PS-00447-2013

1/7 Procedimiento Nº PS/00447/2013 RESOLUCIÓN: R/00441/2014 En el procedimiento sancionador PS/00447/2013, instruido por la Agencia Española de Protección de Datos a la entidad TELEFONICA MOVILES ESPAÑA., vista la denuncia presentada por C.C.C. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 27 de diciembre de 2012 tiene entrada en esta Agencia un escrito de D. C.C.C. en el que declara que tiene contratada una línea de teléfono con Telefónica Móviles con permanencia hasta septiembre de 2012. En junio de 2011 le dan de alta dos nueva líneas sin su autorización. La cuenta bancaria que consta en los contratos recibidos correspondientes a las dos líneas no la reconoce como suya, no obstante en agosto recibe dos comunicados de Telefónica Móviles solicitando el pago de las facturas generadas. La línea contratada corresponde al número fraudulentas son la G.G.G. y D.D.D.. F.F.F. y las líneas supuestamente SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/01977/13. Concluyéndose la investigación con el informe siguiente de la Inspección de Datos: <<<<< Se solicitó información a Telefónica Móviles al objeto de conocer lo ocurrido con las líneas supuestamente dadas de alta de forma fraudulenta a nombre del denunciante y de la respuesta aportada por Telefónica Móviles se desprende lo siguiente: Manifiesta que sólo van a facilitar información sobre la línea que comienza con 620 aunque se solicitaba información asociada a las dos líneas y Telefónica Móviles reconoce que el denunciante figura como titular de las dos líneas por las que se solicita información y de otra más, el número E.E.E.. Telefónica únicamente responde al requerimiento de pago realizado al denunciante para que abone las facturas asociadas a la línea citada, sin embargo no aporta la información solicitada en relación a la supuesta contratación fraudulenta de dos líneas a nombre del denunciante.>>>>> TERCERO: Con fecha 4/9/13 por parte del Director se acordó iniciar Procedimiento Sancionador a TELEFONICA MOVILES ESPAÑA. por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.c de la citada Ley Orgánica. CUARTO: Con fecha 27/9/13 se remitió escrito de alegaciones por la entidad denunciada que se han tenido en cuenta en la resolución del expediente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 QUINTO: Con fecha 16/1/17 se apertura periodo de pruebas practicándose las siguientes: * Se dan por reproducidos a efectos probatorios la denuncia interpuesta por C.C.C. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante TELEFONICA MOVILES ESPAÑA., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01977/2013. * Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00447/2013 presentadas por TELEFONICA MOVILES ESPAÑA., y la documentación que a ellas acompaña. SEXTO: Con fecha 6/2/14 se emitió propuesta de resolución en el sentido que por el Director de la Agencia Española de Protección de Datos se declare el archivo del presente procedimiento sancionador por la infracción del artículo 6 de la LOPD, SEPTIMO: Por el representante de la entidad denunciada se han remitido, con fecha de entrada en esta Agencia 10/02/14, reafirmándose en las alegaciones ya manifestadas a lo largo del procedimiento y mostrando su conformidad con la propuesta de archivo. HECHOS PROBADOS 1º Consta denuncia presentada por D. C.C.C. en el que declara que tiene contratada una línea de teléfono con Telefónica Móviles con permanencia hasta septiembre de 2012. En junio de 2011 le dan de alta dos nueva líneas sin su autorización. La cuenta bancaria que consta en los contratos recibidos correspondientes a las dos líneas no la reconoce como suya, no obstante en agosto recibe dos comunicados de Telefónica Móviles solicitando el pago de las facturas generadas. La línea contratada corresponde al número fraudulentas son la G.G.G. y D.D.D.. F.F.F. y las líneas supuestamente 2º Consta, según la información obrante en los ficheros de TME, que sólo hay constancia de una reclamación en relación a la línea G.G.G. sobre la cual se procedió a la anulación de las facturas 3º Consta que la línea G.G.G. figura de alta en fecha 13/06/11 y baja 31/08/11, estando asociada a D. C.C.C., DNI H.H.H. 4º Constan tres facturas emitidas con fechas 8/7/11, 3/8/11 y 8/9/11 que fueron devueltas y que una vez anulada la deuda se paralizaron las acciones de cobro. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/01977/2013, se determinó que, salvo prueba en contrario, TME no ha acreditado la existencia de consentimiento del denunciante para el tratamiento de sus datos personales, reclamándole una deuda relativa a un servicio de telefonía que declara no haber contratado, TME manifiesta que sólo tiene constancia de una reclamación en relación a la línea G.G.G. sobre la cual se procedió a la anulación de las facturas; tampoco tienen constancia de de que se haya procedido a la inclusión de los datos del denunciante en los ficheros de solvencia profesional. Se alega que habida cuenta de que TME no ha comunicado los datos del denunciante a un fichero de morosidad existe una falta de tipicidad por calificación incorrecta de la infracción cometida. También considera que no ha existido culpabilidad, actuando en todo momento de buena fe. III Debe analizarse en primer lugar la alegación presentada en relación a la falta de tipicidad, considerando que no se ha producido infracción del principio de calidad de datos, contemplado en el art 4 de la LOPD, ya que en ningún momento los datos del denunciante fueron notificados a un fichero de morosidad. Sin embargo la Administración puede cambiar la calificación de los hechos en unos momentos tasados del procedimiento y con una serie de garantías al denunciado. Entre dichos momento está la Propuesta de Resolución. El art. 135 de la LRJPAC establece que “Los procedimientos sancionadores garantizarán al presunto responsable los siguientes derechos: A ser notificado de los hechos que se le imputen, de las infracciones que tales hechos puedan constituir y de las sanciones que, en su caso, se les pudiera imponer” Por su parte el artículo 13 del Reglamento que regula el Procedimiento para el Ejercicio de la Potestad Sancionadora exige que en la iniciación del procedimiento sancionador se haga constar la posible calificación. En el artículo 16.3 del mismo Reglamento se establece que si: “como consecuencia de la instrucción del procedimiento sancionador resultase modificada la determinación inicial de los hechos, de su posible calificación… se notificará todo ello al inculpado en la propuesta de resolución” En consecuencia procede aceptar la alegación presentada por TME y en base a los hechos acreditados deducidos que existió un error en su posible calificación en el Acuerdo de Inicio. Sin embargo, dado que no se ha acreditado la contratación de las líneas G.G.G. y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 D.D.D., por parte del denunciante, puede deducirse que podría existir una infracción del art 6 de la LOPD que exige el consentimiento del interesado para el tratamiento de sus datos personales. IV Procede por tanto valorar si ha existido vulneración del art 6 por parte de TME. En el escrito de denuncia se aporta dos copias de los contratos, de fechas 13/06/11, que TME remitió a su domicilio relativos a las líneas G.G.G. y D.D.D.. En los ficheros de la entidad sólo existe constancia de la línea G.G.G. que ha estado asociada a D. C.C.C., DNI H.H.H. El art. 6 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 personales y a saber de los mismos. Ya que no se aporta ninguna documentación que certifique que el denunciante contrató la línea que no reconoce como suya, debe deducirse que existe pues un falta de diligencia de TME ya que dio de alta una línea, a través de un distribuidor autorizado, sin controlar ni realizar un mínimo trabajo de supervisión que permita detectar si la persona ha manifestado real e inequívocamente su voluntad de contratar y por ende de que sus datos personales sean tratados. Siendo necesario, en definitiva, que, una vez identificada la persona sin lugar a dudas –y documentada la identificación-, y tras la información pertinente, verificar si ha prestado su consentimiento al contrato del servicio ofertado y, en consecuencia, al tratamiento de sus datos personales. Es necesario analizar si dan los elementos de culpabilidad necesarios para imputar una presunta infracción del artículo 6 por parte de la entidad denunciada. A este respecto, la Sentencia de la Audiencia Nacional dictada el 21/09/2005, Recurso 937/2003, que establece, “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
2. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Asimismo, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. Por tanto, es a TME a quien le corresponde adoptar las medidas adecuadas para la perfecta identificación de los clientes, sin que pueda constituir elemento alguno de atenuación de la responsabilidad, sino el cumplimiento de una obligación ordinaria exigible a las empresas, que como la denunciada, trabajan con grandes volúmenes de datos personales y, sin que pueda considerarse la adopción de estas medidas base para la apreciar disminución de la culpabilidad. En definitiva, se ha producido por parte de TME un tratamiento de los datos del denunciante, reclamándole una cantidad del consumo de unas líneas de telefonía que manifiesta no haber contratado, y sin haberse acreditado por parte de la entidad denunciada la contratación de las mismas. Por tanto se ha producido un tratamiento de los datos personales del denunciante sin tener habilitación ya que no contaba con su consentimiento. Por tanto, la entidad no actuó con la diligencia debida al no comprobar la identidad de la persona que contrataba con ella y la exactitud de los datos recabados Concluyéndose que al no acreditarse el consentimiento del denunciante para la contratación de la línea G.G.G. por lo procede imputarse responsabilidad a la entidad denunciada por infracción del art 6 de la LOPD V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 El artículo 47 de la LOPD establece que: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. Dicho artículo reproduce lo establecido en el artículo 132.2 de la Ley 30/92. Debiendo tenerse en cuenta que en algunos supuestos el inicio del cómputo se retrasa hasta el momento en que la infracción deje de cometerse en el caso de las llamadas infracciones permanentes, definidas así por las STS de 7 de abril de 1989 y 23 de enero de 1990-, que se caracterizan porque la conducta constitutiva de un único ilícito se mantiene durante un espacio prolongado de tiempo; lo que implica que el plazo de prescripción no se inicia "al no haber cesado la situación de infracción perseguida" -STS de 18 de febrero de 1985-. Pues bien en este caso la línea G.G.G. ffiguró asociada a los datos personales del denunciante en el periodo 13/06/11 al 31/08/11. Por consiguiente es a partir de esta última fecha el momento en que debe comenzar a computarse el plazo de prescripción pues es desde ella cuando la presunta conducta constitutiva del ilícito administrativo dejó de producirse. Sin que se hayan existido tratamientos posteriores. En el caso que nos ocupa al haberse iniciado el presente procedimiento sancionador (que interrumpe dicho plazo) con fecha 04/09/13 debe inferirse la prescripción de la presunta infracción del art. 6. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a TELEFÓNICA DE ESPAÑA, S.A.U.., y a D. C.C.C. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en el artículo 116 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es