PS-00465-2015

1/5 Procedimiento Nº PS/00465/2015 RESOLUCIÓN: R/00119/2016 Mediante Acuerdo de fecha 8/9/15 se inició procedimiento sancionador nº PS/00465/2015 instruido por la Agencia Española de Protección de Datos a TELEFÓNICA DE ESPAÑA, S.A.U. . por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 10/6/14 tiene entrada en esta Agencia escrito de la Asociación FACUA en representación de A.A.A., en el que denuncia, entre otros, que la entidad TELEFONICA DE ESPAÑA, ha procedido al cargo de recibos en su cuenta correspondientes a una línea de teléfono que no ha sido contratada por él. Adjunta carta de Telefónica de fecha 17/9/13, donde le informan que proceden a la devolución de la deuda reclamada correspondientes a facturas emitidas, por un importe de 1.300,85€. Con fecha 27/2/14, se RESUELVE por parte del Director de la Agencia, Archivar las actuaciones, en base a Presunción de inocencia. Con posterioridad y tras haber sido presentado por parte de FACUA Recurso de Reposición, se inician las presentes Actuaciones previas de Inspección SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/02613/2015. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 13/8/15 en el que se manifiesta que <<<<< Con fecha 5 de junio de 2015, se solicita información a TTELEFÓNICA DE ESPAÑA, S.A.U, con relación a los hechos denunciados, no habiendo recibido respuesta hasta esta fecha. >>>>> TERCERO La Directora de la Agencia Española de Protección de Datos acordó, con fecha 8/9/15 iniciar procedimiento sancionador a TELEFONICA DE ESPAÑA por la presunta infracción del artículo 6 de la LOPD. CUARTO: Se presentó escrito de alegaciones al Acuerdo de Inicio, manifestando, en síntesis lo siguiente: * Que la contestación al expediente E/2613/2015 tuvo entrada en esta Agencia el día 16/9/15. * La entrada de la reclamación planteada por Facua en nombre del denunciante fue el 29/8/13 (reclamación dirigida a telefónica móviles). Con fecha 17/9/13 se respondió a la citada asociación, informando de la anulación de la deuda. Las facturas se anularon con fecha 13/9/13, parcialmente se habían anulado otros importes con anterioridad * Que en todo el expediente administrativo no consta copia del DNI del reclamante, requisito indispensable para presentar una reclamación ante esta Agencia * Que se ha producido la prescripción de la presunta infracción, tomando el dia13/9/13 como diez a quo del cómputo prescriptivo, no teniendo constancia de tratamientos no actuaciones posteriores. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 1º Constan en el fichero de Telefónica de España los datos de D. A.A.A., con DNI A.A.A., y domicilio C/ C.C.C., asociados a la línea D.D.D. con fecha de alta 8/11/12 y baja 17/4/13 2º Constan facturas emitidas durante el periodo 1/12/12 a 1/7/13 3º Que la deuda pendiente fue anulada como consecuencia de la reclamación interpuesta ante la FACUA que se recibió el día 20/8/13. Contestándose el día 17/9/13 en el sentido que se había procedido a la anulación de la deuda reclamada. 4º Consta realización de reintegro al denunciante de las cantidades adeudadas con fecha 13/9/13. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
2. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
3. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. III Se analiza en este procedimiento si TELEFONICA DE ESPAÑA trató los datos personales de la denunciante sin su consentimiento inequívoco, al figurar en sus ficheros como titular de la línea D.D.D. que consta en sus sistemas asociada a D. A.A.A. durante el periodo 9/11/12 a 17/4/13. En orden a precisar el alcance antijurídico de los referidos hechos respecto de la entidad denunciada, procede analizar el principio de consentimiento consagrado en el artículo 6.1 y 2 de la LOPD, que establecen lo siguiente, “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Se deduce pues que el tratamiento de datos de carácter personal tiene que contar con el consentimiento de los afectados o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento de los afectados cuando realiza algún tratamiento con los datos personales de éstos, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. IV El art.3
4. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El artículo 6.1 de la LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. Como el término “inequívoco” no se refiere a que deba prestarse de forma determinada, ni al momento de prestarlo, debe entenderse que dicho consentimiento se puede producir de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 expresa (oral o escrita) o por actos reiterados del afectado que revele que efectivamente ha dado ese consentimiento, recayendo en todo caso en el responsable del tratamiento, la prueba que ha obtenido el consentimiento del interesado para el tratamiento de sus datos. Como se ha manifestado más arriba la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos. A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. Así las cosas, no consta que el tratamiento de los datos de carácter personal de la denunciante se realizaran con su consentimiento, al no haber aportado el preceptivo documento contractual que legitime la contratación, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
5. b)de la LOPD. Cabe decir por tanto que, ante la falta de acreditación por TELEFONICA del consentimiento del afectado para el tratamiento de datos personales realizado, y ante la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, al no concurrir ninguno de los supuestos del artículo 6.2 de la LOPD que permiten excepcionar la obtención del consentimiento para el tratamiento de datos, se concluye que la actuación de la entidad denunciada constituye una vulneración del artículo 6.1 de la LOPD. Respecto del tiempo de dicho tratamiento, se debe indicar el hecho que la denunciada dio de baja a la línea D.D.D. en virtud de la reclamación recibida a través FACUA, con fecha 17/4/13 pero continuó tratando sus datos hasta que se produjo la anulación de las cantidades reclamadas y su devolución al denunciante, constando como última fecha de las mismas el día 13/9/13. En consecuencia, y en virtud del artículo 47.3 de la LOPD, dado que el Acuerdo de Inicio se notificó a TELEFONICA con fecha 14/9/15, se deduce que ha sido posterior a la finalización del plazo de prescripción de las infracciones graves, dos años, (que para este caso sería 13/9/15), según el art. 47 de la misma ley y que por tanto la presunta infracción del art. 6 ha prescrito. V En consecuencia de lo anterior, se ha producido una extinción de la presunta responsabilidad de la entidad denunciada al haber prescrito la infracción del artículo 6 de la LOPD. En cuanto a los efectos de dicha prescripción, es de aplicación lo previsto en el art. 6 del RD 1389/93 que regula el procedimiento para el ejercicio de la potestad sancionadora y del que resulta que cuando se concluya, en el trámite del procedimiento, que ha prescrito la infracción por el órgano competente deberá acordarse el archivo del mismo. Vistos los preceptos citados y demás de general aplicación, Por la Directora de la Agencia Española de Protección de Datos Se ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución a TELEFONICA DE ESPAÑA S.A. Y D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martin Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es