PS-00248-2015

1/18 Procedimiento Nº PS/00248/2015 RESOLUCIÓN: R/02757/2015 En el procedimiento sancionador PS/00248/2015, instruido por la Agencia Española de Protección de Datos a las entidades JAZZ TELECOM, S.A.U., y LEGAL PLUS, S.L., vista la denuncia presentada por Dña. B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 13/05/2014 tiene entrada en esta Agencia un escrito de Dña. B.B.B. (en lo sucesivo la denunciante) en el que declara: La denunciante denuncia unos hechos relativos a la inclusión de sus datos en ASNEF por parte de VODAFONE como consecuencia de una contratación no solicitada. Estos hechos han dado lugar a las actuaciones con referencia E/4905/2014. Además de los hechos anteriores, la denunciante manifiesta que con fecha 25 de abril de 2014, en contestación a su solicitud de acceso al fichero BADEXCUG, le han informado de que sus datos están incluidos por importe de 421,23€, informados por la entidad JAZZ TELECOM S.A.U. (en lo sucesivo JAZZTEL) y que nunca ha contratado ningún producto con esta entidad. Aporta copia del escrito de contestación. Así mismo, con fecha 29 de abril de 2014, en contestación a su solicitud de acceso al fichero ASNEF, le informan de que sus datos se encuentran incluidos en dicho fichero por importe de 300€, informados por LEGAL PLUS S.L. (en lo sucesivo LEGAL PLUS) según manifiesta, no tiene ninguna relación con esta empresa. Aporta copia del escrito de contestación. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades EQUIFAX IBERICA, S.L., EXPERIAN BUREAU DE CRÉDITO S.A., JAZZTEL y LEGAL PLUS, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones de inspección E/4845/2014 que se transcribe: “ACTUACIONES PREVIAS Con fecha 27 de noviembre de 2014, se solicita a EQUIFAX IBERICA, SL información relativa al denunciante y de la respuesta recibida con fecha 29 de diciembre de 2014, se desprende lo siguiente: 1. Respecto del fichero ASNEF: No consta información 2. Respecto del fichero de NOTIFICACIONES: Constan, entre otras, una notificación enviada a la denunciante como consecuencia de la inclusión de sus datos personales en el fichero ASNEF por la entidad LEGAL PLUS S.L., con fecha 6 de octubre de 2012, por un producto de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 TELECOMUNICACIONES. 3. Respecto del fichero de BAJAS: Constan, entre otras, una baja de los datos informados por LEGAL PLUS S.L., con fecha 27 de mayo de 2014, como motivo figura CLIENTE. 4. Respecto al expediente asociado al denunciante: Constan dos expedientes de solicitud de cancelación del afectado de abril y mayo de 2014 y la contestación de las mismas de fechas 29 de abril de 2014, en la que le informan de que la documentación que aporta es insuficiente pero le informan de que sus datos están incluidos por LEGAL PLUS S.L., y de fecha 27 de mayo de 2014 en la que le informan que proceden a la baja cautelar de los datos informados por LEGAL PLUS S.L. Con fecha 19 de noviembre de 2014, se solicita a EXPERIAN BUREAU DE CREDITO, SA información relativa a la denunciante y de la respuesta recibida, con fecha 16 de diciembre de 2014, se desprende lo siguiente 5. Respecto del fichero BADEXCUG: No consta información. 6. Respecto del fichero de NOTIFICACIONES: Consta, entre otras, una notificación enviada a la denunciante como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad JAZZTEL, con fecha 18 de enero de 2011, por importe de 421,23€. 7. Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. Información relativa a una operación impagada informada por JAZZTEL, con fecha de alta 16 de enero de 2011 y fecha de baja 27 de mayo de 2014, como consecuencia de la solicitud de cancelación de la interesada. 8. Respecto a los EXPEDIENTES asociados al denunciante: Constan dos expedientes de solicitud de cancelación de la afectada de abril y mayo de 2014 y la contestación de las mismas de fechas 25 de abril de 2014, en la que le informan de que no existen datos de la entidad a la que se refiere pero que constan datos informados por JAZZTEL, y de fecha 27 de mayo de 2014 en la que le informan que proceden a la baja los datos informados por JAZZTEL. Con fecha 17 de abril de 2015, JAZZ TELECOM S.A.U. ha remitido a esta Agencia la siguiente información: 1. Aportan copia impresa de la información que figura en sus ficheros asociada a la denunciante como titular del número de teléfono D.D.D.. 2. Según manifiestan, la solicitud de contratación se realizó con fecha 2 de julio de 2009 y con fecha 13 de enero de 2010, se procedió a la suspensión del servicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 por impago, tramitándose la baja definitiva del servicio con fecha 20 de octubre de 2010. 3. Con fecha 25 de mayo de 2014, la denunciante solicitó la cancelación de sus datos al fichero BADEXCUG, adjuntando una copia de la denuncia interpuesta ante la Policía de fecha 12 de mayo de 2014. 4. EXPERIAN BUREAU DE CREDITO S.A. remitió a JAZZTEL, la reclamación junto con la denuncia de la policía, por lo que la compañía procedió de forma inmediata a la cancelación de la deuda, procediendo a la emisión de una factura de abono por el importe de la misma: 421,24€, de la que aportan copia, y se excluyeron los datos de la denunciante en el fichero BADEXCUG con fecha 26 de mayo de 2014. 5. No consta en la actualidad ninguna deuda pendiente a nombre de la denunciante. 6. Dado el tiempo transcurrido desde la contratación: año 2009, no disponen de la grabación de la misma. Con fecha 26 de marzo de 2015, se solicita información a LEGAL PLUS S.L., la solicitud fue recibida en la empresa con fecha 30 de marzo de 2015, según consta en el Acuse de Recibo del Servicio de Correos. No obstante a la fecha de este informe no se ha recibido contestación a la solicitud.” TERCERO: Con fecha 11 de mayo de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a JAZZTEL y LEGAL PLUS, por presunta infracción de los artículos 6.1 y 4.3 en relación con el 29.4 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificadas como graves en el artículo 44.3.

1. b)y
2. c)respectivamente de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio JAZZTEL formuló las siguientes alegaciones: 1ª.JAZZTEL trató los datos personales de la denunciante en virtud de la presunta relación contractual existente entre las partes acreditada con el contrato de servicio de ADSL de la línea D.D.D. suscrito por la denunciante y con la copia de su DNI que obra en poder de la operadora. 2º.JAZTELL actuó con diligencia por cuanto adoptó todos las medidas para identificar a la persona que efectuaba la contratación mediante la firma del correspondiente contrato, así como recabando copia del DNI. Asimismo desde que tuvo conocimiento que la contratación podría tener su origen en un ilícito penal procedió a la suspensión temporal de la línea en fecha 13/01/2010, y finalmente a la baja definitiva en fecha 20/10/2010. Por otra parte tras la solicitud de la denunciante de cancelación remitida por EXPERIAN BUREAU DE CREDITO, S.A. en fecha 25/05/2014 en la que adjuntaba denuncia interpuesta ante la policía, se determinó que había existido un alta fraudulenta, procediendo a regularizar todos los importes facturados a la denunciante (421,23 €) y a excluir sus datos de ficheros de solvencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 QUINTO: En fecha 28/09/2015 se emitió propuesta de resolución en el sentido de archivar la presunta infracción de los artículos 6.1 y 4.3 de la LOPD imputada a JAZZTEL, e imponer a LEGAL PLUS dos sanciones de 50.000 € cada una por la infracción de los artículos 6.1 y 4.3 de la LOPD. SEXTO: Notificada la propuesta LEGAL PLUS efectuó las siguientes alegaciones: 1ª.En fecha 28/03/2012 DTS, DISTRIBUIDORA DE TELEVISION DIGITAL, S.A. (en lo sucesivo DTS) y LEGAL PLUS suscribieron un contrato de compraventa y cesión de créditos en virtud de cual DTS cedía a LEGAL PLUS un conjunto de créditos que aquella ostentaba frente a determinados clientes, entre los que se encontraba el de la denunciante. En concreto la denunciante suscribió contrato con Canal Satélite Digital, S.L. en fecha 10/02/1998, empresa posteriormente absorbida por DTS que es quién cedió el derecho de crédito a favor de LEGAL PLUS. La deuda cedida tiene su origen en la factura de fecha 01/11/2008 por importe de 300€ en concepto de indemnización por retención de equipo ya que el contrato de suscripción de televisión digital suscrito por la denunciante establecía la obligatoriedad, una vez finalizado el contrato, de devolver el material entregado para prestar el servicio, devolución que no efectuó la denunciante. DTS vendió su derecho de crédito a favor de LEGAL PLUS, y proporcionó los datos de deudores y deudas pendientes en un archivo informático, más las facturas y requerimientos de pago que se realizaron respecto a las deudas que cedía. Los datos de la denunciante cedidos por DTS fueron los siguientes: nombre y apellidos, DNI, dirección C/ A.A.A. y teléfono E.E.E.. 2ª.LEGAL PLUS contrató los servicios de CORPORACION LEGAL 2001, S.L para gestionar el cobro de su cartera de impagados, que referidas a la denunciante fueron las siguientes: 14/05/2012.- CORPORACION LEGAL envía la carta de notificación de la cesión del derecho de crédito a favor de LEGAL PLUS con requerimiento de pago y contenido respecto a la inclusión en ficheros sobre solvencia patrimonial y crédito. 06/11/2012.- CORPORACION LEGAL envía SMS de contacto al móvil n C.C.C.. 30/11/2012. CORPORACION LEGAL envía SMS de contacto al móvil n° C.C.C.. 03/12/2015.- Llama A CORPORACION LEGAL una persona que se identifica como el yerno de la Sra. B.B.B. para informarse, y se le indica que necesitamos contactar con la Sra. B.B.B.. Él yerno dice que le dará el recado. 07/01/2013.- CORPORACION LEGAL envía SMS de contacto al móvil n° C.C.C.. 12/02/2013.- CORPORACION LEGAL envía SMS de contacto al móvil n° C.C.C.. 13/02/2013.- CORPORACION LEGAL envía SMS de contacto al móvil n° C.C.C.. 20/05/2013.- CORPORACION LEGAL llama al número C.C.C. y hablan con l apersona que se identifica como el yerno de la Sra. B.B.B.. Le piden que les llame la Sra. B.B.B.. 23/05/2013.- CORPORACION LEGAL llama al número C.C.C. y se vuelve a poner el yerno de la Sra. B.B.B.. Le piden que les llame la Sra. B.B.B.. 28/05/2013.- CORPORACION LEGAL envía la segunda carta de requerimiento a la Sra. B.B.B.. 09/09/2013.- CORPORACION LEGAL envía SMS de contacto al móvil n° C.C.C.. 22/10/2013.- CORPORACION LEGAL envía SMS de contacto al móvil n° C.C.C.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 12/11/2013.- CORPORACION LEGAL envía SMS de contacto al móvil n° C.C.C.. 13/12/2013.- CORPORACION LEGAL envía SMS de contacto al móvil n° C.C.C.. 08/05/2014.- CORPORACION LEGAL envía la tercera carta de requerimiento a la Sra. B.B.B.. 13/05/2014.- Llama a CORPORACION LEGAL la Sra. B.B.B. con motivo de la tercera carta indicando que no pagará la deuda porque ha interpuesto denuncia. 04/08/2014.- CORPORACION LEGAL llama a la Sra. B.B.B., pero ésta se niega al pago. 02/09/2014.- CORPORACION LEGAL llama a la Sra. B.B.B., pero ésta se niega al pago. 22/01/2015.- CORPORACION LEGAL llama a la Sra. B.B.B., pero ésta se niega al pago. La Sra. B.B.B. se niega al pago e insulta gravemente a la gestora de cobro que le está atendiendo. 3ª.La baja de los datos de la denunciante en el fichero asnef se hizo efectiva el 26/05/2014 con motivo de ser una deuda de una antigüedad de casi 6 años 4ª.No era necesario el consentimiento de la denunciante para el tratamiento de sus datos por cuanto estos se tenían en virtud de la operación de cesión del crédito que DTS tenía contra la denunciante. 5ª.La inclusión de los datos de la denúnciate en el fichero asnef se produjo 4 meses y medio después del envío de la primera carta de requerimiento de pago sin que abonara la deuda. Se llamó y se enviaron SMS al teléfono que la denunciante facilitó a DTS en el momento de la contratación. Incluso la propia denunciante llamó a CORPORACION LEGAL con motivo de la recepción de la tercera carta de requerimiento de pago. En cuanto al procedimiento envío de cartas y control de las cartas devueltas, ya fue inspeccionado por la AEPD en el año 2013, en virtud de visitas presenciales los días 18 y 25 de noviembre de 2013 resultando las actas de inspección E/02603/2013/I-01, E/03391/2013-I-01, E/03677/2013/I-01, E/03771/2013/I-01, E/00269/2013/I-02, E/01231/2013/I-01, E/02618/2013/I-01, E/06222/2013/I-01 y E/06323/2013/I-01. El procedimiento de envío de las cartas que notificaban la cesión del derecho de crédito, así como los requerimientos de pago era el siguiente: CORPORACION LEGAL confeccionaba las cartas con los datos proporcionados por LEGAL PLUS, cartas que tenían un código de barras diferente. CORPORACION LEGAL hacía entrega de las cartas a la Sociedad estatal de Correos y Telégrafos, S.A., que las enviaba por correo ordinario. Las cartas no entregadas eran devueltas a CORPORACION LEGAL que las registraba en su sistema informático mediante la lectura de su código de barras, generándose automáticamente un listado de las mismas, volcándose posteriormente sobre el sistema informático para conocer cuál de las cartas enviadas no había llegado a su destino. Una vez registrados los datos las cartas devueltas se destruían. No se incluían en asnef aquellos deudores cuya carta hubiera sido devuelta, entre las cuales no estaba la de la denunciante. HECHOS PROBADOS PRIMERO: Con fecha 13/05/2014 tiene entrada en esta Agencia un escrito de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 denunciante en el que declara entre otras cuestiones que con fecha 25 de abril de 2014, en contestación a su solicitud de acceso al fichero BADEXCUG, le han informado de que sus datos están incluidos por importe de 421,23 €, informados por la entidad JAZZTEL y que nunca ha contratado ningún producto con esta entidad. Aporta copia del escrito de contestación. Así mismo, con fecha 29 de abril de 2014, en contestación a su solicitud de acceso al fichero ASNEF, le informan de que sus datos se encuentran incluidos en dicho fichero por importe de 300 €, informados por LEGAL PLUS según manifiesta, no tiene ninguna relación con esta empresa. Aporta copia del escrito de contestación (folios 1-3) SEGUNDO: En fecha 12/05/2014 la denunciante presentó denuncia ante la policía manifestando, entre otras cuestiones, que figuraba inscrita en el fichero badexcug por JAZZTEL por una supuesta deuda de 421,23 €, negando haber contratado con dicha entidad, ni tener conocimiento de deuda alguna. Asimismo denuncia haber recibido una carta del fichero de morosos equifax en el que le informan que no pueden cancelar sus datos al ser confirmados por la entidad LEGAL PLUS ya que les consta una deuda de 300 € (folios 76-79) TERCERO: En los sistemas de JAZZTEL consta la denunciante como titular de un servicio de ADSL hasta 20 megas + llamadas con mantenimiento de línea asociado a la línea D.D.D. con fecha de alta 02/07/2009. En fecha 13/01/2010 se procedió a la suspensión del servicio por impago, y baja definitiva en fecha 20/10/2010. JAZZTEL aporta copia del contrato correspondiente al citado servicio en el que figura, en el apartado de titular del servicio, una firma similar a la del DNI de la denunciante cuya copia también aporta la operadora. El impago de facturas del citado servicio arrojó una deuda de 421,23 €, facturas que fueron anuladas en fecha 16/06/2014, quedando la deuda sin efecto (folios 94-99). CUARTO: Consta en el expediente “Contrato de suscripción para abonados de canalsatélite y/o Canal+” de CANAL SATELITE DIGITAL. S.L. (actualmente DTS) fechado el 10/02/1998, en el que figuran los datos personales de la denunciante (nombre y apellidos y DNI), así como la dirección C/ A.A.A. y firma (folios 304-307) QUINTO:DTS emitió a la denunciante factura de fecha 01/11/2008 por importe de 300 € en concepto de indemnización por retención de equipo tras la baja en el contrato, factura que no fue abonada (folio 308) SEXTO: En fecha 28/02/2012 DTS y LEGAL PLUS suscribieron un contrato de compraventa y cesión de créditos en virtud de cual DTS cedía a LEGAL PLUS un conjunto de créditos que aquella ostentaba frente a determinados clientes, entre los que se encontraba crédito de 300 € adeudado por la denunciante, y sus datos personales nombre y apellidos, DNI, dirección C/ A.A.A. y teléfono E.E.E. (folios 312, 319-321) SEPTIMO: Consta en el expediente carta de comunicación de la cesión del crédito y requerimiento de pago fechada el 14/05/2012 emitida por CORPORACION LEGAL en nombre de LEGAL PLUS y dirigida a la denunciante a la dirección obrante en el contrato de abonado de televisión y que es coincidente con la dirección que figura en el DNI de la denunciante, C/ A.A.A. y teléfono E.E.E. (folios 311-312) OCTAVO: Consta en el expediente certificado expedido en fecha 14/10/2015 por CORPORACION LEGAL que acredita lo siguiente: - LEGAL PLUS encargó a CORPORACION LEGAL la gestión de cobro de la deuda de la denunciante con número de expediente 602289, así como el envío C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 de las cartas de requerimiento de pago, la primera de las cuales debía ser la que notificaba la cesión del derecho de crédito a favor de LEGAL PLUS. Firmada por cedente y cesionario. - CORPORACION LEGAL imprimió, ensobró y tramitó el envío de las cartas de requerimiento a la denunciante en la dirección proporcionada por LEGAL PLUS, esto es, C/ A.A.A.. - Sociedad Estatal Correos y Telégrafos, S.A. se personó en las oficinas de CORPORACION LEGAL y recogió todas las cartas a enviar en los citados días, remitiéndolas a sus destinatarios según albarán de entrega. - Las cartas enviadas a la denunciante fueron enviadas en fecha 14/05/2012, 28/05/2013 y 08/05/2014. - Las tres cartas enviadas fueron recibidas por la denunciante en la misma dirección no constando devueltas (folio 315) NOVENO: El procedimiento de envío de cartas de requerimiento de pago deudas adquiridas a DTS por LEGAL PLUS, así como su control de devolución cumple los requisitos exigidos por la AEPD conforme se acreditó las actas de inspección E/02603/2013/I-01, E/03391/2013-I-01, E/03677/2013/I-01, E/03771/2013/I-01, E/00269/2013/I-02, E/01231/2013/I-01, E/02618/2013/I-01, E/06222/2013/I-01 y E/06323/2013/I-01 y resoluciones de archivo de las referidas actuaciones dictadas por la AEPD DECIMO: Los datos de la denunciante fueron incluidos por JAZZTEL en el fichero badexcug en fecha 16/01/2011 por un importe de 421,21 €, siendo dados de baja en fecha 27/05/2014 tras la solicitud de cancelación de datos presentada por la denunciante en fecha 21/05/2014 (folios 14-15, 30-90) UNDECIMO: Los datos de la denunciante fueron incluidos por LEGAL PLUS en el fichero asnef en fecha 04/10/2012 por un importe de 300 €, siendo dados de baja en fecha 27/05/2014 tras la solicitud de cancelación de datos presentada por la denunciante en fecha 21/05/2014 (folios 71, 107, 111-113, 196-222) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Se imputa a JAZZTEL y a LEGAL PLUS el tratamiento sin consentimiento de los datos personales de la denunciante. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el articulo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular” III De conformidad con lo expuesto ut supra, la jurisprudencia y el propio artículo 6 de la LOPD, exige que el responsable del tratamiento de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada tanto por JAZZTEL como por LEGAL PLUS puede subsumirse o no en tales definiciones legales, es decir, si es responsable del fichero y/o tratamiento, y en caso afirmativo si está o no legitimada para el tratamiento de datos de la denunciante, y por ende verificar la prestación del consentimiento de ésta o la ausencia del mismo. IV Consta en los sistemas de información de JAZZTEL los datos personales de la denunciante asociados a servicios que presta aquella. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 Los sistemas de información de las denunciadas han de conjugarse con la definición de fichero, que de conformidad con el artículo 3.
4. b)como “todo conjunto organizado de datos de carácter personal, cualquiera que fuera la forma o modalidad de su creación, almacenamiento, organización y acceso. Se puede afirmar por tanto, que TME tiene en sus ficheros, los datos personales del denunciante. Todo esto sitúa a JAZZTEL como responsable del fichero y se evidencia un tratamiento de datos, de conformidad con las definiciones legales señaladas en el fundamento jurídico anterior. Por lo que de conformidad con el artículo 43 de la LOPD, JAZZTEL se sitúan bajo el régimen de responsabilidad de la ley orgánica de tanta cita. V En el presente caso la denunciante niega haber contratado con JAZZTEL ningún servicio. En este sentido JAZZTEL ha aportado copia de un contrato de fecha 02/07/2009 de ADSL hasta 20 megas + llamadas con mantenimiento de línea asociado a la línea D.D.D., contrato en el que constan los datos personales de la denunciante y en cuyo apartado de titular del servicio, figura una firma similar a la del DNI de la denunciante cuya copia también aporta la operadora. Por tanto JAZZTEL aporta prueba acreditativa de la relación contractual que evidencia la existencia de indicios de consentimiento en la contratación y que le eximiría del consentimiento del denunciante para el tratamiento de sus datos. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. Así, La Audiencia Nacional señala en su Sentencia de 19 de enero de 2005, “el debate debe centrarse en el principio de culpabilidad, y más en concreto, en el deber de diligencia exigible a (…) en el cumplimiento de las obligaciones de la LOPD, y no tanto en la existencia misma de la contratación fraudulenta sino el grado de diligencia desplegado por la recurrente en su obligada comprobación de la exactitud del dato”. De acuerdo a estos criterios, se puede entender que JAZZTEL empleó la diligencia exigible ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación por cuanto aporta copia del contrato firmado (firma similar a la del DNI de la denunciante), así como copia de su DNI, al margen de que con posterioridad anulara las facturas emitidas e impagadas por la posible existencia de un fraude por suplantación de la identidad del denunciante. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a JAZZTEL una vulneración de la normativa en materia de protección de datos, en concreto del principio del consentimiento establecido en el artículo 6 de la LOPD. Por lo que se refiere a LEGAL PLUS ha quedado acredita que en fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 28/03/2012 adquirió de DTS una serie de deudas entre la que se encontraba una de la denunciante por importe de 300 € con origen en el impago de una factura de fecha 10/11/2008 en concepto de indemnización por retención de equipo. En este punto recordar que el artículo 6.2 de la LOPD exime del requisito del consentimiento en caso de existencia de relación contractual entre las partes como era la existente entre DTS y la denunciante. Por otro lado el artículo 11 de la LOPD, establece como regla general el previo consentimiento del interesado para la comunicación de datos personales a un tercero. Así dispone en su apartado 1 lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” El artículo 3.
5. i)de la citada norma define la “cesión o comunicación de datos” como “toda revelación de datos realizada a una persona distinta del interesado”. Ahora bien, añade el artículo 11, en su apartado 2.
6. a)que el consentimiento para la cesión de datos no será preciso “cuando la cesión está autorizada en una ley”. El Código de Comercio habilita la cesión de datos sin consentimiento del afectado en los supuestos de cesión de créditos al disponer en su artículo 347 que “Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste”. Añade el artículo 348 del citado Código de Comercio que ”el cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión; pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare” En el presente caso, de la información y documentación incorporadas al expediente se desprende que se ha producido una cesión de crédito a favor de LEGAL PLUS, para lo cual no resulta necesario el consentimiento del afectado como se recoge en el aludido artículo 347 (y siguientes) del Código de Comercio. Dicha cesión fue comunicada a la denunciante, según se recoge en los hechos probados de la presente resolución. Así pues nos encontramos con que LEGAL PLUS trató los datos de la denunciante en atención a su condición de nuevo acreedor de ésta, datos que le fueron cedidos por DTS, entidad con la cual la denunciante mantuvo una relación contractual cuyo incumplimiento generó la deuda objeto de cesión. Para dicha cesión y en consecuencia posteriori tratamiento de datos por la entidad cesionaria (LEGAL PLUS) no era necesario el consentimiento de la denunciante, al existir habilitación legal (art. 347 del Código de Comercio), según lo establecido en el artículo 11.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 Conforme a lo anteriormente expuesto en hechos y fundamentos de derecho cabe concluir que no existe vulneración del artículo 6.1 de la LOPD por parte de LEGAL PLUS, por cuanto no precisaba del consentimiento de la misma para el tratamiento de sus datos (ex. Art. 6.2 y 11.2 de la LOPD y 347 y 348 del Código de comercio), por lo que se estima procede archivar la imputación de infracción del artículo 6.1 de la LOPD. VI Asimismo se imputa a JAZZTEL y a LEGAL PLUS la infracción del artículo 4 de la LOPD que señala en su apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado” y en su apartado 4 prescribe: “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan en todo momento a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. VII El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” VIII Consta acreditado en esta Agencia que las entidades asociadas a los ficheros “asnef” y “Badexcug” suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes a través de cinta magnética para que tales actualizaciones queden registradas en el fichero siendo las entidades informantes quienes deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales del denunciante son datos que figuran en sus propios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 ficheros automatizados. Adicionalmente son comunicados al responsable del fichero de solvencia a través de cintas magnéticas que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3. d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
7. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado c), delimita en qué consiste el tratamiento de datos incluyendo en tal concepto “las operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por el imputado puede subsumirse o no en tales definiciones legales. En el presente caso, JAZZTEL y LEGAL PLUS trataron automatizadamente (artículo 6.1) los datos relativos al denunciante en sus propios ficheros, de los que es responsable conforme al artículo 3.
8. c)citado. Adicionalmente decidieron sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación (artículo 4.3 en relación al 29.2) a ficheros comunes de solvencia patrimonial y crédito. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implica un tratamiento automatizado de datos como es su incorporación a una cinta magnética cuyo destino es, también, ser tratada automatizadamente por el responsable del fichero de solvencia, siendo dados de alta por JAZZTEL en el fichero “badexcug” en fecha 16/01/2011, y por LEGAL PLUS en el fichero “asnef” en fecha 04/10/2012. De lo expuesto se deduce que JAZZTEL y LEGAL PLUS han sido responsables del tratamiento de datos en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa al denunciante responda o no, a los principios de calidad de datos recogidos en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Conforme a lo expuesto, el imputado no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información, y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). En el presente caso la actuación de JAZZTEL ha de concluirse conforme a la LIOPD por cuanto se ha acreditado la existencia de consentimiento para el tratamiento de los datos de la denunciante para la prestación de un servicio cuyo impago generó la deuda cierta, vencida y exigible que motivó su inclusión en el fichero badexcug. En relación con la actuación de LEGAL PLUS debe tomarse en consideración lo dispuesto en el artículo 12 de la LOPD: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.” El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio, sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. De acuerdo con lo previsto en el citado precepto, y según se ha puesto en el expediente, CORPORACION LEGAL ha actuado en calidad de “encargada del tratamiento” por cuenta de LEGAL PLUS, realizando la tarea de notificación de la cesión de crédito y requerimiento de pago siguiendo el protocolo de actuación que se detalla: 1) LEGAL PLUS envió una copia del CD-ROM con los datos cedidos por DTS y se cargaron en el sistema de información de CORPORACIÓN LEGAL. 2) Antes de realizar la gestión de los expedientes de recobro, CORPORACIÓN LEGAL, por cuenta de LEGAL PLUS, envió una primera carta informado de la cesión de crédito y un requerimiento de pago. CORPORACIÓN LEGAL fue por tanto la encargada de generar los documentos, imprimirlos y ponerlos a disposición del Servicio de Correos. Cada una de estas cartas lleva un código de barras que permite realizar un seguimiento de la fecha en que fue impresa, ensobrada y puesta en Correos. 3) En caso de devolución, este código de barras permite dejar constancia en el sistema, y si se trata de la primera carta, se procede a la devolución de la deuda a DTS, y a la cancelación de los datos en el sistema. 4) Para localizar las cartas es necesario consultar el expediente de recobro en el sistema de información en el que figura la fecha en que fue generada. Seguidamente se consulta en un conjunto de carpetas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 organizadas por fechas en las que se conservan los documentos originales en formato Word y dentro de este documento buscar por el nombre que interese. 5) También se conservan los albaranes de entrega a Correos de las cartas generadas cada día. 6) Estas cartas se han enviado de forma escalonada entre marzo y octubre de 2012. 7) En los casos en que ha persistido el impago, los datos se han comunicado al fichero ASNEF, con una espera mínima de un mes después del envío del requerimiento de pago para garantizar que las devoluciones que se hubieran podido producir se hayan grabado en el sistema de información. 8) El procedimiento detallado en caso de producirse la devolución de la primera carta es el siguiente:  Se refleja la devolución en el sistema de información.  Pasa al departamento de back office que intentan contactar telefónicamente con el interesado para obtener su nueva dirección.  Si se obtiene la nueva dirección se reenvía el comunicado de la cesión de deuda así como el requerimiento de pago.  En caso que no se consiga contactar con el deudor, se informa a LEGAL PLUS y se cancelan los datos en el sistema de información.  Finalmente LEGAL PLUS cede nuevamente la deuda a DTS. 9) Los representantes de LEGAL PLUS aportan un Acta de manifestaciones y depósito en la que se establece el modelo de carta que se remitirá a los deudores y que LEGAL PLUS S.L. contrata a CORPORACIÓN LEGAL para que confeccione las notificaciones, realice los envíos y controle las devoluciones. 10) En este documento se establece que la segunda entidad registrará todas las cartas devueltas en su sistema informático mediante la lectura de su código de barras. 11) LEGAL PLUS se obliga a no incluir en ningún fichero de solvencia patrimonial a los deudores en que conste no notificada la cesión del derecho de crédito. Conforme al procedimiento descrito acreditado por esta AEPD en actas de inspoe3cción que se recogen en el hecho probado noveno, LEGAL PLUS aportó certificado expedido en fecha 14/10/2015 por CORPORACION LEGAL que acredita lo siguiente: - LEGAL PLUS encargó a corporación legal la gestión de cobro de la deuda de la denunciante con número de expediente 602289, así como el envío de las cartas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 de requerimiento de pago, la primera de las cuales debía ser la que notificaba la cesión del derecho de crédito a favor de LEGAL PLUS. Firmada por cedente y cesionario. - CORPORACION LEGAL imprimió, ensobró y tramitó el envío de las cartas de requerimiento a la denunciante en la dirección proporcionada por LEGAL PLUS, esto es, C/ A.A.A.. - Sociedad Estatal Correos y Telégrafos, S.A. se personó en las oficinas de CORPORACION LEGAL y recogió todas las cartas a enviar en los citados días, remitiéndolas a sus destinatarios según albarán de entrega. - Las cartas enviadas a la denunciante fueron enviadas en fecha 14/05/2012, 28/05/2013 y 08/05/2014. - Las tres cartas enviadas fueron recibidas por la denunciante en la misma dirección no constando devueltas (folio 315) En relación a la consideración de documentación suficiente a la hora de acreditar el requerimiento previo de pago, se hace obligado acudir a lo que dice la sentencia de la Audiencia Nacional de fecha 2 de junio de 2015 (rec. núm. 206/2014), en un supuesto muy similar al analizado: “Las actuaciones previas de inspección con el número E/(…) concluyeron con resolución del Director de la Agencia Española de Protección de Datos, de fecha 14 de abril de 2014, que acuerda proceder al archivo de actuaciones, con sustento en la aplicación del principio de presunción de inocencia, al considerar que no existía actividad probatoria de cargo de la comisión de la infracción denunciada y que existía deuda reconocida por la partes, fruto de una relación contractual entre las mismas, que legitimaba el tratamiento de datos del afectado sin su consentimiento, así como que había quedado acreditado el envío de una carta de requerimiento previo de pago por la entidad denunciada al domicilio del denunciante”. De manera concreta, la sentencia dice que: “Entre tales documentos destacan los siguientes: 1.- Copia del requerimiento de pago remitido por (…) a nombre del denunciante –deudor- y a su domicilio, fechado el 20 de junio de 2012, donde se informa de la existencia de una deuda pendiente, que se reclama, y de la posibilidad de inclusión en ficheros en caso de impago. 2.- Certificado emitido el 10 de julio de 2013 por Experian Bureau de Crédito, S.A., con quien tenía contratada la entidad bancaria la realización de los requerimientos de pago con carácter previo a la inclusión en ficheros, donde se establece que el requerimiento remitido por Banesto, antes indicado, fue enviado el 20 de junio de 2012 al domicilio del deudor, a través de Crea FBC Marketing, S.L. e Impre-Laser, S.L., usando los servicios Unipost. Este certificado manifiesta también que no existe constancia de que la carta de requerimiento de pago hubiera sido devuelta. 3.-Certificado emitido por Impre-Laser, S.L., acreditativo de la impresión de la carta de requerimiento de pago remitida al domicilio del denunciante. 4.- Certificado emitido por Crea FBC Marketing, S.L., acreditativo del envío a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 través de Unipost de la carta de requerimiento de pago al domicilio del denunciante. 5.- Certificado de Unipost acreditativo del envió el 20 de junio de 2012 de la carta de requerimiento de pago al domicilio del denunciante". Es decir, se cumplen una serie de requisitos, o fases de la trazabilidad del envío en cuestión, que se podrían resumir en: