1/6 Procedimiento nº.: E/07917/2013 ASUNTO: Recurso de Reposición Nº RR/00450/2014 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/07917/2013 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 26 de mayo de 2014 se dictó resolución por el Director de la Agencia Española de Protección de Datos (AEPD) en el expediente de actuaciones previas de inspección E/07917/2013, procediéndose al archivo de las actuaciones al estimar que la conducta denunciada estaba amparada en el artículo 6.1 de la LOPD pues la entidad denunciada había actuado con la diligencia que era exigible, de modo que faltaba el elemento subjetivo de la infracción, esencial para exigir responsabilidad en el ámbito Administrativo sancionador. Dicha resolución fue notificada al recurrente en fecha 03/06/2014, tal y como lo acredita el acuse de recibo que obra en el expediente. SEGUNDO: A.A.A. (en lo sucesivo el recurrente) ha presentado en la AEPD, en fecha 03/06/2014, recurso de reposición, fundamentándolo en los siguientes argumentos: Considera que la resolución de archivo de su denuncia se apoya en un “falso supuesto” como es entender que “la cuenta dada de alta en el portal BANKIMIA.com no es mi cuenta de correo por diferenciarse en un punto a la cuenta dada de alta en dicho portal” y añade que “Gmail ignora los puntos utilizados para separar palabras”. Expone también que “el proceso de ALTA al portal de BANKIMIA supone la confirmación de datos a través de la recepción de un correo electrónico” y concluye que “De esta forma, para confirmar el proceso de ALTA el Sr. “B.B.B.” ha tenido necesariamente que acceder a mi cuenta de correo”. Finaliza recomendado que se revisen las Actuaciones Previas de inspección dado que “la usurpación de identidad es un delito”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 II En respuesta a los argumentos que el recurrente esgrime en su recurso cabe indicar lo siguiente: A) El recurrente considera que la resolución de archivo de su denuncia se ha fundado en un “falso supuesto” -que “la cuenta dada de alta en el portal BANKIMIA.com no es mi cuenta de correo por diferenciarse en un punto a la cuenta dada de alta en dicho portal”- y añade que “Gmail ignora los puntos utilizados para separar palabras”. Conviene precisar que efectivamente Gmail no distingue los puntos que separan las palabras, lo cual no es óbice para que, como se hizo constar en la resolución impugnada, indiquemos que BANKIMIA envió el mail a la dirección ....1@gmail.com (pues ésta es la que consta en el documento que el denunciante nos aportó) y que los inspectores verificaran durante su inspección que no existían en los ficheros de la entidad denunciada datos asociados a ....2@gmail.com y sí los había vinculados a la dirección ....1@gmail.com. Ahora bien, como se puede comprobar de la lectura de la resolución impugnada el archivo de las actuaciones de investigación fue consecuencia de haber constatado la Inspección de la AEPD que el tratamiento del dato relativo a la dirección electrónica ....1@gmail.com (dirección electrónica que aparecía como destinataria del mail enviado por BANKIMIA, del que el denunciante remitió copia a este organismo con su escrito de denuncia) era legítimo, dado que esta entidad había obtenido el consentimiento inequívoco de quien se presentó como titular de la dirección electrónica y cumplimentó el formulario de alta el 26/11/2013 desde la dirección IP ***IP.1, facilitando el nombre y apellido de B.B.B. y el número de teléfono ***TEL.1. La circunstancia de que quien se dio de alta en esa página web y consintió el tratamiento del dato relativo a la dirección electrónica ....1@gmail.com no fuera, supuestamente, el denunciante y actual recurrente sino, según parece, un tercero, no debe traducirse en que la conducta de BANKIMIA sometida a la valoración de la AEPD sea merecedora de sanción. Como se pudo constatar durante las actuaciones inspectoras BANKIMIA obró, con ocasión de la recogida y tratamiento de los datos –en particular de la dirección electrónica destinataria del mail-, con la diligencia que era procedente atendidas las circunstancias del caso y el estado de la técnica y dio de baja la citada dirección para su tratamiento con fines comerciales cuando el denunciante lo solicitó; de forma tal que no concurre en su conducta el elemento subjetivo de la infracción cuya presencia es esencial para exigir responsabilidad en el ámbito del Derecho Administrativo Sancionador. Se reproducen para mayor claridad los Fundamentos II y III de la resolución impugnada: << II La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone en su artículo 6, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del titular o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento del titular constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7, primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. La LOPD ofrece en su artículo 3.
- h)una definición legal de consentimiento como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. La Ley Orgánica no exige que el consentimiento del titular de los datos revista una forma determinada, pudiendo otorgarse de forma expresa e incluso presunta, pero sí se requiere que sea inequívoco; esto es, que no admita duda o equivocación. III En el presente caso, a tenor de la documentación que el denunciante remitió a la AEPD con su escrito de denuncia, ha quedado acreditado que BAKIMIA le envió una comunicación en la que le indicaba que había intentado ponerse en contacto con él con motivo de una solicitud de información que realizó en www.bankimia.com referente a un préstamo. Respecto al correo electrónico que el denunciante recibió de BANKIMIA -correo electrónico que ha dado origen a esta denuncia- es especialmente relevante destacar que la dirección electrónica a la que se hizo el envío (como lo prueba la copia del correo electrónico que el denunciante aporta) fue la siguiente: ....1@gmail.com. Esto significa que, en contra de lo que el denunciante afirma, la dirección electrónica a la que BANKIMIA dirigió ese mensaje electrónico no era ....2@gmail.com, pues no incluía un punto entre “***NOMBRE.1” y “***NOMBRE.2”. La inspección efectuada por la AEPD en BANKIMIA confirmó que no existían datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 de usuarios asociados a la dirección de correo ....2@gmail.com. No obstante, los inspectores de la AEPD verificaron que sí existían datos de usuarios asociados a la siguiente dirección: ....1@gmail.com. Que es, precisamente, la dirección electrónica a la que BANKIMIA envió el correo electrónico que ha motivado esta denuncia. Se comprueba, asimismo, que desde la dirección IP ***IP.2, el día 26/11/2013, a las 15:22 horas –un día antes de que el denunciante recibiera la comunicación sobre la que versa su denuncia- consta un alta en la página web www.bankimia.com . La documentación recabada durante la inspección practicada demuestra que la persona que cumplimentó el boletín de alta en la citada página web se interesó por el producto “Tarjeta Citi” y facilitó los siguientes datos: la dirección electrónica ....1@gmail.com; el nombre de B.B.B. y el número de teléfono ***TEL.1. Igualmente se verifica que en el fichero histórico de clientes al que se accede a través de esa dirección electrónica (....1@gmail.com) existe referencia a la dirección ....2@gmail.com., desde la que se intercambiaron correos electrónicos con ....@bankimia.com De lo expuesto se concluye que el tratamiento que BANKIMIA ha hecho de la dirección electrónica ....1@gmail.com , tratamiento materializado en el envío de un correo electrónico el 27/11/2013, es plenamente legítimo y no vulnera la LOPD, pues el tratamiento está amparado en el consentimiento otorgado por quien gestionó el alta en la página web www.bankimia.com, al haberlo facilitado cuando cumplimentó el boletín de alta (artículo 6.1 LOPD). La inspección practicada en la sede de BANKIMIA permite afirmar que, en el presente caso, la denunciada ha obrado con diligencia, pues ha seguido en la gestión del alta del usuario a través de su página web un protocolo correcto encaminado a acreditar la identidad de la persona que solicita la información de un producto y, al tiempo, consiente – toda vez que los facilita voluntariamente- que se traten los datos que facilita como suyos a través de la cumplimentación del boletín de alta. Esta circunstancia dota al consentimiento otorgado para tratar los datos con los que el usuario se registra una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad, cuya concurrencia es necesaria para que pueda exigirse responsabilidad en el marco del Derecho Administrativo sancionador. En consecuencia, no cabe apreciar culpabilidad alguna en la actuación de BANKIMIA, que trató los datos personales del usuario que se dio de alta el 26/11/2013 en su página web en la creencia de que esa persona era quien decía ser y era el titular de los datos que facilitó como suyos, entre ellos, y por lo que aquí interesa, la dirección electrónica ....1@gmail.com Muy esclarecedora es, en este sentido, la SAN de 26 de abril de 2002 (Rec 895/20009 en la que la Audiencia expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la Agencia) A tenor de las reflexiones precedentes no se advierte incumplimiento alguno de la normativa de protección de datos del que BANKIMIA deba responder, pues la documentación que obra en el expediente evidencia que la denunciada actuó con la diligencia que era procedente, la diligencia que las circunstancias del caso y el desarrollo de su actividad profesional aconsejan, lo que excluye la presencia del elemento subjetivo de la infracción. En consecuencia, a la luz de la documentación que obra en el expediente, procede el archivo de las presentes actuaciones previas de investigación toda vez que la conducta de la denunciada, BANKIMIA, fue respetuosa con las disposiciones de la LOPD.>> B) El recurrente alega que “el proceso de ALTA al portal de BANKIMIA supone la confirmación de datos a través de la recepción de un correo electrónico” y concluye que “De esta forma, para confirmar el proceso de ALTA el Sr. “B.B.B.” ha tenido necesariamente que acceder a mi cuenta de correo”. A este respecto basta indicar que de las investigaciones realizadas por la Inspección de la AEPD no se han obtenido indicios de los que se infiera que BANKIMIA remita un correo de confirmación y que en el correo electrónico que el denunciante recibió de BANKIMIA se indica “No hemos podido contactar contigo por teléfono”. Por lo que respecta a la recomendación que el recurrente dirige a la AEPD para que se revisen las Actuaciones Previas de inspección dado que “la usurpación de identidad es un delito” le comunicamos que no es competencia de la AEPD el esclarecimiento y valoración de las conductas punibles sino exclusivamente las que le atribuye la Ley Orgánica 15/1999 que en su artículo 37
- a)se refiere, en particular, a la función de “velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación”. III Por tanto, dado que en el presente recurso de reposición no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 26/05/2014, en el expediente de actuaciones previas de inspección E/07917/2013. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es