1/7 Procedimiento nº: E/05292/2013 ASUNTO: Recurso de Reposición Nº RR/00369/2014 Examinado el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05292/2013, y en base a los siguientes HECHOS PRIMERO: Con fecha 2 de abril de 2014, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/05292/2013, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en fecha 08/04/2014, según aviso de recibo que figura en el expediente. SEGUNDO: A.A.A. (en lo sucesivo la recurrente), ha presentado en fecha 07/05/2014, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en la vulneración de la LOPD en varios de sus artículos, la indefensión producida por la resolución emitida, la mala praxis de la empresa denunciada, la aceptación de dudosos medios probatorios, etc., y que se investigue a GNS por no haber cumplido los requisitos establecidos para el tratamiento de los datos personales de la recurrente. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II La resolución recurrida se fundamentaba en lo siguiente: “El artículo 6.1 y 2 de la LOD dispone que: ”
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “
- No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. III En cualquier caso, se hace preciso señalar que la Agencia Española de Protección de Datos no es el órgano competente para dirimir si la deuda reclamada por GNS al denunciante era correcta o no, ni su cuantía exacta con carácter definitivo e irrevocable, para eso están los tribunales de justicia en última instancia, aquí de orden civil; o como dice la sentencia de 3 de julio de 2007 de la Audiencia Nacional: “Otra cosa es que para ejercer su competencia (refiriéndose al Director de la Agencia) haya de realizar valoraciones fácticas o jurídicas cuya naturaleza podríamos calificar de prejudicial, y sobre las que no podría adoptar una decisión definitiva con efectos frente a terceros”. IV De la documentación obrante en el expediente se desprende ausencia del elemento subjetivo de culpabilidad necesario en la actuación de GNS para ejercer la potestad sancionadora. La denunciante ha manifestado que GNS le reclama una deuda a través de empresas dedicadas a gestionar recobros de impagados, vinculada a un contrato de suministro de dicha compañía con la que manifiesta no tener relación contractual. En el presente caso, se trata de una contratación telefónica en la que GNS aporta copia de la grabación realizada, fechada el 13/03/2012, donde se recoge la conversación mantenida entre un operador de la compañía y una mujer que se identifica como la denunciante, en la que aporta sus datos identificativos: nombre y apellidos, DNI, domicilio, nº de teléfono que al parecer coincide con el aportado por la denunciante en su escrito de denuncia y posteriormente otorga el consentimiento para la contratación. Todas estas circunstancias dotan a dicha contratación, por parte de la entidad denunciada, de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad necesario para ejercer la potestad sancionadora. Por tanto, no cabe apreciar culpabilidad alguna en la actuación de esta entidad, que actuaba en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal. También a través de la documentación aportada, se ha constatado la existencia de la deuda que ha resultado impagada derivada del contrato de suministro, aportándose los requerimientos de pago. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Se hace necesario indicar que el Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, en relación con el derecho a la presunción de inocencia y del principio de culpabilidad establece: “No puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta: que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. Respecto de la ausencia de culpabilidad, puede traerse a colación la SAN 29/10/2009, Rec. 797/2008 que, en un supuesto análogo al que nos ocupa, afirma que: “OCTAVO En cuanto al fondo, se alega que el 31 de octubre de 2003 quien dijo ser D.yyy y exhibió documentación que le acreditaba como tal adquirió bienes en el establecimiento Lamas Bolaño Subastas SA, pactando un pago fraccionado, haciendo efectivo el primer pago en el momento de la compra y generando un derecho de crédito a favor de la citada empresa por los restantes; que Lamas Bolaño cedió el derecho de crédito a la recurrente en el marco del contrato de afiliación que tenían suscrito, cesión a la que mostró su conformidad el citado Sr, autorizando la inclusión de sus datos personales en los ficheros de la entidad demandante. Ante el impago por parte de quien dijo ser D. yyy del resto de los pagos -prosigue la actora- y tras haberle requerido por escrito la deuda en el domicilio que constaba en el documento de compra, se incluyeron sus datos en los ficheros Asnef y Badexcug, sin que ni en el momento de la contratación ni en el de la inclusión de sus datos en los ficheros existiera circunstancia alguna que pudiera hacer pensar que se tratara de una operación irregular” Por tanto, GNS ha actuado con una razonable diligencia adoptando las medidas adecuadas tendentes a verificar la identidad de la persona con la que contrataba y, ante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 la deuda impagada, el envío de requerimientos previos de pago exigiendo su abono. En este mismo sentido hay que hacer mención a la Sentencia de la Audiencia Nacional 29/04/2010, Rec. 700/2009, que indica lo siguiente: “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el catálogo de infracciones previstas y sancionadas en el Título VII de la LOPD. III En relación con las alegaciones formuladas por la recurrente en su escrito de recurso: En primer lugar, en cuanto a la afirmación de la aceptación de dudosos medios probatorios por parte de este organismo como es la grabación de la contratación a través de un medio como el teléfono, se le informa a la denunciante que el sistema de contratación telefónica es un método válido y admitido en derecho del que se ocupa el Real Decreto 1906/1999, por el que se regula la contratación telefónica o electrónica con condiciones generales, en desarrollo del artículo 5.3 de la Ley 7/1998, de 13 de abril, de condiciones generales de la contratación. El artículo 5.3 de la citada Ley 7/1998 establece que “en los casos de contratación telefónica o electrónica será necesario que conste en los términos que reglamentariamente se establezcan la aceptación de todas y cada una de las cláusulas del contrato, sin necesidad de firma convencional. En este supuesto, se enviará inmediatamente al consumidor justificación escrita de la contratación efectuada, donde constarán todos los términos de la misma”. Por otra parte, la sentencia de la Audiencia Nacional de 21/12/2001 establece que: “…. de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D…. (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Es decir,.. debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/
- Y nada de esto ha sucedido”. En el presente caso, como ya se señalaba en la resolución recurrida GNS ha aportado copia de un CD que contienen la grabación de la conversación telefónica mantenida con una persona que se identifica como la denunciante aportando sus datos identificativos: nombre, apellidos, DNI, dirección de contratación del servicio que coincide con el domicilio, el nº de teléfono que coincide con el aportado por la denunciante en su escrito de denuncia; se le informa de las condiciones de la contratación; que sus datos serán tratados e incluidos en ficheros de la entidad, etc, también se le informa de los derechos de acceso, rectificación, cancelación y oposición de conformidad con lo establecido en la LOPD; la supuesta contratante otorga su consentimiento a la contratación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 La valoración que merece el documento sonoro aportado por GNS es la de que la entidad ha actuado con razonable diligencia, observando las normas que regulan el consentimiento verbal en la contratación a distancia. Como también se señalaba en la resolución recurrida la Audiencia Nacional en sentencia de 29/04/2010, Rec. 700/2009, ha indicado que: “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación”. También GNS aporta copia en catalán del contrato de servicio, primera contratación, sin fecha y cuya firma parece coincidir con la de la denunciante. En segundo lugar, en cuanto a la cesión irregular de sus datos de carácter personal sin su consentimiento a empresas dedicadas a la gestión de recobro de deudas, El artículo
- i) de la citada norma define la “cesión o comunicación de datos” como “toda revelación de datos realizada a una persona distinta del interesado”. No obstante lo anterior, la propia LOPD habilita, en su artículo 12, el acceso de terceros a los datos personales cuando el acceso a los datos se realice para prestar un servicio al responsable del fichero o del tratamiento, al señalar en su apartado 1: “
- No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.” Como señala la Sentencia de la Audiencia Nacional de 20 de septiembre de 2002 (JUR/2003/49995), “existe encargo de tratamiento cuando la transmisión o cesión de los datos está amparada en la prestación de un servicio que el responsable del tratamiento recibe de una empresa externa o ajena a su propia organización, y que le ayuda en el cumplimiento de la finalidad del tratamiento de datos consentida por el afectado.” Por tanto, sería de aplicación a las empresas terceras dedicadas al recobro de deudas el régimen establecido en el artículo 12 de la Ley Orgánica 15/1999 y en el Capítulo III del Título II del Reglamento de la LOLPD, que lo desarrolla. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 2 de abril de 2014, en el expediente de actuaciones previas de inspección E/05292/
- SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es