1/6 Procedimiento Nº: PS/00357/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 5 de octubre de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GUIA TELEFONICA PUBLICIDAD, S.L. con NIF B93399004 (en adelante, el reclamado). Los motivos en que basa la reclamación son que han adeudado en su cuenta bancaria servicios de publicidad online que no ha autorizado el 2 de julio de 2018, por un importe de 290,40 euros. Que este cargo proviene de supuestos servicios de Páginas Amarillas que el reclamante no ha contratado La documentación aportada por el reclamante consiste en el extracto de la cuenta emitido por la entidad bancaria, donde se refleja la citada operación y la denuncia presentada ante la Dirección General de Policía, dependencia MadridTetuán, del día 5 de octubre de 2018, por los presentes hechos. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. Asimismo, se constatan los siguientes extremos: Con fecha 30 de octubre de 2018, se dio traslado de la reclamación al reclamado, en las actuaciones con referencia E/8077/2018. Posteriormente, el 29 de marzo de 2019, el reclamado manifiesta lo siguiente: 1. Que los datos de contacto que obran en poder del reclamado fueron obtenidos a través de Internet, tratándose por lo tanto de datos públicos y al alcance de cualquier interesado para lo que no es necesario el consentimiento expreso del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 2. En cuanto a los datos bancarios, los mismos fueron aportados voluntariamente por el reclamante, tal y como queda reflejado en la grabación que, según manifiesta, enviarán a la Agencia. 3. Aportan la respuesta enviada al reclamante, con fecha 4 de diciembre de 2018, en el que le informan que sus datos de contacto y los de la entidad a la que representa han sido obtenidos a través de internet, respecto al resto de los datos (bancarios etc.…), los ha facilitado él mismo, a través de conversación telefónica mantenida y que fue grabada por la empresa, en la que acepta la contratación de los servicios que le ofrecen. 4. No han aportado a esta Agencia, la grabación que acredite el servicio contratado por el reclamante. TERCERO: Con fecha 23 de octubre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos en el artículo 58.2 del RGPD y en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por la infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5.
- a)del RGPD. CUARTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 14 de noviembre de este año, formuló, en síntesis, las siguientes alegaciones: “Los datos personales de contacto del denunciante, fueron obtenidos a través de internet, en concreto, a través de anuncios que el propio denunciante tenía contratados en otra página web, cuyo contenido es similar al de nuestra entidad, anuncios que a día de hoy no se encuentran en internet, según el buscador de Google, porque han sido eliminados de acuerdo a la normativa aplicable en materia de protección de datos personales. Dichos datos, limitados al nombre, profesión y teléfono de D. A.A.A., son datos profesionales, y debieran ser tenidos como datos de empresa, y, por tanto, datos no protegidos o amparados por la normativa vigente en materia de protección de datos. Que el uso que se le ha dado a dichos datos de contacto se ha limitado a la puesta en contacto con el mismo para ofrecerle nuestros servicios de publicidad, servicios que en ese momento tenía contratados con nuestro competidor directo. El tratamiento debe ser, por tanto, tenido como lícito, por cuanto ni tan siquiera son datos protegidos o amparados por la actual normativa de protección de datos personales y, en cualquier caso, su tratamiento se hizo de forma lícita habida cuenta del interés legítimo de esta entidad para ofrecer sus servicios a potenciales clientes, condición contenida en el art. 6.1. apartado
- f)del RGPD. Mención aparte merecen los datos bancarios D. A.A.A., los cuales fueron aportados por él a esta entidad. Prueba de ello es la grabación de la llamada mantenida por el departamento comercial de esta entidad y el propio D. A.A.A., en la que se confirma la conformidad del cliente para con el contrato ofrecido y confirma los datos bancarios antes proporcionados, y lo fue para el fin específico de contratar los servicios de esta entidad y efectuar el pago requerido a tal fin. Por tanto, los datos bancarios fueron obtenidos por el consentimiento expreso de D. A.A.A., de conformidad con el art. 5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 En esta ocasión y de forma paralela al envío de este escrito, a través del registro telemático, y se hará el envío, por correo certificado, con un CD en el que contiene la grabación”. QUINTO: Con fecha 29 de noviembre de 2019, se notificó a la reclamada la apertura del período de pruebas, teniéndose por incorporadas las actuaciones previas de investigación E/01437/2019, así como los documentos aportados por la entidad reclamada. HECHOS PROBADOS 1º El 5 de octubre de 2018, el reclamante manifiesta que han adeudado en su cuenta bancaria servicios de publicidad online que no ha autorizado el 2 de julio de 2018, por un importe de 290,40 euros. Que este cargo proviene de supuestos servicios de Páginas Amarillas que el reclamante no ha contratado La documentación aportada por el reclamante consiste en el extracto de la cuenta emitido por la entidad bancaria, donde se refleja la citada operación y la denuncia presentada ante la Dirección General de Policía, dependencia MadridTetuán, del día 5 de octubre de 2018, por los presentes hechos. 2º El 14 de noviembre de 2019, la reclamada manifiesta que los datos bancarios fueron aportados por el reclamante. Prueba de ello es la grabación de la llamada mantenida por el departamento comercial de esta entidad y el reclamante, en la que confirma la conformidad del cliente para con el contrato ofrecido y confirma los datos bancarios proporcionados, y lo fue para el fin específico de contratar los servicios de esta entidad y efectuar el pago requerido a tal fin. 3º En la grabación en la que se otorgó el consentimiento se verifica que el gestor indica la fecha y pregunta por el nombre y apellidos del contratante, así como el pago del servicio que será mediante un recibo único de 240 euros más IVA en la cuenta facilitada, a lo que el interlocutor responde con los datos del reclamante, y confirma los datos de la cuenta bancaria. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 La Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) establece en su artículo 89.1 que se “resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre alguna de las circunstancias siguientes: a La inexistencia de los hechos que pudieran constituir la infracción”. III Se imputa al reclamado la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
- b)El tratamiento de datos personales sin que concurra alguna de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV En el supuesto que nos ocupa, el tratamiento de datos realizado por la entidad reclamada fue llevado a cabo empleando una diligencia razonable. En este sentido, ha de tenerse en cuenta que en los sistemas de la reclamada constan los datos relativos al reclamante. Asimismo, el reclamado aporta copia de la grabación telefónica a través de la cual se otorgaba el consentimiento, en nombre del reclamante, para la contratación de los servicios. Esta grabación fue realizada con fecha 21 de junio de 2018, en donde se facilita la siguiente información: nombre de la entidad reclamada, así como nombre y apellidos del reclamante, precio del servicio, duración, plazo de revocación y cuenta bancaria del reclamante e informa de diversos aspectos de la contratación. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de veintinueve de abril de 2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación” o como se recoge en la sentencia de la Audiencia Nacional de diez de marzo de 2015 al señalar que: “por tanto, ningún reproche cabe hacer a la actuación de Telefónica Móviles España S.A. en este ámbito sancionador, pues como ya se ha expuesto actuó con la diligencia exigible, tratando los datos del denunciante a partir de la apariencia de legitimidad de la contratación de la línea en cuestión que le otorgaba la grabación telefónica (…) En definitiva, no cabe apreciar culpabilidad en la actuación de la entidad recurrente, por lo que no puede imputársele o ser sancionada ex artículo 130 LRJPAC por vulneración del principio de consentimiento ni tampoco, y en correlación, del principio de calidad de datos pues el requerimiento previo de pago se realizó en el domicilio que según la citada grabación telefónica correspondía al titular de la línea” De acuerdo a estos criterios, se puede entender que la reclamada empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 PRIMERO: ARCHIVAR el procedimiento sancionador PS/00357/2019, instruido a GUIA TELEFONICA PUBLICIDAD, S.L., con NIF B93399004, por haber acreditado que empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación. SEGUNDO: NOTIFICAR la presente resolución a GUIA TELEFONICA PUBLICIDAD, S.L., TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es