1/8 Procedimiento Nº PS/00109/2015 RESOLUCIÓN: R/01800/2015 En el procedimiento sancionador PS/00109/2015, instruido por la Agencia Española de Protección de Datos a la entidad TELEFÓNICA MÓVILES ESPAÑA S.A.U., (TME) vista denuncia presentada y en base a los siguientes:, ANTECEDENTES PRIMERO: Con fecha de 11/3/14 tiene entrada en esta Agencia un escrito de Dª A.A.A. en el que declara que MOVISTAR ha usurpado su identidad y ha realizado un contrato sin su consentimiento. Aporta entre otra documentación copia de la reclamación de fecha 23/02/2014 interpuesta por dicho motivo ante la OMIC del Ayuntamiento de Murcia, copia de la denuncia interpuesta en una comisaría de policía, y copia del contrato de fecha 15/03/2011 que le fue remitido por MOVISTAR a su petición. Indica que la firma que aparece en el contrato esta falsificada. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/03312/2014. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 3/2/15, TERCERO El Director de la Agencia Española de Protección de Datos acordó, con fecha 26/2/15 iniciar procedimiento sancionador a TME por la presunta infracción del artículo 6 de la LOPD. CUARTO: Se presentó escrito de alegaciones al Acuerdo de Inicio, manifestando, en síntesis lo siguiente: No infracción del art. 6.1 de la LOPD La línea ***TEL.1 fue dada de alta a nombre de la denunciante, con fecha 15/3/11, tramitándose de forma fraudulenta en un punto de distribución. Que las medidas adoptadas por TME no han podido evitar la tramitación del alta fraudulenta a nombre de la denunciante. Debiéndose tenerse en cuenta que: - Se ha aportado copia del contrato suscrito en el punto de distribución. No se ha podido localizar la copia del número de identificación. - Que se abonaron un total de diez facturas (emitidas desde 28/3/11 a 1/12/12) * Que se solucionó la situación irregular al tener conocimiento de los hechos a través de una reclamación ante la OMIC Ausencia de culpabilidad Subsidiariamente, aplicación del art. 45.5 de la LOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 QUINTO: Por el instructor del procedimiento se apertura periodo de prácticas de pruebas, incorporando la documentación y alegaciones presentadas en el procedimiento de actuaciones previas de investigación. SEXTO: Con fecha 12/6/15 se dictó, por el instructor del procedimiento, la siguiente propuesta de resolución: <<<<< Que por el Director de la Agencia Española de Protección de Datos se sancione a TELEFÓNICA MÓVILES ESPAÑA S.A.U. con multa de 20.000 € (veinte mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma. >>>>> SEPTIMO: Por parte de la representación de TME se ha remitido escrito de alegaciones, con fecha 3/7/15, a la propuesta de resolución manifestando, en síntesis, lo siguiente: Sobre los hechos * Que la contratación se realizó a través de un distribuidor siendo obligación de estos verificar la documentación necesaria * Que TME fue víctima de una supuesta suplantación tras haber usado la documentación de la reclamante por un tercero Principio de proporcionalidad y subsidiariamente aplicación del art. 45.4 y 5 de la LOPD * Que se ha acreditado la contratación del servicio * Que se actuó nada más tener conocimiento de los hechos evitando que los datos de la denunciante fueron informados a los ficheros de morosidad HECHOS PROBADOS 1º Consta denuncia presentada por Dª A.A.A. en el que declara que MOVISTAR ha usurpado su identidad y ha realizado un contrato sin su consentimiento. Aporta entre otra documentación copia de la reclamación de fecha 23/02/2014 interpuesta por dicho motivo ante la OMIC del Ayuntamiento de Murcia, copia de la denuncia interpuesta en una comisaría de policía, y copia del contrato de fecha 15/03/2011 que le fue remitido por MOVISTAR a su petición. Indica que la firma que aparece en el contrato esta falsificada. 2º En los ficheros de la entidad denunciada consta la siguiente información asociada al DNI de la denunciante: * Consta el alta de la línea número ***TEL.1 a nombre de la denunciante con fecha de alta 15/03/2011. Consta como fecha de baja 06/01/2014, por falta de pago. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 * Se aporta copia del contrato suscrito. El contrato está firmado por el contratante si bien la denunciante no reconoce la firma. No aportan copia de DNI. 3º Constan manifestaciones en el sentido que la venta se formalizó presencialmente en el distribuidor Centro Comercial ALCAMPO pio XII, con dirección en la avda. Del Cid, 5961 de Burgos. 4º Aportan copia del contrato de distribución suscrito con ALCAMPO, SA. 5º En relación a los contactos mantenidos con la denunciante: se aportan también copia de la contestación de fecha 12/04/2014 emitida por MOVISTAR a la OMIC del Ayuntamiento de Murcia. Indican que “hemos detectado alguna incidencia en la contratación de la línea, por lo que proceden a la anulación de todas pendientes a nombre de la Sra. A.A.A. por el número ***TEL.1. … no existe ninguna deuda pendiente… de lo cual notificamos a las empresas de cobro para que no le soliciten el pago”. 6º Que consta la relación de facturas emitidas y anuladas. Indican que las comprendidas entre las fechas 28/03/2011 hasta 1/12/2012 fueron abonadas mediante la domiciliación bancaria, quedando pendientes de pago el resto, que han sido anuladas por MOVISTAR. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Debe tenerse en cuenta que la condición de responsable o encargado del tratamiento se delimita en virtud de la capacidad de decisión sobre la finalidad, contenido o uso del tratamiento que ostentará el responsable, no correspondiendo dicha potestad al encargado, habida cuenta del hecho de que el mismo se limitará a actuar en virtud de las instrucciones conferidas por el responsable del tratamiento. La figura del encargado del tratamiento responde a la necesidad de dar respuesta a fenómenos como la externalización de servicios por parte de las empresas y otras entidades, de manera que en aquellos supuestos en que el responsable del tratamiento encomiende a un tercero la prestación de un servicio que requiera el acceso a datos de carácter personal por éste, dicho acceso no pueda considerarse como una cesión de datos. III De conformidad con lo expuesto ut supra, la jurisprudencia y el propio artículo 6 de la LOPD, exige que el responsable del tratamiento de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Los sistemas de información de la denunciada han de conjugarse con la definición de fichero, que de conformidad con el artículo 3.
- b)como “todo conjunto organizado de datos de carácter personal, cualquiera que fuera la forma o modalidad de su creación, almacenamiento, organización y acceso. Todo esto sitúa a TME como responsable del fichero y se evidencia un tratamiento de datos, de conformidad con las definiciones legales señaladas en el fundamento jurídico anterior. Por lo que de conformidad con el artículo 43 de la LOPD, la entidad denunciada se sitúa bajo el régimen de responsabilidad de la LOPD. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Se analiza en este procedimiento si TME trató los datos personales de la denunciante sin su consentimiento inequívoco, al figurar en sus ficheros como titular de la línea ***TEL.1 que consta en sus sistemas asociada a Dª A.A.A.. En orden a precisar el alcance antijurídico de los referidos hechos respecto de la entidad denunciada, procede analizar el principio de consentimiento consagrado en el artículo 6.1 y 2 de la LOPD, que establecen lo siguiente, “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negociar, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Se deduce pues que el tratamiento de datos de carácter personal tiene que contar con el consentimiento de los afectados o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento de los afectados cuando realiza algún tratamiento con los datos personales de éstos, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. V El art.3
- h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El artículo 6.1 de la LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. Como el término “inequívoco” no se refiere a que deba prestarse de forma determinada, ni al momento de prestarlo, debe entenderse que dicho consentimiento se puede producir de forma expresa (oral o escrita) o por actos reiterados del afectado que revele que efectivamente ha dado ese consentimiento, recayendo en todo caso en el responsable del tratamiento, la prueba que ha obtenido el consentimiento del interesado para el tratamiento de sus datos. Se manifiesta por TME que se están implementando nuevos procedimientos para la verificación de las nuevas altas que se tramitan, pero que sin embargo tales medidas no han podido evitar la tramitación del alta fraudulenta. Y así pese que en apariencia el contrato tenía plena validez, posteriormente a raíz de la reclamación de la denunciante se tuvo conocimiento que dicho contrato se había tramitado de manera fraudulenta por no contar con el consentimiento de la misma. En relación a los hechos denunciados, y de cara a fijar la posible culpabilidad de TME en el tratamiento de datos de la denunciante hay que tener en cuenta dos aspectos: * En primer lugar que se ha aportado copia de un contrato relativo a la línea ***TEL.1, donde aparecen los datos de la denunciante, nombre, apellidos, número de NIE, número de cuenta, y firma (en las alegaciones a la Propuesta de Resolución se ha aportado copia de un NIE que si bien la fotografía no coincide con la aportada por la denunciante su rúbrica es similar). * Que en la cuenta asignada en el contrato se cargaron las facturas correspondientes al periodo 28/03/2011 a 1/12/2012 que resultaron abonadasLa denunciante presentó reclamación ante la OMIC e interpuso denuncia ante la Policía, TME remitió contestación a la OMIC, con fecha 12/4/14, manifestando que habiendo analizado el caso se ha detectado alguna incidencia en la contratación de la línea por lo que proceden a la anulación de la deuda pendiente de pago asociada a la denunciante. En conclusión, sin perjuicio que se reconozca por TME que el alta de la línea se tramitó C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 por un tercero de mala fe, facilitando incluso un DNI falsificado, hay que indicar que la entidad denunciada ha actuado con una razonable y suficiente diligencia al dar de baja la línea telefónica cuyo contrato firmados está a nombre de la denunciante, una vez que procedió al estudio del caso correspondiente y proceder a la anulación de las facturas. A mayor abundamiento, la Audiencia Nacional—SAN 06/07/12—ha manifestado que: “Si bien la presunta suplantación de identidad no ha podido ser esclarecida, de lo que no cabe dudad a juicio de la Sala, es de que Canal Satélite Digital obró con una diligencia normalmente exigible en una operación de servicios como los contratados. Y además el correspondiente contrato tuvo que ser firmado por alguien que, si no era tal denunciante, al menos si conocía su nombre y apellidos, su domicilio, su teléfono móvil y su número de DNI. Abonándose además, puntualmente y durante ocho meses, tales consumos televisivos.” O en la en la Sentencia de 24 de enero de 2014 -recurso nº. 540/2012 -, que señala que: “ ... ningún reproche puede hacerse a la actuación de France Telecom en este ámbito sancionador al haber adoptado las cautelas precisas para asegurarse de la identidad de la persona de quien recababa los datos personales en relación con la contratación de las citadas líneas telefónicas, sin que existan elementos suficientes en el presente procedimiento para poder determinar si se trata de un supuesto en que un mismo número de DNI ha podido ser asignado erróneamente a dos personas distintas, o de un posible supuesto de fraude. En cualquiera de los casos, bien por falta de tipicidad o de culpabilidad, no puede tenerse por acreditada o imputarse a France Telecom la vulneración del principio del consentimiento ni tampoco, y en correlación, la del principio de calidad de datos”.. Por tanto no se puede atribuir a TELEFONICA MOVILES ESPAÑA SAU, una vulneración de la normativa en materia de protección de datos, en la medida en que actuó con una razonable diligencia a la hora de la comprobación del contrato firmado que había dado lugar a asociar los datos de la denunciante con la línea telefónica. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a TELEFONICA MOVILES ESPAÑA S.A. y a Dª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es