1/8 Procedimiento nº.: E/05110/2017 ASUNTO: Recurso de Reposición Nº RR/00484/2018 Examinado el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05110/2017, y en consideración a los siguientes HECHOS PRIMERO: Con fecha 5 de junio de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05110/2017, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución fue notificada al recurrente en fecha 2 de julio de 2017, según documento acreditativo de la notificación que figura en el expediente. SEGUNDO: A.A.A. (en lo sucesivo, el recurrente) ha presentado en esta Agencia, en fecha 3 de julio de 2018, recurso de reposición. El recurso de reposición interpuesto reitera argumentos expuestos por el actual recurrente en su escrito de denuncia e invoca además como fundamento que el DNI utilizado por un tercero a su nombre para contratar con la entidad TELEFÓNICA MÓVILES ESPAÑA, S.A.U., (en lo sucesivo, TME o la denunciada), si bien caducaba el 28/05/2018 –pues había sido expedido el 28/02/2013-, no estaba vigente en la fecha en la que se suscribieron los contratos -22/02/2016- ya que había sido renovado siete meses antes, el 13/07/2015, actualizando el domicilio, habida cuenta de que el recurrente residía en Barcelona desde el año 2013 y no en G.G.G., como figuraba en el DNI que se aportó en la contratación. Alega asimismo que los hechos están denunciados ante los Mossos de Esquadra. Aporta copia de la denuncia interpuesta el 26/06/2018 contra D.ª F.F.F., quien en el año 2016 realizó sin su consentimiento y falsificando su firma altas telefónicas con diversas operadoras con peticiones de terminales por importe superior a los 17.000 euros. Manifiesta que ha solicitado a TME copia de los contratos que se celebraron en su nombre y no ha obtenido respuesta. Solicita que “se suspenda el procedimiento sancionador contra Telefónica por existir un proceso en vía Penal que tiene preferencia y cuya resolución va a afectar a la vuestra, pues si finalmente se condena a la mujer autora y a todas las tiendas o compañías telefónicas por estafa, suplantación de identidad y falsificación de firma, vuestra resolución será contraria a derecho y habría que proceder mediante recurso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 de revisión”. Invoca el artículo 22.1.
- g)de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II La resolución recaída en el E/5110/2017, en la que se acordó el archivo de las actuaciones practicadas frente a TME, trae causa de la denuncia presentada ante esta Agencia el 29/08/2017 en la que se exponía por el ahora recurrente que TME, entidad de la que nunca había sido cliente, había tratado sus datos personales sin su consentimiento vinculados al alta de tres líneas de telefonía móvil que negaba haber contratado. La resolución de archivo de actuaciones dictada, se fundó en que TME había obrado en la contratación a nombre del denunciante con la diligencia que era procedente, de modo que al no intervenir por parte de la operadora culpa alguna y al regir en nuestro Derecho el principio de culpabilidad, no era exigible responsabilidad administrativa sancionadora. La diligencia desplegada por TME en la contratación de las tres líneas de telefonía móvil a nombre del ahora recurrente se materializó en haber recabado al tiempo de la contratación –celebrada en fecha 22/02/2016- conservado y aportado a la Inspección de Datos de la Agencia la copia del DNI del denunciante -documento en el que figuraba como fecha de validez “hasta” el 28/02/2018- y la copia de los contratos correspondientes a cada una de las líneas, suscritos a nombre del denunciante, que aparecían firmados, con una firma que puede calificarse de similar a grandes rasgos. Frente a los argumentos invocados por el recurrente como fundamento de la impugnación han de hacerse estas consideraciones: Ante la invocación de que el DNI utilizado para contratar con la entidad TME suplantando su identidad no estaba vigente en la fecha en la que se suscribieron los contratos – el 22/02/2016-, pues siete meses antes había sido renovado actualizando el domicilio, hemos de señalar que, con el fin de acreditar la identidad de la persona que presta el consentimiento a la contratación –contratación que conlleva, a tenor del artículo 6.2 LOPD, que no sea necesario el consentimiento al tratamiento de los datos personales- la diligencia que resulta exigible al responsable debe ser “adecuada” a las circunstancias del caso, sin que sea admisible exigir comportamientos imposibles o de muy difícil ejecución. La copia del DNI del titular de los datos recabada al tiempo de la contratación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 se ha venido considerando por esta Agencia -criterio ratificado por la Sala de lo Contencioso Administrativo de la Audiencia Nacional en sus resoluciones- como exponente de un actuar diligente en la identificación de la persona que facilita como propios determinados datos personales. En el presente caso se da la circunstancia de que, como el propio recurrente reconoce, en el DNI aportado en la contratación, que TME recabó y nos ha facilitado con la copia de los contratos, constaba una fecha de validez posterior a aquella en la que los contratos se celebraron. Respecto a la petición del recurrente, en consideración al artículo 22.1.
- g)de la LPACAP, de “…que se suspenda el procedimiento sancionador contra Telefónica por existir un proceso en vía penal que tiene preferencia y cuya resolución va a afectar a la vuestra…”, indicar que la norma invocada no es de aplicación al presente caso. El artículo 22.1.g LPACAP establece que “El transcurso del plazo máximo legal para resolver un procedimiento y notificar la resolución se podrá suspender en los siguientes casos: (…)
- g)Cuando para la resolución del procedimiento sea indispensable la obtención de un previo pronunciamiento por parte del órgano jurisdiccional, desde el momento en que se solicita, lo que habrá de comunicarse a los interesados, hasta que la Administración tenga constancia del mismo, lo que también deberá serles comunicado”. (El subrayado es de la AEPD) En el supuesto examinado no se ha iniciado frente a TME ningún procedimiento sancionador. Se añade que según reitera jurisprudencia las actuaciones previas – únicas actuaciones llevadas a cabo por esta Agencia frente a TME- no tienen la consideración de procedimiento administrativo. Paralelamente, añadir con carácter general que, en contraposición a lo manifestado por el recurrente, la resolución que se dicte en el procedimiento penal que se siga en virtud de los hechos denunciados presuntamente constitutivos de un delito de usurpación de estado civil y de estafa, no condiciona la resolución dictada en el E/5110/2017 que se recurre, al igual que sucede con las que deban dictarse en expedientes sancionadores abiertos frente a otras operadoras, pues no existe una cuestión prejudicial penal. Tampoco se vulnera, de seguir adelante, la prohibición de non bis in ídem que garantiza nuestra Constitución. Esto, porque como resulta obvio, el sujeto infractor no sería el mismo –respecto a las infracciones de la LOPD el responsable en su caso sería la operadora de telefonía, en tanto que el responsable penal de un eventual delito de usurpación de estado civil o estafa seria el tercero que se hubiera hecho pasar por el denunciante-. Tampoco el fundamente jurídico sería el mismo: Mientras el bien jurídico protegido por la LOPD es el derecho fundamental a la protección de datos personales el bien jurídico que se protege en los tipos penales cuya comisión investiga el Juzgado de Instrucción serían el estado civil y el patrimonio, respectivamente. Muy esclarecedora parece la Sentencia de la Audiencia Nacional de 27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la entrada en vigor de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 la LPACAP): “En este sentido el Art. 7 del Real Decreto 1398/1993, de 4 de agosto, se procedimiento para el ejercicio de la potestad sancionadora, únicamente prevé la suspensión del procedimiento administrativo cuando se verifique la existencia efectiva y real de un procedimiento penal, si se estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la infracción administrativa y la infracción penal que pudiera corresponder. No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta condicione directamente la decisión que haya de tomarse o que sea imprescindible para resolver, presupuestos que no concurren en el caso examinado, en el que existe una separación entre los hechos por los que se sanciona en la resolución ahora recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos, también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía (contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la facultad de disposición de sus datos personales por parte de su titular, por lo que tal objeción de la demandada ha de ser rechazada”. En consideración a lo expuesto no puede prosperar la cuestión previa planteada.” Por último, señalar que, conforme al artículo 16 de la LOPD, frente a las actuaciones contrarias a lo dispuesto en la LOPD y su Reglamento de desarrollo en relación con el ejercicio del derecho de acceso, el interesado podrá presentar reclamación ante la Agencia solicitando la Tutela del derecho que estime vulnerado. III En el recurso que nos ocupa se reiteran los hechos y argumentos expuestos en el escrito de denuncia. En relación con ellos la resolución impugnada hizo constar: <<III Corresponde indicar, en primer término, cuál es el marco normativo en el que han de valorarse los hechos expuestos en la denuncia. La LOPD consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone en su artículo 6, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 44.3.
- b)LOPD tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en la Ley y sus disposiciones de desarrollo”. El artículo 6 LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. Respecto a la carga de la prueba del consentimiento, la Audiencia Nacional, en diversas Sentencias, (por todas la SAN de 27 de enero de 2011, Rec 349/2009, Fundamento de Derecho Tercero), declara que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. La exigencia de responsabilidad sancionadora presupone la concurrencia del elemento subjetivo de la infracción, requisito esencial en tanto rige en nuestro Derecho sancionador el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A su vez, la Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”, “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Por tanto, a la luz de este precepto, la responsabilidad sancionadora puede exigirse a título de dolo como de culpa, siendo suficiente en este último caso la mera inobservancia del deber de cuidado. En la Sentencia de 17/10/2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone que “....el ilícito administrativo previsto en el artículo 44.3.
- d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) IV La denuncia que examinamos versa sobre el tratamiento de los datos personales del denunciante (nombre, apellidos y DNI) por TME, efectuado sin su consentimiento, y materializado en haber contratado a su nombre varias líneas de telefonía móvil: B.B.B. y E.E.E.. Cabe citar como prueba del tratamiento la factura de MOVISTAR que el denunciante aporta anexa a su denuncia. El tratamiento de los datos del denunciante por la denunciada se confirma también por medio de la documentación remitida por TME en respuesta al requerimiento informativo de la Inspección de Datos: Impresiones de pantalla de sus sistemas informáticos en las que constan el DNI, nombre y dos apellidos asociados a las líneas B.B.B. (I); B.B.B. (II) y E.E.E. (III). En todos los casos se atribuye al denunciante un domicilio en la provincia de G.G.G., unas veces en C.C.C. y otras en D.D.D.. En las impresiones de pantalla facilitadas las líneas indicadas se abrían dado de alta el 22/02/2016 (I), el 23/02/2016 (II) y el 24/02/2016 (III). Y se dieron de baja, respectivamente, el 03/05/2016, 03/03/2016 y 06/04/2016. Por otra parte, TME ha informado de que no existen deudas pendientes asociadas a las líneas móviles contratadas a nombre del denunciante. Es especialmente relevante el hecho de que TME haya remitido a la AEPD, a requerimiento de la Inspección de Datos, una copia del DNI del denunciante y la copia de tres contratos de servicios móviles Movistar. Los contratos aparecen firmados en el apartado destinado a “Firma Cliente” V Constatado el tratamiento llevado a cabo por TME de los datos personales del denunciante se ha de determinar si intervino culpa de la entidad denunciada o si ésta omitió la diligencia que era procedente, atendidas las circunstancias del caso, imprescindible para que la conducta analizada sea subsumible en el tipo infractor del artículo 44.3.
- b)LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Como se ha indicado, TME ha aportado una copia del DNI del denunciante y la copia de tres contratos relativos a cada una de las líneas móviles asociadas a él. Contratos que se encuentran debidamente firmados en el apartado de firma cliente. La documentación indicada pone de manifiesto que TME, con ocasión de la contratación de las líneas móviles, adoptó las medidas que eran procedentes para verificar la identidad de la persona que facilitó como suyos los datos personales del denunciante. Esta circunstancia -la diligencia desplegada por la operadora- priva a su conducta de la culpabilidad, imprescindible para poder exigir responsabilidad administrativa por conductas que en principio son antijurídicas. A ese respecto son muy esclarecedoras las siguientes SSAN: La de fecha 26/04/2002 (Rec. 895/2009) que expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la AEPD) También la SAN de 29/04/2010 que en su Fundamento Jurídico sexto, y a propósito de una contratación fraudulenta, indicó que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) En definitiva, por más que la conducta analizada pueda coincidir, a priori, con el tipo sancionador del artículo 44.3.
- b)LOPD, tal conducta no es merecedora de reproche o sanción administrativa al no apreciarse en ella falta de diligencia de la denunciada. A tenor de las reflexiones precedentes, habida cuenta de que en el presente caso se ha constatado que TME actuó con una diligencia razonable y adoptó las medidas que la contratación exige para garantizar la identidad del contratante, está ausente el elemento subjetivo de la infracción, por lo que ninguna responsabilidad sancionadora deriva de los hechos que se someten a la valoración de este organismo debiendo, en consecuencia, acordar el archivo de las actuaciones de investigación practicadas.>> IV A tenor de lo señalado, en tanto no se han invocado nuevos hechos ni argumentos jurídicos que permitan reconsiderar la resolución dictada, procede desestimar el presente recurso de reposición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la resolución de esta Agencia dictada con fecha 5 de junio de 2018, en el expediente de actuaciones previas de inspección E/05110/2017. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es