1/6 Procedimiento Nº PS/00311/2014 RESOLUCIÓN: R/02305/2014 Mediante Acuerdo de fecha 29/5/14 se inició procedimiento sancionador nº PS/00311/2014 instruido por la Agencia Española de Protección de Datos a TELEFÓNICA MÓVILES ESPAÑA, SAU por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha de 4/6/13 tiene entrada en esta Agencia un escrito de D B.B.B. en el que declara lo siguiente: * Que al solicitar unos servicios bancarios estos le fueron denegados ya que figura en el fichero de morosos BADEXCUG. * Al solicitar información al fichero le facilitaron unos datos de deuda asociados a su DNI y nombre pero con el resto de datos relativos a otra persona. La información es relativa a una deuda informada al fichero por TELEFONICA MOVILES. * En base a lo anterior ha formado la correspondiente denuncia por suplantación de su identidad Se aporta distinta documentación en relación a los hechos denunciados. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/03761/2013. Por los Servicios de Inspección de esta Agencia se recaba información a EXPERIAN y A.A.A.., y concluye la investigación con el informe de la Inspección de Datos de fecha 27/5/14 TERCERO: El Director de la Agencia Española de Protección de Datos acordó iniciar, con fecha 27/05/14, procedimiento sancionador por la presunta infracción de los artículos 6 y 4 de la LOPD. CUARTO: Con fecha 10/06/14 se han presentado escrito de alegaciones, al Acuerdo de Inicio que se han valorado en la resolución de este expediente QUINTO: Se aperturó periodo de prácticas de pruebas incorporando a efectos probatorios el informe y la documentación obtenida en el periodo de actuaciones previas de investigación. Así mismo se incorporó las alegaciones y documentación presentada por TME en sus alegaciones al Acuerdo de Inicio SEXTO: En el presente procedimiento se han acreditado los siguientes hechos: 1º Consta denuncia presentada por Dª B.B.B. en el que declara lo siguiente: * Que al solicitar unos servicios bancarios estos le fueron denegados ya que figura en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 fichero de morosos BADEXCUG. * Al solicitar información al fichero le facilitaron unos datos de deuda asociados a su DNI y nombre pero con el resto de datos relativos a otra persona. La información es relativa a una deuda informada al fichero por TELEFONICA MOVILES. * En base a lo anterior ha realizado la correspondiente denuncia por suplantación de su identidad 2º Constan los siguientes documentos aportados junto al escrito de denuncia: * Denuncia de fecha 24/5/2013 interpuesta en la comisaría de la policía nacional. * Copia del DNI. * Información de la deuda comunicada al fichero BADEXCUG a fecha 13/5/2013. 3º Consta en el fichero Badexcug la siguiente información en relación a la denunciante: * A fecha de 18/7/2013 no consta en el fichero BADEXCUG ninguna deuda asociada al NIF E.E.E. y relativa a Dª B.B.B.. * En el histórico de consultas si aparece una deuda por importe de 616,96 € comunicada por la entidad TELEFONICA MÓVILES que fue dada de alta en fecha de 8/2/2012 y de baja en fecha 17/7/2013. * Consta una solicitud de acceso de la afectada realizada en fecha de 13/5/2013. * Consta una solicitud de cancelación de la afectada realizada en fecha de 12/7/2013. Dicha solicitud fue denegada por TELEFONICA MÓVILES. 4º Constan en los ficheros de TELEFONICA MÓVILES ESPAÑA, SAU la siguiente información en relación a la denunciante: * Que consta en sus sistemas informáticos la contratación a nombre de Dª B.B.B. con NIF E.E.E. de dos líneas de telefonía móvil para los número C.C.C. y C.C.C. siendo dadas de alta en fecha de 30/9/2011 y de baja 17/11/2011, no constando, a la fecha del escrito, deuda alguna asociada a ninguna de las dos líneas. * Ambas líneas fueron dadas de baja por fraude en la contratación. * La citada línea fue contratada telefónicamente en el marco de un proceso de portabilidad desde VODAFONE para la línea C.C.C. y YOIGO para la línea C.C.C. quienes confirmaron el origen respectivamente, siendo la empresa independiente ARGONAUTA la encargada de ambas verificaciones. * Se ha aportado CD con la copia de la grabación de las dos líneas a nombre de Inés B.B.B. con DNI D.D.D. si bien en las mismas consta otro domicilio. 5º Consta comunicación de la TME a la Junta Arbitral de consumo, en fecha 1/8/13 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 manifestando que las líneas fueron dadas de baja con fecha 17/11/11 anulándose las facturas pendientes. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/03761/2013 se determinó que, salvo prueba en contrario, TME no ha acreditado la existencia de consentimiento del denunciante para el tratamiento de sus datos personales, facturándole por el uso dos líneas de móvil cuya contratación no se ha acreditado. Con la consecuencia que los datos del denunciante que fueron informados a un fichero de morosidad, no fueran exactos y respondieran con veracidad a su situación. Dicha contratación fue calificada posteriormente como fraudulenta por la entidad En el escrito de alegaciones al Acuerdo de Inicio por parte de la entidad denunciada se realizaron las siguientes alegaciones, en síntesis: - Se ha constatado por las grabaciones realizadas que se han aportado que probablemente los datos personales de la denunciante fueron facilitados por un tercero de mala fe y ello, presumiblemente para obtener terminales - Que TME puso los medios necesarios para garantizar las grabaciones entendiendo por tanto que la contratación de las líneas goza de la veracidad suficiente y una apariencia total de legitimidad. Se aportas copia en CD de las grabaciones de las líneas C.C.C. y C.C.C.. - Se consta que probablemente los datos personales de la ahora denunciante fueron facilitados por un tercero de mala fe y ello, presumiblemente, para la obtención de terminales. - No obstante TME puso los medios necesarios para realizar las grabaciones entendiendo que la contratación de las líneas goza de veracidad suficiente y una apariencia total de legitimidad. No vulnerándose el principio de consentimiento. III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos de la denunciante en sus propios ficheros, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV Se valora en el presente procedimiento si por parte de TELEFONICA MOVILES (TME) ha existido una vulneración de los artículos. 6.1 y 4.3 de la LOPD derivado del hecho que se asoció los datos de la denunciante como titular de dos líneas de telefonía ( C.C.C.) que no había contratado y la inclusión posterior de sus datos en los ficheros de morosidad por una deuda que no la correspondía. Debe tenerse en cuanta que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negociad entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. TELEFONICA no ha acreditado en el procedimiento que cuente con el consentimiento inequívoco de la denunciante para el tratamiento de sus datos, materializado en la asociación de las líneas C.C.C. y C.C.C. a la misma, figurando en los ficheros de TME como titular de ambas aunque no fue contratada por ella. La entidad denunciada manifiesta que probablemente los datos personales de la denunciante fueron facilitados por un tercero de mala fe y ello, presumiblemente, para la obtención de terminales. Se emitieron facturas por el tráfico de dichas líneas que al resultar impagadas determinaron la incorporación de los datos personales de la denunciante en los ficheros de morosidad. Ante la reclamación formal de la denunciante ante la Junta Arbitral las facturas fueron anuladas procediéndose a la exclusión de sus datos de dichos ficheros. Ahora bien en el caso que nos ocupa aunque por parte de la entidad denunciada no se ha acreditado la realización de la contratación de las líneas por la denunciante, se manifiesta que el alta de las líneas proceden de una portabilidad que fue confirmada por los operadores donantes, aportándose copia de la grabación telefónica de la portabilidad de ambas líneas. En el transcurso de la misma la contratante dice ser la persona denunciante, confirmando su DNI aunque dando otro domicilio, y por lo tanto, deben aceptarse las alegaciones de la entidad denunciada relativa a que los datos facilitados por el contratante tienen toda la apariencia de presunción de veracidad por lo que no puede imputarse elemento de culpabilidad a la entidad denunciada. Debe tenerse en cuenta que la culpabilidad es siempre un juicio complejo y a tenor de la STS de 27/5/99 debe tenerse en cuenta que: “Para la imposición de una sanción y las consecuencias derivadas de un ilícito administrativo, no basta con que la infracción esté C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 tipificada y sancionada… sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo” Cabe añadir que la entidad denunciada actuó de manera diligente en la adopción de las medidas necesarias para la comprobación de la identidad de la denunciante. En este sentido cabe hacer mención a la Sentencia de la Audiencia Nacional 29/04/2010, Rec. 700/2009, que indica lo siguiente: “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” En este caso el elemento subjetivo de culpabilidad se ha eliminado al haberse aportado grabación de la migración de prepago a contrato, teniendo una apariencia de veracidad que elimina dicho elemento subjetivo. Vistos los preceptos citados y demás de general aplicación, Por el Director de la Agencia Española de Protección de Datos Se ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución a Telefónica Móviles España S.A. y a Dª B.B.B. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es