1/6 Procedimiento nº.: E/00798/2012 ASUNTO: Recurso de Reposición Nº RR/00884/2012 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00798/2012, y en virtud de los siguientes, HECHOS PRIMERO: Con fecha 10/10/12, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/00798/2012, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en fecha 15/10/12 según aviso de recibo que figura en el expediente. SEGUNDO: D. A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 16/11/12 recurso correspondiente fundamentándolo básicamente en que por parte de Vodafone se han vulnerado los derechos del denunciante, en primer lugar por un delito de fraude y usurpacion de la personalidad y en segundo lugar en su derecho constitucional a la intimidad FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC II Los fundamentos de derecho aplicables a los hechos denunciados fueron relatados en la resolución de RESOLUCIÓN DE ARCHIVO DE ACTUACIONES (E/05766/2012) tal como se relatan a continuación: <<<<< II El artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con la calidad de datos, establece que: “3.- Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.” La obligación establecida en este artículo impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los titulares de los mismos, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 El artículo 6.1 y 2 de la LOD dispone que: ”
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “
- No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el tratamiento de datos sin consentimiento de su titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. III En el presente caso el tratamiento realizado por la entidad denunciada fue llevado a cabo con el objeto de cumplir las obligaciones derivadas del contrato de telefonía móvil y en el convencimiento de que el tratamiento de los datos realizados se efectuaba conforme a la legalidad vigente. En este sentido, se ha de tener en cuenta que la entidad denunciada consideraba que existía un contrato válidamente celebrado en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 medida en la que disponía de un contrato firmado por la denunciante, de fecha 12 de junio de 2010, en el que constan sus datos personales, así como fotocopia del DNI a su nombre y copia de su número de cuenta bancaria. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asumen en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a la cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. Así, La Audiencia Nacional señala en su Sentencia de 19 de enero de 2005, “el debate debe centrarse en el principio de culpabilidad, y más en concreto, en el deber de diligencia exigible a (...) en el cumplimiento de las obligaciones de la LOPD, y no tanto en la existencia misma de una contratación fraudulenta, cuestión ésta que compete resolver, en su caso, a otros órdenes jurisdiccionales” y añade que el elemento central de debate “no es la existencia misma de la contratación fraudulenta sino el grado de diligencia desplegado por la recurrente en su obligada comprobación de la exactitud del dato”. De acuerdo a estos criterios, se puede entender que B.B.B. empleó una razonable diligencia en la contratación ya que en la tramitación del documento contractual controvertido se verificó la identidad de la persona que firmaba el contrato mediante la solicitud del DNI no pudiendo detectar la contratación fraudulenta que se estaba produciendo. Esta circunstancia dota a dicha contratación por parte de la entidad denunciada de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad necesario para ejercer la potestad sancionadora. No cabe apreciar culpabilidad alguna en la actuación de esta entidad, que actuó con la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal. Se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a B.B.B.. una vulneración de la normativa en materia de protección de datos, en la medida en que actuó con una razonable diligencia a la hora de la recogida de datos que justifican la reclamación de deuda efectuada y que tenían una apariencia de legitimidad, aún cuando pudieran derivar de una usurpación de personalidad llevada a cabo por un tercero, sobre cuya actuación habrá de pronunciarse el correspondiente organismo jurisdiccional competente en razón de la materia, al no ser la Agencia Española de Protección de Datos competente para enjuiciar la actuaciones delictivas que se puedan derivar del presente caso. IV En relación con la inclusión de sus datos personales en ficheros comunes de solvencia patrimonial y crédito hay que tener en cuenta lo que establece el artículo 29 de la LOPD, en relación al tratamiento de los datos por parte de los responsables de este tipo de ficheros: “
- Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6
- Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley.
- En los supuestos a que se refieren los dos apartados anteriores, cuando el interesado lo solicite, el responsable del tratamiento le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos.
- Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. El apartado 2 de este precepto habilita al acreedor o a quien actué por su cuenta o interés para que, sin consentimiento del deudor, facilite los datos de carácter personal de sus deudores a ficheros comunes de solvencia patrimonial y crédito, siempre y cuando concurran los requisitos establecidos en el artículo 38.1 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, cuyo apartado a) requiere para la inclusión de datos personales en este tipo de ficheros la existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. La exigencia de que la deuda sea "cierta" responde al principio de calidad de datos recogido en el artículo 4.3 de la LOPD, al expresar que "los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar datos de carácter personal, relativos al cumplimiento o incumplimiento de obligaciones dinerarias, a ficheros comunes de solvencia patrimonial y crédito, siempre que la información registrada en este tipo de ficheros respete el principio de veracidad y exactitud del mencionado artículo 4.3 de la LOPD. Por ello, la impugnación de la deuda, cuestionando su existencia o certeza, ante los órganos administrativos, arbitrales o judiciales competentes para declarar la existencia o inexistencia de la misma, a través de resoluciones de obligado cumplimiento para las partes, impide que pueda hablarse de una deuda cierta hasta que recaiga resolución firme, y por tanto, la inclusión de la misma en los ficheros de solvencia patrimonial y crédito. Si bien en el supuesto examinado usted aporta junto con su escrito de denuncia una citación para comparecer ante del Juzgado de Instrucción número 36, en calidad de perjudicado y en relación con una denuncia por estafa presentada ante la comisaría de Moncloa, sin embargo para que esto impida la inclusión o la permanencia de los datos en los citados ficheros resulta necesario que la entidad informante de aquellos tenga conocimiento de la existencia de este procedimiento, pues sólo así puede evitar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 inclusión de los datos en los citados ficheros de solvencia o proceder a la cancelación de los ya registrados, circunstancia que no consta suficientemente acreditada en el presente caso. Por ello, de acuerdo con el principio de presunción de inocencia cuya invocación resulta plenamente justificada en el ámbito del Derecho Administrativo sancionador, según consolidada doctrina del Tribunal Constitucional, no puede inferirse de los hechos denunciados la existencia de infracción de LOPD, al no haberse aportado prueba que determine que la entidad informante de los datos tiene conocimiento de la existencia del proceso ante el Juzgado. Ahora bien, usted puede informar de dicho extremo a la entidad que ha comunicado sus datos personales al fichero de solvencia patrimonial y solicitarle que proceda, por dicho motivo, a su cancelación, aportando la documentación que acredite la interposición de la reclamación judicial, arbitral o administrativa. La citada entidad deberá hacer efectivo el derecho de cancelación, de conformidad con lo previsto en el Titulo III del Reglamento de desarrollo de la LOPD. Para ello podrá utilizar https://www.agpd.es. los modelos que figuran en el siguiente enlace: En el caso de que su solicitud de cancelación no fuera convenientemente atendida, puede dirigirse a esta Agencia, acompañando copia de la solicitud cursada y de la contestación recibida, en su caso. Por lo que no cabe, en principio, inferir de los hechos denunciados vulneración de la LOPD. >>>>> TERCERO: Las alegaciones presentadas en el escrito de recurso no permiten variar el sentido de la resolución emitida por esta Agencia. Ya que de los hechos acreditados se deduce que la entidad denunciada, Vodafone, empleó una razonable diligencia en la contratación y que el tratamiento realizado fue llevado a cabo con el objeto de cumplir las obligaciones derivadas del contrato de telefonía móvil; empleando una razonable diligencia en la contratación ya que en la tramitación se verificó la identidad de la persona que firmaba el contrato mediante la solicitud del DNI no pudiendo detectar la contratación fraudulenta que se estaba produciendo. Por consiguiente de la actuación de la entidad denunciada no puede imputarse elementos suficientes para declarar su culpabilidad, al no poder individuializarse su responsabilidad o sea su imputación subjetiva, ya que actuó con apariencia de legitimidad. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la resolución de esta Agencia dictada con fecha 10 de octubre de 2012, en el expediente de actuaciones previas de inspección E/00798/
- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es