PS-00384-2016

1/7 Procedimiento Nº PS/00384/2016 RESOLUCIÓN: R/00068/2017 En el procedimiento sancionador PS/00384/2016, instruido por la Agencia Española de Protección de Datos a la entidad POPULAR SERVICIOS FINANCIEROS EFC SA, vista la denuncia presentada por C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 31/8/15 tiene entrada en esta Agencia un escrito de C.C.C., en adelante la denunciante, en el que manifiesta lo siguiente: 1. Durante el último mes ha estado recibiendo una serie de cartas y llamadas telefónicas a su teléfono móvil personal por parte de ORIOLA ABOGADOS ASOCIADOS SL, en adelante ORIOLA. 2. Aporta copia del último escrito fechado el 7 de agosto de 2015 en el que ORIOLA le informa nombre de su cliente, PASTOR SERVICIOS FINANCIEROS EFC SAU (actualmente denominado POPULAR SERVICIOS FINANCIEROS, E.F.C. SA), de que al no haber llegado a una solución amistosa en relación a una deuda, su expediente se remitirá a los tribunales salvo que contacte en 24 horas con ellos y pague. 3. No mantiene ni ha mantenido relación alguna con PASTOR SERVICIOS FINANCIEROS EFC SAU por lo que no ha facilitado a dicha entidad o a ORIOLA sus datos. 4. Le reclaman una deuda del año 1996 que es falsa, motivo por el cual no pueden justificarla. 5. Entiende que el tratamiento de sus datos requiere de su consentimiento SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/06660/2015. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 18/7/16 TERCERO: Con fecha 24/8/16 por la Directora de la Agencia Española de Protección de Datos se acordó el inicio de procedimiento sancionador a POPULAR SERVICIOS FINANCIEROS por la presunta infracción del art. 6.1 de la LOPD. CUARTO: Con fecha 30/9/16 se reciben alegaciones de ante el Acuerdo de Inicio, manifestando en síntesis lo siguiente: 1º Que si existe legitimidad en el tratamiento de los datos de la denunciante y que deriva del pago aplazado de electrodomésticos adquiridos por la denunciante En D.D.D. en julio de 1995 que fue financiada a través de POPULAR SERVICIOS FINANCIEROS, tal como expresamente se informa en la condición primera de dicho contrato. 2º Que en lo relativo a la acreditación de la identidad de la firmante se acompaña copia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 de la documentación que fue aportada en su día por la Sra. C.C.C. en el momento de la suscripción del contrato (cartilla de Banco de Alicante, que corresponde con la numeración de la cuenta facilitada por esta en el contrato de tarjeta para domiciliar los recibos); y copia del DNI en el consta en que el domicilio coincide con el recogido por la denunciante en el contrato de la tarjeta. 3º Que la denunciante continuó realizando pagos durante diez meses, hasta el primer pago en junio de 1996. Ni ejerció sus derechos de acceso, rectificación, oposición o cancelación hasta el momento de la reclamación de 2015. HECHOS PROBADOS 1º Que los datos de la denunciante constan en el fichero de clientes de la entidad vinculado a una tarjeta de compra con un crédito de 1.202,02 euros con fecha de contratación de 19 de julio de 1995. 2º Consta copia de un contrato firmado, sin fecha, en el que la denunciante consta como titular de una tarjeta de compra de “ D.D.D.”. En el contrato figura que la tarjeta de crédito está gestionada por PASTOR SERVICIOS FINANCIEROS EFC SAU (actualmente denominado POPULAR SERVICIOS FINANCIEROS, E.F.C. SA). El importe financiado a través de la tarjeta es de 200.000 pesetas. La entidad no aporta documentación acreditativa de la identidad del firmante del contrato en el momento de su suscripción, si bien aparece firmado. 3º En relación a los vencimientos emitidos en relación a dicha financiación consta que se abonaron los correspondientes al periodo 01/08/95 a 01/05/96 en la cuenta E.E.E. que es la misma que aparece en el contrato de solicitud de tarjeta de compra. 4º Consta contrato firmado por PASTOR SERVICIOS FINANCIEROS la sociedad ORIOLA ABOGADOS SL, el día 8 de junio de 2011 cuyo objeto es “la gestión de sobro extrajudicial de los saldos deudores de los clientes morosos” de POPULAR. El contrato contiene en su estipulación decimoprimera las condiciones en las que ORIOLA tratará los datos, en calidad de encargado del tratamiento de POPULAR, conforme a lo previsto en el artículo 12 de la LOPD. 5º Consta copia de un total de 8 requerimientos de pago remitidos por ORIOLA en su nombre entre el 27 de septiembre de 2012 y el 7 de agosto de 2015. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Finalizado el periodo de actuaciones previas de inspección con la elaboración del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 informe E/06660/2015, se determinó que, salvo prueba en contrario, no había quedado acreditado con suficiente constancia que fuera la denunciante quien diera su consentimiento, para el tratamiento de sus datos personales, que en concreto manifiesta que no ha mantenido relación comercial ninguna con la entidad denunciada. III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
2. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
3. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV Se imputa a POPULAR SERVICIOS FINANCIEROS, en el presente procedimiento sancionador, una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En este caso, se ha aportado copia de un contrato firmado, sin fecha, de una solicitud de tarjeta de compra, gestionada por PASTOR SERVICIOS FINANCEROS, en “ D.D.D.” por importe de 200.000 pesetas, figurando los datos de la denunciante, un número de cuenta corriente, apareciendo dicho contrato firmado pero si aportar otro documento, como puede ser la copia del DNI que acredite fehacientemente la identidad del cliente. Sin embargo consta, en relación a los vencimientos emitidos, se abonaron los correspondientes al periodo 01/08/95 a 01/05/96 en la cuenta E.E.E. que es la misma que aparece en el contrato de solicitud de tarjeta de compra. Quedando impagados el resto que fueron reclamados a través de la sociedad ORIOLA ABOGADOS SL, Debe tenerse en cuenta que el artículo 3.
4. h)de la Ley Orgánica 15/1999 define que el consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.”, de lo cual se desprende la necesaria concurrencia para que el consentimiento pueda ser considerado conforme a derecho de los cuatro requisitos enumerados en dicho precepto. En definitiva el consentimiento debe ser:
5. a)Libre, lo que supone que el mismo deberá haber sido obtenido sin la intervención de vicio alguno del consentimiento en los términos regulados por el Código Civil.
6. b)Específico, es decir referido a una determinada operación de tratamiento y para una finalidad determinada, explícita y legítima del responsable del tratamiento, tal y como impone el artículo 4.2 de la Ley Orgánica 15/1999.
7. c)Informado, es decir que el afectado conozca con anterioridad al tratamiento la existencia del mismo y las finalidades para las que el mismo se produce. Precisamente por ello el artículo 5.1 de la Ley Orgánica impone el deber de informar a los interesados de una serie de extremos que en el mismo se contienen.
8. d)Inequívoco, lo que implica que no resulta admisible deducir el consentimiento de los meros actos realizados por el afectado (consentimiento presunto), siendo preciso que exista expresamente una acción u omisión que implique la existencia del consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 De las características del consentimiento no se infiere necesariamente su carácter expreso en todo caso, razón por la cual en aquellos supuestos en que el legislador ha pretendido que el consentimiento deba revestir ese carácter, lo ha indicado expresamente; como sucede con los datos especialmente protegidos regulados en el art 7 de la LOPD. En el resto de las circunstancias el consentimiento puede ser tácito, ahora bien para que este consentimiento pueda considerarse inequívoco deben existir unas serie de indicios de los que puede deducirse con suficiente base que el interesado ha prestado su consentimiento para el tratamiento der sus datos. Indicios que pueden expresarse tanto en acciones como en omisiones. En el caso que nos ocupa si bien el contrato de solicitud de tarjeta de compra aparece sin fecha, y no se aportó copia del DNI del cliente, El hecho que durante 1 año se cargara en la cuenta corriente, suministrada en dicho contrato, los importes derivados de los sucesivos vencimientos del crédito concedido, sin haberse opuesto a los mismos hasta el año 2015, implica la existencia de una legitimación del tratamiento en base a la existencia de un consentimiento tácito por parte del denunciante que no se opuso, dentro de un plazo razonable de tiempo a tal tratamiento. El abono de una serie de facturas como indicio suficiente de un consentimiento tácito del denunciante en el tratamiento de sus datos ha sido confirmado en la Audiencia Nacional en diversas sentencias que han estimado esa circunstancia como causa que exonera la presunta culpabilidad de la entidad denunciada. (Entre ellas, SAN de 16/04/09, de 04/06/09, 12/11/09, 03/03/11 y 12/01/12). Además hay que tener en cuenta que en las alegaciones al Acuerdo de Inicio se aportó por la entidad copia de una cartilla del Banco de Alicante, de fecha 28/10/94 en la que la denunciante interviene como titular, coincidiendo su numeración con la facilitada en el contrato de la tarjeta para domiciliar recibos. Y una copia del DNI de la denunciante. V No puede obviarse que al Derecho Administrativo Sancionador le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad de los principios de presunción de inocencia. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común en lo sucesivo LRJPAC), establece que “Sólo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia.” Conforme señala el Tribunal Supremo (STS 26/10/98) el derecho a la presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” El Tribunal Constitucional, en su Sentencia 24/1997, tiene establecido que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
9. a)La prueba indiciaria ha de partir de hechos plenamente probados.
10. b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. En el presente caso, de los hechos probados en el presente procedimiento existen indicios suficiente de un consentimiento tácito del denunciante en el tratamiento de sus datos personales por parte de POPULAR SERVICIOS FINANCIEROS EFC y en consecuencia, no se advierte incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el catálogo de infracciones previstas y sancionadas en el Título VII de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Vistos los preceptos citados y demás de general aplicación, Por el Director de la Agencia Española de Protección de Datos Se ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución a POPULAR SERVICIOS FINANCIEROS y a Dª B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es