL.1 titularidad de B.B.B., que pasó a Telefónica Móviles España (TME), por una portabilidad solicitada a TME el 21/03/2013, informe sobre el número de DNI que de este cliente le consta, y desde que fecha era cliente y que modalidad de línea tenía. Con fecha 5/07/2013 responde “Desde VODAFONE se ha comprobado en el Nodo Central la solicitud de portabilidad de dicho cliente y se ha comprobado que no existe solicitud de portabilidad por parte del Sr. B.B.B.”, sin que aporten tampoco el número del DNI. Con fecha 10/07/2013 amplía la información en el sentido de que B.B.B. “no es cliente de VODAFONE”. “Históricamente, del número ***TEL.1 solo consta un único titular pospago”, aportando los datos de fecha de activación 1/04/2010 y desactivación 30/05/2010”.”Posteriormente, consta que el servicio estuvo en la modalidad de prepago C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 con alta el 4/02/2011 a través de distribuidor-no dispone del dato de a que distribuidor se corresponde- pero no se activó a nombre de ninguna persona como se desprende de los datos nombre, apellido donde consta prepago, y sin DNI. Posteriormente nos han confirmado que se portó a MOVISTAR desde VODAFONE el 31/03/2011, los datos que recibió MOVISTAR eran nuevos y facilitados por primera vez en el momento en el que se pidió la portabilidad”.
- b)A denunciada, aporte la reseña o traza del dato DNI que se proporcionó por el cliente, B.B.B. en el contacto a través de Internet, en el momento de la solicitud de la portabilidad. Con fecha 9/07/2013 indica que el NIF que B.B.B. cumplimentó en su solicitud, ***DNI.2 se correspondía supuestamente con el suyo. TME no dispone de copia del DNI y reitera que el dato venia incorrecto del operador donante. SEXTO: Con fecha 11/07/2013 se formuló propuesta de resolución, del siguiente literal: “PRIMERO: Que por el Director de la Agencia Española de Protección de Datos se ARCHIVE la infracción del artículo 6.1 de la LOPD imputada a TELEFONICA MOVILES ESPAÑA S.A., tipificada como grave en el artículo 44.3
- b)de LOPD. SEGUNDO: Que por el Director de la Agencia Española de Protección de Datos se ARCHIVE la infracción del artículo 4.3 de la LOPD imputada a TELEFONICA MOVILES ESPAÑA S.A., tipificada como grave en el artículo 44.3
- c)de LOPD.” Con fecha 18/07/2013 se registra como alegación de la denunciada su conformidad con la propuesta. HECHOS PROBADOS 1) De acuerdo con el informe de 13/07/2012 de EQUIFAX, responsable del fichero ASNEF, los datos del denunciante identificado en dicho fichero mediante su DNI ***DNI.2 estuvieron dados de alta informados por TELEFÓNICA MOVILES como deudor de 75,39 € desde 5/09/2011 a 23/11/2011, -baja cautelar- “Error duplicidad DNI” (1, 3,19, 37) asociados en cuanto a nombre y apellidos con B.B.B.. La dirección que le consta es c/ (C/.........................1), Almería, (2, 3, 19, 24,25, 30,31) y el comunicado fue devuelto. En el momento de la baja el impago ascendía a 636,31 €. Figura que la entidad BBVA hizo consultas entre el 3 y el 9/11/2011 al fichero con el DNI del denunciante según impresión de histórico de consultas
(37). 2) El denunciante ejercitó el derecho de rectificación de sus datos en el fichero ASNEF el 17/11/2011, indicando que desconoce la deuda de telefonía móvil por la que aparece incluido y se le contestó el 23/11/2011 que se subsana el error en el identificador del denunciante (7,10, 11, 33 a 39). 3) En los sistemas de la denunciada, aparecían junto al DNI del denunciante ***DNI.2 (2, 3) la línea de teléfono móvil ***TEL.1, de alta desde 23/03/2011 a 22/08/2011, asociada a B.B.B., dirección c/ (C/.........................1), Almería, (52,53, 2, 3,7). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 4) La línea se dio de alta a través del Canal de Internet (56 a 59), y procede de portabilidad de VODAFONE-tarjeta prepago (55,56, 57 a 59). En dicha portabilidad, TME era el receptor y VODAFONE el donante, desprendiéndose no solo del formulario de solicitud que guarda y aporta TME, sino de la impresión de pantallas de”Sistema de gestión de portabilidad” (54 a 59) en las que figura el DNI del denunciante ***DNI.2. En el formulario de solicitud figuran también los datos del cliente, de la línea y del ICC, así como la información de la tramitación de la solicitud y se le entregó un terminal. 5) Según indica VODAFONE, de la línea ***TEL.1 que pasa a MOVISTAR solo le constaba PREPAGO, sin DNI ni titular. 6) La denunciada emitió, según impresión de pantallas que acompaña, para la línea de teléfono móvil ***TEL.1, facturas desde 1/05/2011 a 1/10/2011, siendo las cantidades de 32,39 € (dos), 10,61 € y 560,92. Con fecha 4/02/2012 figuran en negativo todas las cuantías. 7) El denunciante formuló reclamación ante OMIC A Coruña el 21/12/2011
(4)que respondió TME el 16/01/2012 que se cancela cualquier deuda con su NIF (4 a 6). El denunciante indica también en dicha reclamación que formuló también reclamación ante la entidad figurando el número asignado. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Es necesario, en primer lugar, referirse al argumento de la denunciada que hace referencia a que el DNI no es un dato personal y que, por esta razón, falta la correcta integración del tipo sancionador. Se debe partir de una primera consideración jurídica elemental: el número de los documentos de identidad (DNI, pasaporte, etc.) es un dato de carácter personal, y por tanto protegido por la ley. El artículo 3
- a)LOPD define los datos de carácter personal como "cualquier información concerniente a personas físicas identificadas o identificables". Nada mejor que atender a las circunstancias de este caso para confirmar el encaje del dato controvertido en la definición legal: en este supuesto, el número de identidad erróneamente cedido permitió identificar a la persona del denunciante, al acceder el denunciante a una entidad financiera a esos datos erróneos sobre su solvencia patrimonial, como ratifica el informe en actuaciones previas de EQUIFAX en el que aparecía el NIF del denunciante incluido por impago de 75,39 €. Desde 5/09/2011, cuya carta de comunicación de inclusión a c/ (C/.........................1), Almería, fue devuelta, y luego confirmada por la denunciada como “dirección contractual”. En todo caso, el DNI ha sido dato personal relevante por el que el denunciante se ha apercibido del tratamiento llevado a cabo por la denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 III Se imputa a TME el tratamiento sin consentimiento de los datos personales del denunciante. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular”. La Sentencia de la Audiencia Nacional, de 31/05/2006, Recurso 539/2004, en su Fundamento de Derecho Cuarto, señala: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”, y continúa, ”Resulta, por tanto, que tal empresa demandante no sólo no ha aportado ningún elemento probatorio que acredite la celebración telefónica del contrato, sino que tampoco ha acreditado el cumplimiento de las garantías y cautelas que determinan las normas descritas”. En tal sentido, serían aplicables las disposiciones del R.D. 1906/1999. Esta norma regula la contratación telefónica o electrónica con condiciones generales en desarrollo del artículo 5.3 de la Ley 7/1998, de 13 de abril, de condiciones generales de la contratación, precepto que establece: “en los casos de contratación telefónica o electrónica será necesario que conste en los términos que reglamentariamente se establezcan la aceptación de todas y cada una de las cláusulas del contrato, sin necesidad de firma convencional. En este supuesto, se enviará inmediatamente al consumidor justificación escrita de la contratación efectuada, donde constarán todos los términos de la misma” (el subrayado es de la AEPD). El R.D. 1906/1999 reitera la obligación de confirmar documentalmente la contratación efectuada por vía telefónica, electrónica o telemática y dispone en su artículo 5.1 y 2 lo siguiente: “1. La carga de la prueba sobre la existencia y contenido de la información previa de las cláusulas del contrato; de la entrega de las condiciones generales; de la justificación documental de la contratación una vez efectuada; de la renuncia expresa al derecho de resolución; así como de la correspondencia entre la información, entrega y justificación documental y el momento de sus respectivos envíos, corresponde al predisponente. 2. A estos efectos, y sin perjuicio de cualquier otro medio de prueba admitido en derecho, cualquier documento que contenga la citada información aún cuando no se haya extendido en soporte papel, como las cintas de grabaciones sonoras, los disquetes y, en particular, los documentos electrónicos y telemáticos, siempre que quede garantizada su autenticidad, la identificación fiable de los manifestantes, su integridad, la no alteración del contenido de lo manifestado, así como el momento de su emisión y recepción, será aceptada en su caso, como medio de prueba en los términos resultantes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 de la legislación aplicable. Parar ello, en los casos de contratación electrónica, deberá utilizarse un firma electrónica avanzada que atribuya a los datos consignados en forma electrónica el mismo valor jurídico que la firma manuscrita, conforme al Real Decreto-Ley 14/1999, de 17 de septiembre, sobre firma electrónica. En estos casos, al documento electrónico se acompañará una consignación de fecha y hora de emisión y recepción en su caso”. (El subrayado es de la AEPD). La doctrina emanada de la Audiencia Nacional en relación a la carga de la prueba ha seguido de manera uniforme esa orientación. Ya en su Sentencia de 21 de diciembre de 2001 el Tribunal expuso que “...de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D…. (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,……debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. La Agencia Española de Protección de Datos recomienda, a fin de acreditar el consentimiento a la contratación, habilitar la utilización de firma electrónica avanzada del contratante, toda vez que la Ley 59/2003, de 19/12, de firma electrónica, le atribuye el mismo valor jurídico que a la firma manuscrita y, en su defecto, que se implanten medidas que garanticen la identidad del contratante. Las medidas posibles a implantar son, por una parte, la generación por la empresa de un documento PDF y su remisión al cliente, en el que constará la información tal y como se estipula en el artículo 5 de la LOPD para cada uno de los fines para los que se solicita el consentimiento, y que sea reflejo de las marcas realizadas por el cliente. Ese documento podrá ser descargado por el cliente, la compañía deberá mantenerlo durante el tiempo necesario para hacer frente a posibles responsabilidades y deberá estar firmado electrónicamente por la compañía y, si el cliente tiene firma electrónica, también con su firma. La otra recomendación consiste en la remisión por la compañía de un mensaje al correo electrónico del cliente en el que se indicarán cada una de las marcas realizadas por el cliente y en el que se incluirá un código que el cliente deberá introducir en la web para finalizar la contratación. El código será único para cada cliente y contrato y deberá quedar anotado en el registro de datos asociados al cliente, debiendo la compañía mantener la copia del correo electrónico durante el tiempo necesario para hacer frente a posibles responsabilidades. La tramitación de una portabilidad conlleva la confirmación (o denegación en su caso) de la misma por el operador donante. Para ello, el operador donante debe comprobar que en el caso de líneas prepago el ICC de la tarjeta coincide con el registrado para la línea (MSISDN). En este caso no existía el dato del DNI en VODAFONE. El operador donante deniega la portabilidad si no existe coincidencia en los datos, cosa que no sucedió en el presente caso, ya que al ser coincidentes VODAFONE aceptó la portabilidad de la línea prepago ***TEL.1 al operador receptor (TME). Para acreditar la contratación de la línea ***TEL.1, TME ha aportado los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 facilitados por un cliente, entre otros, el nombre, apellidos, línea y DNI único dato que resulta coincidir con el del denunciante, fecha de pedido, dirección, tarifa contratada, ICC, y que procede de tarjeta de VODAFONE. TME aporta impresión de pantallas de correos electrónicos enviados a la dirección de correo electrónico facilitada en la solicitud de contratación, en la que se informaba que se ha tramitado la solicitud de portabilidad de la línea. Estos correos electrónicos, fueron enviados el mismo día, después de la solicitud de portabilidad de la línea, y previamente al alta de la línea verificada, esto es, con posterioridad a envío de la citada comunicación electrónica de confirmación de la portabilidad y contratación con TME. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asumen en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a la cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. Así, la Audiencia Nacional señala en su Sentencia de 19/01/2005, “el debate debe centrarse en el principio de culpabilidad, y más en concreto, en el deber de diligencia exigible a (...) en el cumplimiento de las obligaciones de la LOPD, y no tanto en la existencia misma de una contratación fraudulenta, cuestión ésta que compete resolver, en su caso, a otros órdenes jurisdiccionales” y añade que el elemento central de debate “no es la existencia misma de la contratación fraudulenta sino el grado de diligencia desplegado por la recurrente en su obligada comprobación de la exactitud del dato”. En la misma línea la SAN 29/04/2010, en un supuesto análogo al que nos ocupa, afirma en el fundamento de derecho SEXTO que: “Es cierto que el denunciante no ha dado su consentimiento para el tratamiento de sus datos de carácter personal por parte de (...), pero no lo es menos que nos hallamos ante un supuesto de uso fraudulento de su identidad por parte de un tercero (…) que se hizo pasar por D. Teodulfo (…) por lo que nada hacía sospechar que dicha persona no era quien aparentaba ser. Así, al igual que razonamos en nuestra sentencia de fecha 29 de octubre de 2009 , a la vista de las especiales circunstancias concurrentes en el caso de autos, no cabe apreciar culpabilidad alguna (ni siquiera a título de culpa o falta de diligencia) en la actuación de la entidad recurrente, que actuó en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal con una documentación en apariencia auténtica y a ella correspondiente, por lo que estaba legitimada para el tratamiento de sus datos de carácter personal”. Junto a ello, en otra SAN también de 29/04/2010, se recoge lo siguiente: “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. Todas estas circunstancias dotan a dicha contratación por parte de la entidad denunciada de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad necesario para ejercer la potestad sancionadora. No cabe apreciar culpabilidad alguna en la actuación de esta entidad, que actuó con la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal. Además, TME actuó de manera diligente por cuanto recibida la solicitud de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 portabilidad y contratación, envió correos electrónicos de confirmación a la dirección electrónica facilitada en la misma, siendo posteriormente dada de alta la línea. Además, adoptó las medidas para corregir la situación irregular por cuanto, el denunciante ejercita el derecho de cancelación el 17/11/2011, subsanó el error no figurando el DNI del denunciante y así figura también en los propios sistemas de la denunciada. Por todo lo cual, se ha de concluir, que en base a los hechos y fundamentos de derecho citados no cabe apreciar e la conducta de TME vulneración del artículo 6.1 de la LOPD, por lo que se estima procedente el archivo del procedimiento sancionador. IV En segundo lugar, se ha procedido a la inclusión del dato del DNI del denunciante en un fichero de solvencia. En este fichero de solvencia se trataron los datos no exactos ni correctos hasta el momento de su desaparición, desde el desde 5/09/2011 a 23/11/2011, fecha que es diferente de la constitutiva del tratamiento en los propios sistemas de la denunciada, pues en estos figuran diferentes fechas de emisión de facturas por ejemplo, o de baja de la línea asociada a ese DNI. Se imputa a TME una infracción del artículo 4.3 en relación con el 29.4 de la LOPD. El artículo 4.3 de la citada Ley dispone lo siguiente: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.” La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38 del Reglamento de desarrollo de la LOPD, “Requisitos para la inclusión de datos” dispone lo siguiente: 1. “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
- b)(…).
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente.” El artículo 39 añade:” El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias” En este caso en que un cliente cumplimentó sus datos a través de Internet en la plataforma de contratación de MOVISTAR, es lógico que el denunciante no recibiera comunicado alguno de pago, ya que no era la dirección del denunciante, siendo lógico que se apercibiera de la inclusión en una entidad financiera a la que acudió. Teniendo en cuenta que en el tratamiento de los datos del DNI del denunciante no existe culpabilidad, respecto a la inclusión en ficheros de solvencia se debe predicar lo mismo, añadiéndose que rápidamente la denunciada excluyó los datos del fichero de solvencia, y la ultima factura que emitió era de octubre 2011. Se puede entender que TME actuó de manera diligente por cuanto recibida la solicitud de portabilidad, envió correos electrónicos de confirmación a la dirección electrónica facilitada en la misma, correos que no fueron devueltos, siendo posteriormente dada de alta la línea. Asimismo TME adoptó las medidas para corregir la situación irregular por cuanto, recibida la reclamación de la denunciante procedió a dar de baja la línea y a anular las facturas emitidas. Por todo lo cual, se ha de concluir, que en base a los hechos y fundamentos de derecho citados no cabe apreciar e la conducta de TME vulneración del artículo 4.3 de la LOPD, por lo que se estima procedente el archivo del procedimiento sancionador. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO del procedimiento PS/00053/2013 tramitado frente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 a, TELEFONICA MOVILES ESPAÑA S.A., por una infracción del artículo 6.1 y del 4.3 de la LOPD, tipificadas como graves en los artículos 44.3.
- b)y 44.3.
- c)de dicha Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a TELEFONICA MOVILES ESPAÑA S.A. y a A.A.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es