REPOSICION-E-00607-2014

1/6 Procedimiento nº.: E/00607/2014 ASUNTO: Recurso de Reposición Nº RR/00003/2015 Examinado el recurso de reposición interpuesto por Don A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00607/2014, y en base a los siguientes HECHOS PRIMERO: Con fecha 30 de octubre de 2014, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/00607/2014, procediéndose al archivo de actuaciones al no apreciar infracción de la normativa de protección de datos. Dicha resolución, que fue notificada al recurrente, a través del BOE de fecha 1 de diciembre de 2014, en fecha 18 de diciembre de 2014, según figura en el expediente. SEGUNDO: Don A.A.A. (en lo sucesivo el recurrente), ha presentado en Correos el día 19 de diciembre de 2014, con registro de entrada en esta Agencia, en fecha 26 de diciembre de 2014, recurso de reposición, fundamentándolo básicamente en que Vodafone ha seguido facturándole con posterioridad a su solicitud de baja; le han incluido en ficheros de solvencia patrimonial y crédito con posterioridad a su solicitud de baja. La operadora de telefonía ha hecho manifestaciones sin prueba alguna y ha mentido. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II La denuncia que dio origen a las Actuaciones Previas de Investigación que se archivaron y ahora se recurre, es idéntica a lo que ahora se alega en el recurso de reposición, y que se fundamentó como se señala a continuación: “La denuncia se concreta en que tras solicitar la baja en las líneas telefónicas contratadas, Vodafone continuó emitiendo facturas. El artículo 6.1 de la LOPD dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1, estableciendo que “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El citado precepto de la LOPD no requiere que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”, correspondiendo a Vodafone acreditar que cuenta con el consentimiento del denunciante para efectuar el tratamiento de sus datos personales. En el supuesto examinado ha quedado acreditado que Vodafone trató los datos personales del denunciante en relación con el contrato de telefonía de las tres líneas telefónicas contratadas, tras solicitar aquel la baja de esos servicios telefónicos. En base a lo expuesto en este fundamento de derecho, Vodafone habría realizado un tratamiento de los datos personales del denunciante sin su consentimiento ya que lo habría revocado en el mes de abril de 2013 con efectos retroactivos desde el año anterior. En este sentido, hay que indicar que el consentimiento puede ser revocado en cualquier momento por el afectado, pero no tiene efectos retroactivos, de conformidad con el artículo 6.3 de la LOPD. No obstante, de la documentación obrante en el expediente consta que el denunciante continuó consumiendo en las líneas contratadas y abonó las facturas hasta el mes de mayo de 2013. Asimismo, consta que el denunciante solicitó móviles asociados a las líneas contratadas en el mes de abril de 2013, lo que conlleva un compromiso de permanencia de 24 meses. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 III El artículo 4 de la LOPD señala en su apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado” y en su apartado 4 prescribe: “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan en todo momento a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En el presente caso, se ha comprobado que Vodafone incluyó en los ficheros Asnef y Badexcug los datos personales del denunciante, habiéndole requerido el pago de lo debido informándole de que en caso contrario sus datos serían incluidos en ficheros de solvencia patrimonial y crédito, como acredita la carta de Vodafone aportada por el propio denunciante junto con su escrito de denuncia.. La Audiencia Nacional estimó el recurso planteado por una operadora de telefonía a la cual había sancionado esta Agencia en un supuesto similar, SAN de 19 de julio de 2012, recurso 108/2011, en la que fundamenta lo siguiente: “Esta Sala no obstante, a pesar de dicha argumentación de la Agencia, y una vez valoradas las pruebas practicadas en las actuaciones (especialmente la documental del expediente administrativo), entiende que en el presente caso concurren una serie de circunstancias que conllevan que no pueda entenderse lesionado tal principio de consentimiento del artículo 6.1 LOPD. Y ello por considerar que sí ha existido, en el supuesto, un consentimiento tácito del afectado, tal y como alega la demanda, o más exactamente un consentimiento presunto, en cuanto el mismo se deduce de un comportamiento o conducta del afectado que implica aceptación de un determinado compromiso u obligación, teniendo en cuenta lo siguiente: Si bien el Sr. XXX sustenta su denuncia en que “nunca ha contratado una línea con dicha entidad (Telefónica Móviles) y tampoco le ha sido reclamada ninguna deuda ni comunicada la inclusión de sus datos en ficheros de morosos”. Se desprende no obstante de los hechos probados de la resolución, no desvirtuados mediante prueba alguna en contrario, que en el fichero de clientes de TME constaba el denunciante como titular de la línea XXXX desde el 10/11/04 y hasta el 26/08/05. Y figura igualmente en las actuaciones que la controvertida línea XXXXX, dio lugar a seis facturas (más una última por importe negativo de -44,50 euros) de fechas comprendidas entre el 01/12/04 y el 01/05/05, en todas las cuales figura como titular Don XXXXX, con su número de NIF, y como domicilio el de la

1. c)XXXXXX. Resulta además que tres de dichas facturas fueron puntualmente pagadas por “ventanilla”, las cuales además reflejan la existencia de consumo, tanto de llamadas nacionales como de mensajes cortos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Es cierto que constituye doctrina reiterada y consolidada de esta Sala que, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la Ley, sólo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado. En el presente caso, sin embargo, y si bien es cierto que no existe acreditación de la contratación de la línea telefónica que la entidad actora argumenta que el denunciante suscribió con ella, en noviembre de 2004, existen sin embargo una serie de circunstancias específicas ( esencialmente la existencia de consumo telefónico y el pago puntual de las tres primeras facturas) que llevan a esta Sala al convencimiento de que el denunciante, a pesar de lo argumentado por él en la demanda, si había prestado su consentimiento para la contratación de la referida línea telefónica con dicha recurrente, a tenor de las circunstancias que se acaban de relatar. Por todo lo cual consideramos que la imputación de la infracción del artículo 6.1 LOPD no puede ser apreciada tal y como hemos sostenido, en similares supuestos, en nuestras anteriores SSAN 1-2-2006 (Rec. 250/2004), 21-1-2009 (Rec. 109/2008) 24-62010 (Rec. 619/2009) y 17-11-2010 (Rec. 729/2009). CUARTO. La segunda infracción imputada a Telefónica Móviles España SAU es la del Art. 4.3 LOPD a cuyo tenor: Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La razón de ser de dicho artículo 4.3 LOPD, tal y como esta Sala ha declarado con reiteración (SAN 1-10-09, Rec. 38/2009) y en relación con los principios de proporcionalidad y finalidad, que igualmente se contemplan en el mismo precepto, es la de garantizar y proteger la calidad de la información sometida a tratamiento (exacta y puesta al día) por la que debe velar quien recoge y trata datos de carácter personal. Requisitos de exactitud y veracidad establecidos en la repetida LOPD que son exigibles al titular del fichero o tratamiento, según deriva del propio artículo 4.3, no sólo en lo que atañe a la conservación de los datos personales en los propios ficheros, o a su comunicación a un fichero de solvencia patrimonial o crédito, sino también en cualquiera de las diversas fases o modos en los que puede manifestarse el tratamiento de los datos personales, teniendo en cuenta el concepto amplio que de tratamiento deriva del artículo 3.
2. c)de la LOPD que comprende no solo la recogida, grabación o conservación de los datos, sino también la elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias, y en cualquiera de dichas manifestaciones, se requiere la exactitud y veracidad de los datos personales por parte del responsable del fichero o tratamiento. Razona la resolución combatida que se ha comprobado que TME incluyó en los ficheros Asnef y Badexcug los datos personales de una persona que no ha acreditado que cuente con el consentimiento para su tratamiento, ni relación contractual que lo eximiera y que, por tanto, no le adeuda cantidad alguna, por lo que se aprecia la infracción del artículo 4 apartado 3 de la LOPD, por mantener en el fichero de clientes datos personales del denunciante que no se ajustan a su situación real y actual. La AEPD, por tanto, hace derivar dicha infracción del artículo 4.3 LOPD, directamente, de la comisión de la infracción del principio de consentimiento apreciada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 por la misma. En consecuencia, y precisamente por derivar esta segunda infracción imputada de la previa lesión del principio del articulo 6.1 LOPD, una vez acreditada a juicio de la Sala, la existencia de dicho consentimiento inequívoco por parte de TME, por concurrir un consentimiento tácito o presunto por parte del denunciante, tal y como se ha expuesto, procedente resulta también revocar dicha infracción del principio de calidad del dato apreciada por la Administración. Y ello dado que consideramos, contrariamente a lo razonado en la resolución combatida, y conforme a las circunstancias expuestas en el fundamento jurídico anterior, que como el supuesto de hecho y requisito esencial para apreciar el incumplimiento de dicho principio básico en materia de protección de datos (Art. 4.1 de la LOPD), es la inexactitud y/o falsedad del dato personal en cuestión, en el presente caso, una vez acreditada la relación contractual entre el denunciante y la compañía telefónica actora, necesariamente resulta que el dato de morosidad por los tres recibos mensuales impagados, derivados de dicha contratación y que TME hizo constar en los ficheros Asnef y Badexcug, no era ni incierto ni inexacto, por lo que también esta segunda infracción del principio de calidad del dato ha de ser rechazada por la Sala.” IV En resumen, se ha constatado que la solicitud de revocación del consentimiento no se efectuó de la forma establecida por Vodafone y además se solicitaba con carácter retroactivo. Asimismo, el denunciante solicitó en el mismo momento que pedía la baja con carácter retroactivo de un año, unos teléfonos móviles asociados a las líneas que tenía desde el año 2010 que tenían un compromiso de permanencia de 24 meses. No se advierte infracción de la normativa de protección de datos en la actuación de Vodafone”. III Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la resolución de esta Agencia dictada con fecha 30 de octubre de 2014, en el expediente de actuaciones previas de inspección E/00607/2014. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es