← España

PS-00194-2016

1/11 Procedimiento Nº PS/00194/2016 RESOLUCIÓN: R/02354/2016 En el procedimiento sancionador PS/00194/2016, instruido por la Agencia Española de Protección de Datos a la entidad XFERA MÓVILES S.A., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 17 de abril de 2015 tuvo entrada en esta Agencia una denuncia de D. A.A.A., con DNI. B.B.B. (en adelante el denunciante) en el que declaraba que YOIGO (por XFERA MÓVILES, S.A. y en adelante entidad denunciada o YOIGO) había tratado sus datos personales en relación con la contratación de servicios de telefonía sin su consentimiento, pues nunca había contratado servicios con tal entidad. Declaraba que con fecha 10 de noviembre de 2014 puso denuncia ante la Guardia Civil de Valdemoro (atestado 6170/2014, adjuntaba copia), por un supuesto delito de usurpación de identidad contra su persona, por la contratación de una línea de teléfono con fecha 10 de octubre de 2014 con YOIGO, detectada por el afectado al comprobar que en su cuenta le habían pasado un recibo de la citada empresa, y que en ningún momento la había contratado. Asimismo, manifestaba que lo denunció a la entidad, mediante llamada telefónica, correo electrónico, fax y denuncia ante la Oficina Municipal de Información al Consumidor del Ayuntamiento de Valdemoro. Con fecha 23 de diciembre de 2014, a través de la OMIC, se envió contestación de la empresa YOIGO, en respuesta a la reclamación informando "que se ha recibido denuncia donde se indica que se han usado sus dalos sin su consentimiento. Por este motivo, se ha cursado baja de la línea y se ha anulado la deuda que constaba a su nombre. Así mismo se han excluido los datos del reclamante de los ficheros de solvencia y crédito en los que pudieran estar incluidos por esa deuda. Y solicita la empresa YOIGO a la OMIC que teniendo por presentado este escrito, y en atención a las alegaciones efectuadas, se archive seguidamente el presente expediente" (adjuntaba copia de este documento). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las actuaciones de investigación descritas más abajo y se solicitó información a las entidades reseñadas. De este modo, en el informe de actuaciones previas de investigación E/04729/2015 se detalla lo siguiente: <<En el sistema de información de Xfera Móviles figura que con fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 10/10/2014 se ha dado de alta la línea C.C.C. que fue dada de baja en 16/02/2015. No aportan evidencias de la contratación ya que no han podido localizar la grabación>>. TERCERO: En fecha 14 de abril de 2016 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a XFERA MÓVILES, S.A. por las posibles infracciones del artículo 6.1 y 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD); infracciones tipificadas como graves en el artículo 44.3.

  1. b)y
  2. c)de la citada Ley Orgánica, respectivamente, este último artículo según redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible. CUARTO: En fecha 9 de mayo de 2015 tuvo entrada en esta Agencia un escrito de la representación de XFERA MÓVILES, S.A., por el que se solicitaba el archivo de las actuaciones por ausencia de culpabilidad, dado que YOIGO registró los datos personales en relación con una contratación realizada por teléfono (que se acredita con la grabación que se aporta al respecto); y que, una vez conocida la incidencia de posible suplantación de personalidad, y de acuerdo con el protocolo establecido para ello (que se le aporte denuncia policial), se procedió a anular la deuda asociada al denunciante; insistiendo en que en ningún caso hubo inclusión en ficheros de morosidad (por lo que se solicitaba como práctica de prueba se requiriese información al respecto al propio fichero de morosidad EXPERIAN-BADEXCUG para acreditar tal extremo) y manifestando por último que la mención a la baja de ficheros de morosidad iba incluida en el modelo que utilizó el servicio de atención al cliente en su comunicación a la OMIC en cuestión. QUINTO: En fecha 12 de mayo de 2016 se inició un período de práctica de pruebas por un plazo de treinta días, según lo dispuesto en el artículo 17.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, notificándose a las partes interesadas, practicándose las siguientes: Incorporar al expediente del presente procedimiento sancionador, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección E/04729/2015, consistente en el escrito de denuncia e informes de XFERA MÓVILES, S.A. (YOIGO), de los ficheros de morosidad ASNEF-EQUIFAX y EXPERIAN-BADEXCUG y de la Inspección de Datos de esta Agencia de fecha 13 de abril de 2016; así como las alegaciones de XFERA MÓVILES, S.A. (YOIGO) de fecha 2 de mayo de 2016 al Acuerdo de inicio citado más arriba. Todo ello con su correspondiente documentación adjunta (incluido pen drive). SEXTO: Con fecha 28 de junio de 2016 se formuló propuesta de resolución en el sentido de que se resolviese: “PRIMERO: ARCHIVAR el presente procedimiento sancionador PS/00194/2016 abierto a XFERA MÓVILES, S.A. por la presunta infracción del artículo 6.1 de la LOPD; infracción tipificada como grave en el artículo 44.3.
  3. b)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 SEGUNDO: ARCHIVAR de igual modo el presente procedimiento sancionador PS/00194/2016 abierto a XFERA MÓVILES, S.A. por la también presunta infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma; infracción tipificada como grave en el artículo 44.3.
  4. c)de dicha Ley Orgánica”. En su virtud se le notificó cuanto antecede a fin de que en el plazo de quince días hábiles pudiera alegar cuanto considerase en su defensa y presentase los documentos e informaciones que estimase pertinentes ante el Instructor del procedimiento, de acuerdo con el artículo 19.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto. En cumplimiento de lo dispuesto en el mencionado precepto, se acompañó una relación de los documentos obrantes en el procedimiento. HECHOS PROBADOS PRIMERO: Que con fecha 17 de abril de 2015 D. A.A.A., con DNI. B.B.B. manifestó a esta Agencia Española de Protección de Datos que YOIGO, por XFERA MÓVILES, S.A., había tratado sus datos personales en relación con la contratación de servicios de telefonía sin su consentimiento, pues nunca había contratado servicios con tal entidad (folio 1). SEGUNDO: Que el denunciante tuvo un cargo emitido por YOIGO en su cuenta bancaria de LA CAIXA por importe de 27,91 € en fecha 5 de noviembre de 2014 (folio 37). TERCERO: Que el denunciante presentó por estos hechos denuncia ante la Guardia Civil de Valdemoro en fecha 10 de noviembre de 2014, en concreto por la línea núm. C.C.C. con un cargo por ese importe de 27,91 €, recibo que fue devuelto por el banco a su orden (folios 5 y 6). Y en fecha 12 de noviembre de 2014 reclamación ante la OMIC del Ayuntamiento de Valdemoro (folio 7). CUARTO: Que XFERA MÓVILES, S.A. registró en su Sistema de Información de Clientes los datos del denunciante con fecha de alta el 10 de octubre de 2014 en relación con la línea núm. C.C.C., que fue dada de baja el 16 de febrero de 2015, con anulación de la facturación por importe de 27,91 € (folios 164 a 166). QUINTO: Que XFERA MÓVILES, S.A., en relación con el servicio de telefonía detallado en el punto 4º anterior y la reclamación interpuesta en la OMIC citada que se menciona en el punto 2º anterior, informó a dicho órgano en escrito fechado el 4 de diciembre de 2014, recibido por el Ayuntamiento de Valdemoro en fecha 22 de diciembre de 2014, que se procedía a dar de baja la línea de telefonía, a anular la deuda asociada y a excluir los datos del denunciante en ficheros de morosidad (folio 9). SEXTO: Que XFERA MÓVILES, S.A. ha aportado a esta Agencia una grabación de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 llamada telefónica en fecha 10 de octubre de 2014, en la que una persona facilita los datos personales de D. A.A.A. para el tratamiento de sus datos personales detallado en los puntos anteriores, en concreto, en relación con el proceso de contratación de la línea telefónica número C.C.C.; facilitando también dicha persona el número de cuenta de LA CAIXA en la que se produjo el cargo detallado en el punto 2º anterior (folio 182). SÉPTIMO: Que no consta acreditado en el expediente que los datos personales de D. A.A.A. hayan sido incluidos a instancias de XFERA MÓVILES, S.A. en ficheros comunes de solvencia patrimonial y crédito (ver por todos folios 95 y 109). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. No obstante, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, el artículo 6 del Reglamento general de protección de datos, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 94/46/CE, establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
  6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
  7. b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales”; norma en vigor y aplicable a partir del 25 de mayo de 2018. Por consiguiente, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. “Respecto al consentimiento – dice la reciente sentencia de la Audiencia Nacional de 4 de marzo de 2009 - , es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. El Grupo de Protección de Datos del Artículo 29, creado en virtud del artículo 29 de la Directiva 95/46/CE, como órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad (Comité Europeo de Protección de Datos, de acuerdo con el considerando 139 y el artículo 68.1 del Reglamento General de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 Protección de Datos de la Unión Europea), en su Dictamen 15/2011 sobre la definición del consentimiento adoptado el 13 de julio de 2011, dice en relación al asunto que estamos analizando que: “Como se describe a continuación, este requisito obliga a los responsables del tratamiento a crear procedimientos rigurosos para que las personas den su consentimiento; se trata de, o bien buscar un claro consentimiento expreso o bien basarse en determinados tipos de procedimientos para que las personas manifiesten un claro consentimiento deducible. El responsable del tratamiento debe además asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. Esto tiene especial importancia cuando el consentimiento se autoriza por teléfono o en línea. La prueba del consentimiento plantea una cuestión relacionada con lo anterior. Los responsables del tratamiento que se basen en el consentimiento pueden desear o necesitar demostrar que el consentimiento se ha obtenido, por ejemplo, en el contexto de un litigio con el interesado. Efectivamente, en algunos casos se les podrá pedir que aporten estas pruebas en el marco de medidas ejecutivas. Como consecuencia de ello y como cuestión de buena práctica los responsables del tratamiento deben crear y conservar pruebas de que el consentimiento fue efectivamente dado, lo que significa que el consentimiento debería ser demostrable”. El citado Reglamento General de Protección de Datos de la Unión Europea 2016/679 en su artículo 7.1) sintetiza, por su parte, en relación con el consentimiento del interesado que “el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. III Se imputa igualmente a XFERA MÓVILES, S.A. la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La Directiva 95/46 CE del Parlamento Europeo y del Consejo, que traspone la LOPD, por su parte, establece en su artículo 6. I.
  8. d)que “Los Estados miembros dispondrán que los datos personales sean….
  9. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que: “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. Por otra parte, el artículo 5 del Reglamento general de protección de datos, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 94/46/CE, en su apartado 1.
  10. d)establece que los datos personales serán: “exactos y, si fuera necesario, actualizados; se adoptarán todas la medidas necesarias todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos que sean inexactos con respecto a los fines para los se tratan (<<exactitud>>); norma en vigor y aplicable a partir del 25 de mayo de 2018. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 La obligación establecida en el artículo 4 de la LOPD transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula por otro lado de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que: ”Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. De esta manera, el artículo 37.1 y 3 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece que: “1. El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito, previsto en el apartado 1 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, se someterá a lo establecido, con carácter general, en dicha ley orgánica y en el presente reglamento. (…) 3. De conformidad con el apartado 2 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo”. Asimismo, el artículo 38 del mismo Reglamento de Desarrollo de la LOPD determina que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  11. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
  12. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11
  13. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. A lo que hay que añadir lo que determina el artículo 43 del RLOPD, en relación con la responsabilidad en la inclusión en ficheros de morosidad: “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. IV XFERA MÓVILES, S.A. en este caso concreto ha aportado prueba documental que acredita que contaba con el consentimiento inicial, al menos aparente, del denunciante para poder llevar a cabo el tratamiento de datos personales realizado (grabación de la conversación realizada, a través de empresa tercera especializada: EMERGIA CONTACT CENTER, S.L.). Indicar que en el presente caso concreto con fecha 17 de abril de 2015 D. A.A.A., con DNI. B.B.B. manifestó a esta Agencia Española de Protección de Datos que YOIGO, por XFERA MÓVILES, S.A., había tratado sus datos personales en relación con la contratación de servicios de telefonía sin su consentimiento, pues nunca había contratado servicios con tal entidad (folio 1). En relación con esto, el denunciante tuvo un cargo emitido por YOIGO en su cuenta bancaria de LA CAIXA por importe de 27,91 € en fecha 5 de noviembre de 2014 (folio 37). Por discrepancia en esa facturación, el denunciante presentó denuncia ante la Guardia Civil de Valdemoro en fecha 10 de noviembre de 2014, en concreto por la línea núm. C.C.C. con un cargo por ese importe de 27,91 €, recibo que fue devuelto por el banco a su orden (folios 5 y 6). Y en fecha 12 de noviembre de 2014 reclamación ante la OMIC del Ayuntamiento de Valdemoro (folio 7). En efecto, y como consta acreditado en el expediente, XFERA MÓVILES, S.A. registró en su Sistema de Información de Clientes los datos del denunciante con fecha de alta el 10 de octubre de 2014 en relación con la línea núm. C.C.C., que fue dada de baja el 16 de febrero de 2015, con anulación de la facturación por importe de 27,91 € (folios 164 a 166). No obstante, XFERA MÓVILES, S.A., en relación con este servicio de telefonía y la reclamación interpuesta en la OMIC citada, informó a dicho órgano en escrito fechado el 4 de diciembre de 2014, recibido por el Ayuntamiento de Valdemoro en fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 22 de diciembre de 2014, que se procedía a dar de baja la línea de telefonía, a anular la deuda asociada y a excluir los datos del denunciante en ficheros de morosidad (folio 9). Por su parte, XFERA MÓVILES, S.A. ha aportado a esta Agencia una grabación de una llamada telefónica en fecha 10 de octubre de 2014, en la que una persona facilita los datos personales de D. A.A.A. para el tratamiento de sus datos personales detallado en los puntos anteriores, en concreto, en relación con el proceso de contratación de la linea telefónica número C.C.C.; facilitando también dicha persona el número de cuenta de LA CAIXA en la que se produjo el cargo detallado más arriba (folio 182); pues XFERA MÓVILES, S.A., aunque no lo pudo llevar a cabo en respuesta al requerimiento de información realizado en fase de actuaciones previas de investigación, aportó en la fase de alegaciones del presente procedimiento sancionador un dispositivo USB pent drive con la grabación de la contratación realizada, en la que la persona interviniente se identifica como el denunciante, facilitando los datos personales ya dichos. Aquí se impone traer a colación la sentencia de la Audiencia Nacional de 3 de diciembre de 2008 que dice que: “En definitiva, entendemos que la ahora recurrente actuó con el convencimiento legítimo de que el repetido consentimiento, por parte del Sr. (…), había sido prestado (…). Consideraciones, todas las anteriores, que conllevan que no pueda entenderse vulnerado, en el presente supuesto, el principio de consentimiento del articulo 6.1 de la LORD (…)”. La sentencia de la Audiencia Nacional de 18 de febrero de 2009, con respecto a este asunto sobre la identificación de las personas afectadas, viene a decir lo siguiente: “Tal y como razona la resolución combatida, y si bien no es exigible a las denunciadas una investigación de la autenticidad de los documentos de identidad presentados por sus clientes en sus respectivas relaciones contractuales o comerciales, sí es exigible que cuando se tienen indicios, apreciados por un tercero de profesionalidad, confianza y rigor aceptables, de que los datos tratados pueden ser erróneos o inexactos, se tome la decisión de cancelar la anotación en el fichero de morosos”. No está de más señalar que la Agencia Española de Protección de Datos no es el órgano competente para dirimir controversias comerciales entre las partes, si existe la obligación contractual en sí (aquí en principio avalada con la grabación existente, aunque bien podría tratarse de un fraude por usurpación de personalidad), ello con carácter definitivo y efecto frente a terceros, para eso están los tribunales de justicia en última instancia, incluso de orden penal como podría ser en el presente supuesto; le compete a esta Agencia determinar si se han cumplido los requisitos legal y reglamentariamente establecidos para el tratamiento de datos de carácter personal, y la diligencia desplegada por parte de la entidad denunciada en dicho tratamiento al corregir las irregularidades detectadas, como es el caso. De igual modo, la sentencia de la Audiencia Nacional de fecha 29 de abril de 2010 habla de la diligencia razonable que debe tener la entidad que trata los datos personales a la hora de identificar a la persona que contrata y que se adopten para ello las medidas necesarias para evitar errores: “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de identificar a la persona con la que suscribió el contrato de (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 Se ha solicitado para (…) para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que se adoptaron las medidas necesarias. La utilización de dicho DNI por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal. Además, la recurrente dio la baja de forma inmediata sus datos y cesión de reclamarle cantidad alguna”. Los hechos anteriormente relatados son conformes, en consecuencia, con el principio de consentimiento, recogido en el artículo 6 de la LOPD, en especial de acuerdo con lo establecido en su apartado 2; así como con el principio de calidad del dato, recogido en el artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma; toda vez que XFERA MÓVILES, S.A. contaba con la grabación citada (aportada a esta Agencia), y con ello mantuvo debidamente los datos del denunciante en sus propios ficheros, pues dicho tratamiento respondía a su situación de entonces (“actual”; con una, al menos, apariencia inicial de contratación), cumpliéndose los requisitos establecidos en la normativa precitada sobre protección de datos de carácter personal. Asimismo, recordar, en relación con el principio de calidad del dato del artículo 4.3 de la LOPD, que en cualquier caso no consta acreditado en el expediente que existiera una inclusión de datos personales del denunciante en ficheros de morosidad (ver por todos folios 95 y 109). En el presente caso concreto, por tanto, procede archivar el presente procedimiento sancionador. Vistos los preceptos citados y demás de general aplicación: La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento sancionador PS/00194/2016 abierto a XFERA MÓVILES, S.A. por la presunta infracción del artículo 6.1 de la LOPD; infracción tipificada como grave en el artículo 44.3.
  14. b)de dicha norma. SEGUNDO: ARCHIVAR de igual modo el presente procedimiento sancionador PS/00194/2016 abierto a XFERA MÓVILES, S.A. por la también presunta infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma; infracción tipificada como grave en el artículo 44.3.
  15. c)de dicha Ley Orgánica. TERCERO: NOTIFICAR la presente Resolución a XFERA MÓVILES, S.A. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.