REPOSICION-PS-00271-2014B

1/5 Procedimiento nº.: PS/00271/2014 ASUNTO: Recurso de Reposición Nº RR/00005/2015 Examinado el recurso de reposición interpuesto por la entidad Centro de Seguros y Servicios Correduira de Seguros S.A., Grupo El Corte Ingles contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00271/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 17 de noviembre de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00271/2014 , en virtud de la cual se imponía a la entidad Centro de Seguros y Servicios Correduría de Seguros S.A., Grupo El Corte Ingles, una sanción de 15.000 €, por la vulneración de lo dispuesto en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3 b), de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 19 de noviembre de 2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00271/2014, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS PRIMERO: El denunciante causo alta en los sistemas de ECI en fecha de 16/09/1980 como titular de la Tarjeta de Compra. (Folio 38 y 62) SEGUNDO: Según manifiestan los representantes de ECI, (…), hasta el año 1996, la tarjeta de compras de “El Corte Inglés” era emitida por EL CORTE INGLES, SA, y los titulares estas tarjetas suscribían el contrato con dicha entidad. A partir de mayo de 1997 FINANCIERA EL CORTE INGLES EFC SA emite su propia tarjeta, pasando los clientes preexistentes a dicha sociedad por bloques, en distintas fechas. Todos los clientes que pasaron de EL CORTE INGLES, SA a FINANCIERA EL CORTE INGLES EFC SA fueron informados por carta de la subrogación de derechos y obligaciones que se produjo.(…) TERCERO: Según consta en la carta de 25/10/2004 remitida conjuntamente por ECI y Financiera ECI al denunciante en la que se comunica la subrogación de las entidades se informa de (…) La prestación de este nuevo servicio requiere del conocimiento de los datos obrantes en su contrato de Tarjeta, si bien la identidad de las personas y fines dentro del Grupo EL CORTE INGLES no supone el acceso a los mismos por parte de ningún tercero ajeno a la relación contractual.(…) (folio 63) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 CUARTO: Según consta en la cláusula 23 de las Condiciones Generales de Utilización de la Tarjeta El Corte Ingles, denominada CONFIDENCIALIDAD DE LOS DATOS apartado A (…) los titulares autorizan expresamente a la FINANCIERA para que los datos contenidos en este contrato y cuantos se obtengan en el desarrollo normal del mismo, sean cedidos a dichas empresas con la finalidad de facilitar las operaciones comerciales, así como para efectuar estudios de mercado propios (…) (folio 26) QUINTO: El Corte Ingles S.A., actúa como encargado del tratamiento de Financiera ECI. SEXTO: El denunciante manifiesta que en fecha de 21/05/2013 recibió una llamada de la Aseguradora de El Corte Ingles. En la Inspección realizada en las dependencias de ECI, se constata tras consultar el registro de las extracciones realizadas de la base de datos de Marketing, que en fecha de 17/05/2013, Financiera ECI cedió un fichero con datos personales entre los que se encontraban los del denunciante a Aseguradora ECI. (Folio 49) TERCERO: Centro de Seguros y Servicios Correduira de Seguros S.A., Grupo El Corte Ingles ha presentado en fecha 19 de diciembre de 2014 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones formuladas durante el procedimiento sancionador de referencia, señalando que la valoración de prueba indiciaria es errónea ya que el único hecho probado es la entrega por parte de la Financiera ECI a la recurrente del fichero extraído de la base de datos de marketing, sin que se haya acreditado la llamada realizada al denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por Centro de Seguros y Servicios Correduira de Seguros S.A., Grupo El Corte Ingles, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en el Fundamentos de Derecho del III, de la Resolución recurrida, tal como se transcribe a continuación: <<III En cuanto a los hechos imputados a Aseguradora ECI, consistentes en el tratamiento de los datos personales del denunciante para realizaciones de acciones de marketing, y que supone la vulneración del art. 6 de la LOPD, cabe señalar en primer lugar, frente a lo que alega la denunciada, que el concepto de tratamiento consta en el art. 3 de la LOPD que considera como tal: operaciones y procedimientos técnicos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. Es decir, la mera tenencia de un fichero con los datos del denunciante que le hagan identificable, supone el tratamiento de los datos personales de éste. La Sentencias de la Audiencia Nacional de 27 de abril de 2003 y de 9 de noviembre de 2005, consideraron constitutivo de tratamiento de datos, en primer lugar, el simple hecho de figurar en la base de datos de una compañía de seguros durante al menos un mes el número de cuenta corriente de una persona física, y en segundo lugar, la incorporación a un ficheros de los datos de cuenta bancaria de una persona, junto con su nombre y apellidos, y aun de forma temporal implica un tratamiento de datos personales sujeto a la LOPD, pues aquellos datos permiten identificar a una persona y si dicha conducta se realiza sin consentimiento se comete la infracción grave. En el sentido apuntado recuérdese que en los folios 43 a 47 relativos a las capturas de pantalla de la base de datos comunicada a Aseguradora ECI, constan los datos relativos al nº de tarjeta ECI, así como el nombre y apellidos, la dirección, el teléfono, la fecha de nacimiento, el estado civil. Por tanto, de acuerdo con la definición del art. 3 LOPD y con la jurisprudencia citada, estamos ante un tratamiento de datos personales, sin perjuicio del hecho en sí de la realización de la llamada que a continuación se analiza: Resulta acreditado que la Aseguradora ECI recibió un fichero de Financiera ECI extraído de las bases de datos de Marketing en fecha de 17/05/2013 y la llamada que afirma el denunciante que se produjo fue en fecha de 20/05/2013, por lo que con estos elementos de juicio conviene reseñar la virtualidad de la prueba indiciaria, cuya admisión en el procedimiento administrativo sancionador se admite en la Sentencia del Tribunal Constitucional núm. 45/1997 (Sala Primera), de 11 de marzo (RTC 1997,45). Así los requisitos necesarios para su admisión vienen desarrollados, con cita de la doctrina del Tribunal Supremo, por la Sentencia del TSJ de Andalucía, núm. 255/2003 de 27 de enero, que dice: “Sobre ella precisar que la jurisprudencia constitucional y la de la Sala 2ª del TS han perfilado los requisitos necesarios para que la prueba indiciaria pueda ser apreciada como tal y que pueden resumirse en los siguientes extremos: 1º- Que el hecho base no se único, pues uno solo podría inducir a error – STC núm. 111/1990 de 18 de junio (RTC1990, 111); 2º- Que estos hechos estén directamente acreditados – SSTS de 18 y24 de enero de 1991 ( RJ 1991,282)- ; y 3º Que la inferencia no quebrante las reglas de la lógica, de otra disciplina o de la experiencia general – STC 107/1989 de 8 de junio y 510/1989 de 10 de marzo ( RTC 1985,510) …………” De lo expuesto se deduce que Aseguradora ECI sometió a tratamiento los datos personales del denunciante, tanto en la recogida y tenencia del fichero, como en la utilización para acciones de marketing. El artículo 6.1 y 2 de la LOPD, determina: “

1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.
2. No será preciso el consentimiento cuando los datos de carácter personal se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El art. 12 del Real Decreto 1720/2007, que desarrolla la LOPD, señala “corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. En este sentido, a quien realiza el tratamiento, le compete guardar prueba de que cuenta con el consentimiento del afectado , así tal como se recoge ut supra la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” Acreditado el tratamiento de datos personales del denunciante, Aseguradora ECI no ha presentado ninguna prueba que pueda evidenciar que contaban con su consentimiento, o que el primero actuaba al margen las instrucciones o contrato que suscribió con el último, así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/
3. Y nada de esto ha sucedido”. Los datos personales del denunciante fueron tratados por Aseguradora ECI, sin poder acreditar ninguna circunstancia que legitime dicho tratamiento de datos, por tanto la actuación de esta entidad no encuentra cobertura en ningún supuesto a la excepción a la prestación del consentimiento que recoge el artículo 6.2 de la LOPD, considerando vulnerado dicho precepto>> Asimismo debe recordarse lo que se señala en la jurisprudencia transcrita ut supra, en relación a la consideración del concepto de tratamiento en cuanto a la mera tenencia de los datos que identifiquen a una persona física incorporados a un fichero del que es responsable el recurrente, es decir, existe prueba directa y no indiciaria del tratamiento de datos personales del denunciante por parte del recurrente. Siendo únicamente de aplicación la interpretación indiciaria de los hechos respecto del acaecimiento de la llamada de carácter comercial. Por lo expuesto las alegaciones realizadas por Centro de Seguros y Servicios Correduría de Seguros S.A., Grupo El Corte Ingles relativas a la errónea valoración de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 prueba han de ser desestimadas. III Por lo tanto, en el presente recurso de reposición, Centro de Seguros y Servicios Correduira de Seguros S.A., Grupo El Corte Ingles no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Centro de Seguros y Servicios Correduira de Seguros S.A., Grupo El Corte Ingles contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 17 de noviembre de 2014, en el procedimiento sancionador PS/00271/
4. SEGUNDO: NOTIFICAR la presente resolución a la entidad Centro de Seguros y Servicios Correduira de Seguros S.A., Grupo El Corte Ingles. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es