1/6 Procedimiento nº.: E/02156/2018 ASUNTO: Recurso de Reposición Nº RR/00655/2018 Examinado el recurso de reposición interpuesto por Don A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/02156/2018, y en base a los siguientes HECHOS PRIMERO: Con fecha 10 de agosto de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/02156/2018, procediéndose al archivo de actuaciones al no apreciarse vulneración de la normativa de protección de datos. Dicha resolución, que fue notificada al recurrente en fecha 24 de agosto de 2018, según aviso de recibo que figura en el expediente. SEGUNDO: Don A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 21 de septiembre de 2018, con registro de entrada el 27 de septiembre, recurso de reposición, fundamentándolo básicamente en que por parte de la operadora de telefonía reclamada se ha contratado de forma fraudulenta dos líneas de teléfono, usando sus datos sin garantías de seguridad y sin haber verificado su personalidad. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles al recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto a la pretensión del interesado. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 III La resolución recurrida se fundamentaba en lo siguiente: “El artículo 6 de la LOPD, bajo la rúbrica “Consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” No obstante, el apartado 2 del precepto añade que “no será preciso el consentimiento cuando los datos de carácter personal (…) se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; (…)”. El artículo 6 LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El “consentimiento del interesado” se define en la LOPD, artículo 3
- h)como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) afirma que “(…) Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La vulneración del principio del consentimiento se tipifica en el artículo 44.3.
- b)LOPD como infracción grave en los siguientes términos: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en la Ley y sus disposiciones de desarrollo”. IV La denuncia que examinamos versa sobre el tratamiento de los datos personales del denunciante (nombre, apellidos y DNI) efectuado por ORANGE sin su consentimiento y materializado en la contratación a su nombre de dos servicios de telefonía móvil para las líneas ***TELÉFONO.1 y ***TELÉFONO.2, portadas de VODAFONE, y la contratación de varios terminales de alta gama. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Como prueba del tratamiento de los datos del denunciante efectuado por la denunciada nos remitimos a la documentación que obra en el expediente, tanto aportada por el denunciante –la primera de las grabaciones facilitadas, que versa sobre las líneas controvertidas, o el escrito de alegaciones de JAZZTEL ante la SESIAD de la que la Secretaría de Estado le dio traslado- como la aportada por ORANGE. Entre esta última podemos citar, además de la relacionada con el expediente ***EXPEDIENTE.1 tramitado ante la SESIDAD, las grabaciones facilitadas por la operadora, en particular las número 12, 13, 14 y 15 de las que integran el CD remitido a la AEPD, y la factura de 02/03/2017, número ***FACTURA.1, emitida a nombre del denunciante, en la que figuran todos sus datos (DNI, domicilio y cuenta bancaria parcialmente anonimizada) que recoge entre los conceptos facturados el importe de la Tarifa Pack Línea Adicional sin límite 3GB para el número ***TELÉFONO.1 y para el ***TELÉFONO.2 así como la cuota de los dos dispositivos Apple 7 plus 32 GB. Constatado el hecho de que ORANGE trató los datos personales del denunciante asociados a dos servicios de telefonía móvil y a varios productos que él niega haber contratado, se ha de recordar que conforme a las reglas sobre la carga de la prueba incumbe a la denunciada probar que con ocasión de la contratación recabó y obtuvo el consentimiento de quien facilitó como propios los datos personales del denunciante. Nos remitimos, por todas, a la SAN de 27/01/2011 (Rec 349/2009) Fundamento de Derecho Tercero, en la que afirma que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. Pues bien, como se recoge en esta resolución (ver Hecho Segundo) ORANGE ha aportado un CD en el que se incluyen entre otras las grabaciones número 14 y 15 relativas a las líneas controvertidas ***TELÉFONO.1 y ***TELÉFONO.2. En particular, la grabación número 14 versa sobre la contratación de los servicios y en ella JAZZTEL confirma con el interlocutor las condiciones de la oferta. El interlocutor, que se identifica con los datos personales del denunciante, sólo pronuncia la palabra, “sí”. Con ella confirma nombre, dos apellidos, NIF y la dirección postal del denunciante, datos que en la grabación es la tele operadora de JAZZTEL quien los ofrece. Además, al confirmar el dato de la dirección la tele operadora apostilla: “si llama para cambiar dirección de entrega lo más pronto posible”. El objeto de la contratación es la tarifa pack ahorro para las líneas ***TELÉFONO.1 y ***TELÉFONO.2. También contrata dos terminales móviles Apple 7 plus 32 gigas. Como datos de contacto se facilita una dirección electrónica¨: ***EMAIL.1. La grabación número 15 se efectúa el 21/02/2017. Se inicia diciendo “comenzamos la verificación de tu solicitud de portabilidad que tiene los códigos 74662927 y 74673065”. “Confirma que tu nombre completo es (el nombre y dos apellidos del denunciante) y eres el titular del NIF (facilita el NIF del denunciante)”. El interlocutor responde “sí”. La telefonista facilita la dirección del denunciante y el interlocutor confirma que es la suya. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 La telefonista indica que las líneas a portar son los números ***TELÉFONO.2 y ***TELÉFONO.1 y facilita los números de las tarjetas SIM solicitando confirmación a su interlocutor que responde afirmativamente. Confirma también que el operador donante de ambas líneas es Vodafone. La grabación del consentimiento a la portabilidad prestado por quien se identifica con los datos personales del denunciante se adecúa a las previsiones de la Circular 1/2009, de 16 de abril de 2009, de la Comisión del Mercado de las Telecomunicaciones, CMT (en la actualidad, Comisión Nacional de los Mercados y la Competencia, CNMC) por la que se introduce el consentimiento verbal con verificación por tercero en la contratación de servicios mayoristas regulados de comunicaciones fijas así como en las solicitudes de conservación de numeración. Respeta igualmente la modificación introducida en la Circular 1/2009 por la Circular 1/2012 sobre el contenido del cuestionario al que se debe responder. Conviene indicar también que la cláusula segunda de la Circular 1/2009, “Ámbito de aplicación y responsabilidad administrativa del operador beneficiario de la tramitación de solicitudes de servicios mayoristas regulados de comunicaciones fijas y/o portabilidad”, establece que el “operador beneficiario de servicios mayoristas regulados de comunicaciones fijas y/o portabilidad (en adelante, operador beneficiario) podrá iniciar la tramitación de una solicitud cuando haya recabado previamente el consentimiento verbal del abonado con verificación por tercero, siempre y cuando haya cumplido todas y cada una de las condiciones y plazos de la presente Circular.” Así las cosas, la documentación que obra en poder de esta Agencia aportada por ORANGE muestra que la operadora, con ocasión de la contratación telefónica celebrada con el tercero que suplantó la identidad del denunciante, desplegó la diligencia mínima que resultaba procedente atendidas las circunstancias del caso y el estado de la técnica, lo que nos impide apreciar en el supuesto examinado la concurrencia de culpa o negligencia imputable a aquella, necesarias para poder exigir responsabilidad administrativa por una conducta que, en principio, es antijurídica. Traemos a colación por ser muy esclarecedoras las siguientes SSAN: La SAN de 26/04/2002 (Rec. 895/2009) expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la AEPD) También la SAN de 29/04/2010, en su Fundamento Jurídico sexto, a propósito de una contratación fraudulenta, indicó que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) La exigencia de responsabilidad sancionadora lleva implícita la concurrencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 del elemento subjetivo de la infracción, requisito esencial por cuanto rige en nuestro Derecho sancionador el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o culpabilidad en sentido amplio, como condición para que nazca la responsabilidad sancionadora, ha sido confirmada por el Tribunal Constitucional, entre otras, en su STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la C.E., es imprescindible su existencia para imponerla. En el mismo sentido, la Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” (El subrayado es de la AEPD) En definitiva, la documentación facilitada por ORANGE evidencia que actuó con una diligencia razonable y adoptó las medidas que la contratación telefónica exige para garantizar la identidad de la persona que presta el consentimiento y facilita como propios determinados datos personales. Así pues, estando ausente el elemento subjetivo de la infracción, ninguna responsabilidad sancionadora se deriva de los hechos que se someten a la valoración de este organismo, lo que obliga a acordar el archivo de las actuaciones de investigación practicadas.” En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la resolución de esta Agencia dictada con fecha 10 de agosto de 2018, en el expediente de actuaciones previas de inspección E/02156/2018. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 181-100820 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es