1/9 Procedimiento Nº PS/00694/2013 RESOLUCIÓN: R/01081/2014 En el procedimiento sancionador PS/00694/2013, instruido por la Agencia Española de Protección de Datos a la entidad TELEFONICA MOVILES ESPAÑA S.A.U., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 19/12/12 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) escrito remitido desde la OMIC de Azuqueca de Henares, junto con el que se adjuntaba una denuncia presentada por D. A.A.A., en la que manifiesta que MOVISTAR dio de alta a su nombre sin su consentimiento la línea ***TEL.1, que fue contratada por su hijo, B.B.B.. Se aporta a la denuncia distinta documentación en relación a los hechos denunciados. SEGUNDO: Aporta la siguiente documentación junto al escrito de denuncia: * Copia del DNI del denunciante. * Copia de solicitud expresa para que la AEPD conozca del asunto. * Copia de reclamación ante la OMIC de Azuqueca de Henares, formulada por B.B.B., en la que expone que MOVISTAR le ha ofrecido cambiar su línea de prepago a contrato y que en el cambio han puesto el contrato a nombre de otra persona. Junto con esta reclamación se aporta: -- Copia de impreso de “Servicio de Tarjeta Movistar”, fechado a 06/11/2009, en el que se identifica a B.B.B., DNI ***DNI.1, como la persona que adquiere la SIM identificada con el ICC *************, vinculada a la línea ***TEL.1. Como punto de venta consta Moviphone Guadalajara Azuqueca. -- Copia de factura emitida por el distribuidor Moviphone Guadalajara el 06/11/2009 a nombre de B.B.B., y relativo a la adquisición de un terminal junto con la línea ***TEL.1, que resulta activada. -- Copia de contrato “Servicio Móviles Movistar”, fechado a 01/02/2012, relativo a la línea ***TEL.1 y cumplimentado con los datos de A.A.A.. El contrato no está firmado * Copia del expediente a que dio objeto la reclamación presentada por B.B.B. ante la OMIC y, en concreto, de varios escritos cruzados entre la OMIC y MOVISTAR, en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 que la operadora manifiesta (el último escrito es de 11/07/2012): -- Que en sus sistemas consta como titular de la línea ***TEL.1 D. A.A.A. -- Que no es posible cambiar la titularidad de la línea a nombre de D. B.B.B., ya que en sus sistemas consta una deuda a nombre de esta persona. -- Que en su momento no fue posible tramitar la migración de la línea de prepago a contrato a nombre de D. B.B.B. al existir dicha deuda. MOVISTAR señala que como consecuencial de ello “es posible (…) se dieran los datos de D. A.A.A. para poder finalizar la gestión”. -- Que puede solicitar la migración de contrato a tarjeta en cualquier momento. -- Copia de facturas de MOVISTAR de 01/03/2012 y 01/09/2012 emitidas a nombre del denunciante y relativas a la línea ***TEL.1 TERCERO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/00562/2012 que concluyeron con informe de fecha 2/9/13 CUARTO: Por parte del Director de la Agencia Española de Protección de Datos se. acordó iniciar, con fecha 16/12/13, procedimiento sancionador la presunta infracción del artículo 6 de la LOPD. QUINTO: Por parte de la entidad denunciada se presentó escrito de alegaciones, acompañada de documentación, que se han valorado en la resolución de este expediente SEXTO: Transcurrido el plazo de alegaciones que se concedió en el Acuerdo de iniciación del Procedimiento Sancionador se acordó abrir periodo de práctica de pruebas, dando por reproducidas la documentación obrante en expediente de actuaciones previas de Inspección, dando también por reproducidos efectos probatorios, las alegaciones al acuerdo de inicio PS/00694/2013 presentadas por TELEFONICA MOVILES ESPAÑA S.A.U., y la documentación que a ellas acompaña. SEPTIMO: Se dictó Propuesta de Resolución, con fecha 23/04/04, en el sentido que por parte del Director de la Agencia se declarase el archivo del presente procedimiento sancionador OCTAVO: Por parte de TME se ha mostrado el acuerdo con el contenido de la propuesta, reiterándose en las alegaciones ya realizadas en el procedimiento. FUNDAMENTOS DE DERECHO 1º Consta denuncia presentada por D. A.A.A., en la que manifiesta que MOVISTAR dio de alta a su nombre sin su consentimiento la línea ***TEL.1, que fue contratada por su hijo, B.B.B.. 2º Consta la siguiente documentación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 * Copia de reclamación ante la OMIC de Azuqueca de Henares, formulada por B.B.B., en la que expone que MOVISTAR le ha ofrecido cambiar su línea de prepago a contrato y que en el cambio han puesto el contrato a nombre de otra persona. Junto con esta reclamación se aporta: -- Copia de impreso de “Servicio de Tarjeta Movistar”, fechado a 06/11/2009, en el que se identifica a B.B.B., DNI ***DNI.1, como la persona que adquiere la SIM identificada con el ICC *************, vinculada a la línea ***TEL.1. Como punto de venta consta Moviphone Guadalajara Azuqueca. -- Copia de factura emitida por el distribuidor Moviphone Guadalajara el 06/11/2009 a nombre de B.B.B., y relativo a la adquisición de un terminal junto con la línea ***TEL.1, que resulta activada. -- Copia de contrato “Servicio Móviles Movistar”, fechado a 01/02/2012, relativo a la línea ***TEL.1 y cumplimentado con los datos de A.A.A.. El contrato no está firmado * Copia del expediente a que dio objeto la reclamación presentada por B.B.B. ante la OMIC y, en concreto, de varios escritos cruzados entre la OMIC y MOVISTAR, en los que la operadora manifiesta (el último escrito es de 11/07/2012): -- Que en sus sistemas consta como titular de la línea ***TEL.1 D. A.A.A. -- Que no es posible cambiar la titularidad de la línea a nombre de D. B.B.B., ya que en sus sistemas consta una deuda a nombre de esta persona. -- Que en su momento no fue posible tramitar la migración de la línea de prepago a contrato a nombre de D. B.B.B. al existir dicha deuda. MOVISTAR señala que como consecuencial de ello “es posible (…) se dieran los datos de D. A.A.A. para poder finalizar la gestión”. -- Que puede solicitar la migración de contrato a tarjeta en cualquier momento. -- Copia de facturas de MOVISTAR de 01/03/2012 y 01/09/2012 emitidas a nombre del denunciante y relativas a la línea ***TEL.1 3º Consta en los ficheros de TME la línea ***TEL.1 a nombre de A.A.A., en situación de alta activa sin que consten modificaciones del abonado. Consta como origen del abono: migración. 4º Que dicha línea se migró de prepago a contrato con fecha 1/2/12 figurando como titular A.A.A.. 5º Consta que se utiliza para el pago de la línea presuntamente no consentida la misma cuenta bancaria que para el pago de otras líneas también en situación de alta. 6º Que todas las facturas figuran abonadas FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/00562/2013, se determinó que, salvo prueba en contrario, TME hizo tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco, reclamándole una deuda relativa a un servicio de telefonía que declara no haber contratado, sin que por parte de la operadora se no haya remitido documentación relativa a la presunta contratación. La entidad denunciada, en su escrito de alegaciones al acuerdo de inicio manifiesta que no ha realizado ningún cambio de titularidad, y que, desde el mismo momento en que se hizo la contratación, se facilitaron los datos del ahora denunciante, padre de D. B.B.B., quien fue el usuario registrado de la compra de la tarjeta prepago de la línea ***TEL.1 según el mismo ha aportado en su reclamación y que consta en el expediente. Que las consultas la pantalla sobre cambio de titular concluyen que la contratación tuyo su origen en una migración de prepago a contrato y que sobre la misma no ha habido un cambio de titular. Existen varias líneas dadas de alta y en la consulta de clientes sobre líneas que utilizan la misma cuenta bancaria para el pago de facturas resulta que Sr, de A.A.A. utiliza para el pago de la línea presuntamente no consentida la misma cuenta bancaria que para el pago de otras líneas también en situación de alta. Se manifiesta que el hijo del denunciante mantiene una deuda con TME por importe de 203.77€ motivo por el cual la entidad no permitió la contratación de la línea a su nombre hasta que dicha deuda no hubiera sido hecha efectiva. Con posterioridad D. B.B.B. reclamó que se hiciera efectivo el cambio de titularidad de la línea ***TEL.1 pasando de estar a nombre de su padre y que estuviera al suyo, petición a la que se respondió que era imposible hasta no hacer efectivo el pago de la deuda III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado” El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. IV En el presente procedimiento se examina la reclamación de fecha de entrada en esta AEPD el día 19/12/12 en la que D. A.A.A. manifiesta que TME ha contratado a su nombre y sin su consentimiento la línea ***TEL.1. El art. 3 letra
- h)LOPD—LO 15/1999—define el consentimiento del interesado como “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado la Audiencia Nacional reiteradamente, entre otras en sentencia de 28 febrero 2007, Rec 236/2005, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Son, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Hay que tener en cuenta que el consentimiento permite al afectado ejercer el control sobre sus datos de carácter personal ya que es el propio interesado quien tiene que otorgar aquel para que se pueda realizar el tratamiento de los citados datos. Este consentimiento debe ser además inequívoco, tal como es definido en la letra
- h)del art. 3 de la LOPD como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de los datos personales que le concierne”. Correspondiendo, por regla general, a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado debiendo arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. De la dicción del artículo 12 del RLOPD que establece que “el responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes” se deduce que el citado reglamento atribuye al responsable del tratamiento la carga de probar el consentimiento del afectado sin que quepa presumir el mismo. Respecto a la activación de servicios no contratados, y en consecuencia el tratamiento de datos personales sin consentimiento para ello, puede ilustrarnos la sentencia de la Audiencia Nacional de 1 de marzo de 2011 (R. 91/2010) que viene a decir lo siguiente: “El denunciante niega haber solicitado la terminal telefónica así como haber suscrito contrato alguno o haber solicitado el alta. Frente a ello, la entidad recurrente no aporta prueba de la existencia de relación contractual con el denunciante, pues ni consta contrato por escrito ni grabación de la conversación telefónica en la que solicitase el alta. Es más, la falta de voluntad para contratar también se desprende de la inexistencia de uso alguno de dicha línea y de la propia reclamación telefónica realizada ante la compañía el 17 de noviembre de 2008, tal y como consta por la transcripción de la llamada del denunciante que incorpora la entidad recurrente en su escrito de alegaciones (…). Por otra parte, la recepción del terminal de teléfono en su domicilio familiar no puede ser tomada como prueba de consentimiento. (…) y el hecho de que dispusiesen del nombre completo y el documento de identidad del afectado tampoco constituye una prueba indiciaria de dicha contratación pues la compañía recurrente disponía de tales datos en base a una relación contractual previa con dicho cliente”. En este caso se ha acreditado que en los ficheros de TME la línea ***TEL.1 a nombre de A.A.A., dicha línea fue en un primer momento activada como línea de prepago, aportándose por el denunciante copia de la factura a nombre de D. B.B.B., de fecha 6/11/09. Aportándose copia también, aunque el documento aparece sin firmar del contrato de “servicio de tarjeta movistar” de fecha 6/11/09 en la que figura como titular D. B.B.B. con DNI ***DNI.1. Posteriormente, con fecha 1/2/12 dicha línea migró de prepago a contrato figurando como titular A.A.A.. Debe tenerse en cuenta que se utiliza para el pago de la línea presuntamente no consentida la misma cuenta bancaria que para el pago de otras líneas también en situación de alta. (A nombre del denunciante) y que todas las facturas derivadas del tráfico de la misma figuran abonadas. En definitiva se ha producido un tratamiento automatizado de los datos del denunciante sin acreditar fehacientemente que sea el titular de la línea, sin embargo puede deducirse la existencia de indicios razonables de un consentimiento presunto, derivado de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 conducta que implica aceptación de un determinado compromiso u obligación. Es especial que todas las facturas que fueron cargadas a la cuenta del denunciante (que además es compartida por D. A.A.A. y D. B.B.B.) fueron abonadas. En este sentido y en relación a un caso similar debe tenerse en cuenta el razonamiento expresado por la AN en la sentencia (estimatoria) de fecha 17/11/10 (recurso 729/2009) que manifiesta lo siguiente: “ Es cierto que constituye doctrina reiterada y consolidada de esta Sala que, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la Ley, sólo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado. En el presente caso, sin embargo, y si bien es cierto que no figura el contrato de la línea telefónica xxxx (que la actora argumenta suscribió con la denunciante, en abril de 2006, a través del procedimiento de “migración” de una línea telefónica anterior), concurren sin embargo una serie de circunstancias especificas, esencialmente la existencia de consumo telefónico y la recepción y pago puntual de las facturas, que llevan a esta Sala al convencimiento de que tal denunciante sí había prestado su consentimiento para la contratación de la referida línea con dicha entidad telefónica recurrente, y en consecuencia, que la imputación de la infracción del artículo 6.1 LOPD no puede ser apreciada.” En definitiva cabe hablar de inexigibilidad de otra conducta diferente, y que si bien existe una falta de diligencia en TME al asociar el nombre del denunciante a la línea ***TEL.1, no comprobándose la identidad de la persona que contrataba con ella y la exactitud de los datos recabados hay cierta justificación lo que permite entender que no se desatendió las exigencias de la LOPD . Vistos los preceptos citados y demás de general aplicación, Por el Director de la Agencia Española de Protección de Datos Se ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución a Telefónica Móviles España S.A. y a D. A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es