1/4 Procedimiento nº.: E/05731/2015 ASUNTO: Recurso de Reposición Nº RR/00431/2016 Examinado el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05731/2015, y en base a los siguientes HECHOS PRIMERO: Con fecha 17 de mayo de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05731/2015, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en fecha 23/05/2016, según aviso de recibo que figura en el expediente. SEGUNDO: A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 23 de junio de 2016, recurso de reposición, fundamentándolo básicamente en la cesión ilícita de datos personales sin su consentimiento, contraviniendo lo previsto en los artículos 5 y 6 de la LOPD, que regulan el derecho a la información y consentimiento, en relación con el artículo 11 y 44.3 k de ese mismo texto legal. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por A.A.A., reiterándose básicamente, en las alegaciones ya presentadas en su escrito de denuncia, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la Resolución recurrida, tal como se transcribe a continuación: “En el caso que nos ocupa, debemos destacar que el artículo 6.1 y 2 de la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal (en adelante LOPD) dispone que: ”
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “
- No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Respecto a los tipos de consentimiento, cabe destacar que tal y como manifiesta la SAN de 14 de mayo de 2015 en el recurso contencioso administrativo 249/2014 en su fundamento segundo: “El artículo 3 h) de la LOPD, define el “consentimiento del interesado” como toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen. (…) Ahora bien, tal y como ha expresado esta sala reiteradamente, entre otras en sentencia de 28 de febrero de 2007, Rec. 236/2005, el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. (…) Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, así ya las SAN, Sec. 1ª, de 1-2-2006 (Rec. 250/2004) y 20-9-2006 (Rec. 626/2004), señalan que la LOPD no exige que dicho consentimiento “inequívoco” se manifieste de forma expresa ni por escrito, requisitos que si prevé en cambio para el caso de tratamiento de datos muy concretos, como los especialmente protegidos (art. 7 LOPD) en los que si se exige, bien el consentimiento expreso y por escrito del afectado (art. 7.2) o sólo expreso (art. 7.3) según sean los datos sensibles objeto de tratamiento. Por lo expuesto, el consentimiento se puede producir de forma expresa (oral o escrita) o por actos reiterados del afectado que revele que efectivamente ha dado ese consentimiento con los requisitos expuestos, consentimiento tácito.” La LOPD habla de necesidad de consentimiento expreso y por escrito en el artículo 7 que regula los datos especialmente protegidos, es decir aquellos datos de carácter personal que revelen la ideología, afiliación sindical, religión y creencias, o bien aquellos que hagan referencia al origen racial, a la salud y a la vida sexual. Es por ello, que si el legislador hubiera considerado que el consentimiento hubiera de ser siempre expreso no habría distinguido entre diversas clases de supuestos o modalidades para prestarlo. En este sentido, el Tribunal Supremo, en varias sentencias, interpreta que: ...”fuera de los casos en que la Ley exige una declaración expresa, el consentimiento en los negocios jurídicos puede ser prestado en forma tácita.” Por tanto, el consentimiento tácito es válido, siempre y cuando no se trate de datos especialmente protegidos, como ocurre en el caso que nos ocupa. De hecho, de las actuaciones realizadas por parte del denunciante se presume la existencia de su consentimiento, puesto que, de las manifestaciones realizadas en su denuncia así como de la documentación que aporta con la misma, se desprende la existencia de una relación contractual con CAIXABANK y la entidad SEGURCAIXA ADESLAS S.A. DE SEGUROS Y REASEGUROS. Esto es así debido a la constancia de facturas pagadas, del año 2012 al 2015, relativas al contrato de seguro objeto de denuncia, todas ellas con anterioridad a que el denunciante efectuase la pertinente reclamación. Así pues, de las citadas circunstancias se deduce la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 existencia de un consentimiento tácito por su parte. Al hilo de lo expuesto, cabe mencionar la SAN de fecha 20/09/2006 que dispone lo siguiente: “Por lo tanto, este tipo de consentimiento se puede producir de forma verbal o por actos reiterados del afectado que revelen que, efectivamente, ha dado ese consentimiento con los requisitos expuestos, es decir, por actos presuntos o tácitos(…) El dato esencial, a criterio de este Tribunal, para dilucidar si en el presente caso, efectivamente, ha existido o no ese consentimiento tácito, es el hecho no controvertido de que al interesado se le cargaron las facturas en la nueva cuenta y se le remitieron los recibos al nuevo domicilio (ambos del mismo) durante, al menos un año, y siempre referidos a ese mismo concepto de facturación por suministro eléctrico de su casa situada en una localidad de Sevilla(…) habiendo, al parecer, dicho interesado abonado durante todo ese tiempo esos recibos, y sin que alegara durante ese mismo tiempo nada sobre dichos cambios. Obviamente, ese prolongado plazo de tiempo admitiendo estos cargos en la nueva cuenta y recibiendo esas facturas en el nuevo domicilio, supone un claro caso de consentimiento tácito por parte de dicho interesado respecto al cambio operado en el tratamiento inicial de sus datos personales, constituyendo, además, un consentimiento inequívoco, en el sentido de haber sido manifestado libremente y sin lugar a dudas,(…) dicho interesado, de forma reiterada (se está hablando de un año), tiene conocimiento de los cargos en la nueva cuenta y de las facturas remitidas al nuevo domicilio, sin que en todo ese tiempo nada hiciera para demostrar su desacuerdo(…)dicho afectado consintió tácitamente estos cambios por medio de los expresados actos que se reiteraron durante un prolongado plazo de tiempo . Todo lo cual ha de llevar a concluir que la actora no ha vulnerado el referido art. 6.1 de la LOPD, pues no se ha acreditado que esa parte hubiera tratado datos de carácter personal.” Asimismo, en el mismo sentido se manifiesta la SAN 15/07/2010: “…la designación de una cuenta bancaria que el Sr ***NOMBRE.1 no niega que sea la suya y a la que se han remitido los recibos de la operación de las que las 6 primeras fueron abonadas sin incidencia alguna. (…)Consta también en dichos registros el abono de una serie de cuotas (hasta un total de 11) por parte del denunciante, extremo que no cuestiona la resolución recurrida y el impago de otras(…) La Sala valorando el citado material probatorio y a la vista de las circunstancias concurrentes expuestas, considera que en el ámbito sancionador de protección de datos en que nos hallamos, ha quedado acreditado la existencia del consentimiento tácito del denunciante para el tratamiento de sus datos de carácter personal en relación con la operación de financiación en cuestión por parte de la entidad recurrente. Consentimiento puesto de relieve por el abono de hasta 11 cuotas del préstamo en cuestión.” Por último, debemos señalar que, esta Agencia no es competente para dirimir cuestiones civiles, tales como las relativas a la validez civil o mercantil del contrato, la exactitud de la cuantía de la deuda, la existencia de irregularidades en la facturación, la correcta prestación de los servicios contratados o la interpretación de cláusulas contractuales, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para el tratamiento de los datos, pero sin realizar indagaciones propias de la esfera civil. La determinación de las citadas circunstancias, deberá instarse ante los órganos administrativos o judiciales competentes, al exceder del ámbito competencial de esta Agencia.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 En el presente caso, se denuncia la cesión ilícita de datos personales sin su consentimiento, considerando la infracción de los artículos 5 y 6 de la LOPD, que regulan el derecho a la información y consentimiento, en relación con el artículo 11 y 44.3 k de ese mismo texto legal. Sin embargo no se han aportado documentos de los que se desprenda la vulneración de la normativa de protección de datos, distintos a los ya analizados y desestimados en su escrito de denuncia. III Por lo tanto, vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 17 de mayo de 2016, en el expediente de actuaciones previas de inspección E/05731/
- SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es