1/11 Procedimiento nº.: PS/00611/2014 ASUNTO: Recurso de Reposición Nº RR/00490/2015 Examinado el recurso de reposición interpuesto por la entidad XFERA MÓVILES SA contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00611/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 22 de abril de 2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00611/2014 , en virtud de la cual se imponía a la entidad XFERA MOVILES S.A. (YOIGO), una sanción de 20.000 €, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 28/04/2015, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00611/2014, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO: En fecha 22/11/2012 tuvo entrada en la AEPD escrito presentado por el denunciante en el que denuncia a YOIGO manifestando que le han realizado una portabilidad en su nombre sin su consentimiento. Que en fecha 06/04/2013 suscribió con VODAFONE un Contrato de Servicios de Comunicaciones Móviles Pospago, de la línea D.D.D.. Que el día 17/04/2013 recibió un mensaje de la compañía YOIGO indicándole que la portabilidad a dicha operadora estaba en marcha. Que ese mismo día, unos minutos después, recibió un mensaje de la compañía VODAFONE indicándole que su portabilidad estaba en marcha y que como no había realizado dicha operación pensó que se trataba de un error. Que el día 20/04/2013 recibió otro mensaje de la compañía YOIGO indicándole que a partir del día 23/05/2013 pertenecería a su compañía y el día 28/05/2013 la compañía VODAFONE le cortó la tarifa de datos y le informa que se había realizado una portabilidad. Que YOIGO le informa que se ha realizado, desde internet, una portabilidad de la tarifa de datos, además, se había dado de alta la línea de teléfono D.D.D. y que el teléfono móvil junto con la tarjeta SIM se enviaron a la dirección B.B.B. en Almería (folios 1-5) SEGUNDO: El denunciante formalizó denuncia por los hechos citados en la Comisaría de Policía de Zaragoza el 01/06/2013 (folios 2-5) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 TERCERO: El denunciante es titular del DNI ***DNI.1 y tiene domicilio en C/ A.A.A. (folios 3-6) CUARTO: El denunciante era titular de un servicio de datos de la línea D.D.D. con el operador VODAFONE contratado el 06/04/2013 y domiciliado en C/ A.A.A. (folios 7-12) QUINTO: Los datos del denunciante figuraban en los sistemas de la denunciada como titular de la línea D.D.D., contratada a través de la página web de YOIGO en fecha 17/05/2013, con efectos de 23/05/2013 (portabilidad desde VODAFONE) y baja en fecha 11/06/2013. Figura como domicilio B.B.B. en Almería y la cuenta corriente en la localidad de Barcelona YOIGO no aporta copia del contrato o algún medio de acreditación de la identidad de la persona que contrata. (folios 19-25) SEXTO: YOIGO emitió al denunciante factura de fecha 01/06/2013 de la línea D.D.D. por importe de 76,96 € que fue anulada el 12/06/2013 (folios 26-30) SEPTIMO: En los sistemas de YOIGO constan comunicación del denunciante de fecha 05/06/2013 en la que pone de manifiesto a YOIGO que se ha suplantado su identidad para efectuar la portabilidad de su línea D.D.D., así como resolución del caso cancelando la línea y anulando la factura en fecha 11/06/2013 (folios 31-34)” TERCERO: XFERA MOVILES S.A. (YOIGO) ha presentado en fecha 28/05/2015 en el servicio de correos, con fecha de entrada 03/06/2015 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones referidas en el procedimiento sancionador en relación con la gradaución de la sanción impuesta. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por XFERA MOVILES, S.A. (YOIGO), reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al IV ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: “II Se imputa a YOIGO el tratamiento sin consentimiento de los datos personales del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 denunciante. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular”. En este punto pprocede hacer las siguientes consideraciones: A) El artículo 6 de la Ley Orgánica 15/1999 consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos, que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La LOPD recoge en diversos artículos un catálogo cerrado de excepciones al principio del consentimiento o autodeterminación del afectado en el tratamiento de sus datos y, entre esas excepciones, contempla a quienes son parte de una relación contractual siempre que el tratamiento sea necesario para el mantenimiento o cumplimiento del contrato, quedando acotada la dispensa del consentimiento al tratamiento necesario para tal fin. Son pues elementos característicos de este derecho fundamental, los derechos del afectado a consentir la recogida y el uso de sus datos personales y a saber de los mismos. Respecto a la carga de la prueba del consentimiento, la Audiencia Nacional, en diversas Sentencias, (por todas la STAN de 27 de enero de 2011, Rec 349/2009, Fundamento de Derecho Tercero), declara que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 B) De acuerdo con las disposiciones trascritas en esta Resolución, el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). En el supuesto que nos ocupa ha quedado probado que en los ficheros de YOIGO los datos personales del denunciante – nombre, dos apellidos y NIF – figuraban asociados a la línea D.D.D. dada de alta el 23/05/2013 (solicitud de portabilidad efectuada en fecha 17/05/2013) y baja el 12/06/2013 por fraude. Paralelamente constituye un hecho probado que el denunciante ha manifestado tanto en la denuncia formulada ante la AEPD, como en la presentada en la Comisaría de Policía que no contrató dicha línea con YOIGO y que se había suplantado su identidad para efectuar dicha contratación. En el mismo sentido constituye un hecho probado que YOIGO giró una factura de 76,93 €, a consecuencia del servicio prestado por la línea controvertida, vinculada a los datos personales del denunciante. Pues bien, el núcleo de la controversia consiste en determinar si la operadora contaba, para el tratamiento efectuado, con el consentimiento inequívoco del titular de los datos, o si, al menos, YOIGO había adoptado con ocasión de la contratación de la línea las medidas que exige la diligencia que está obligada a observar en el desarrollo de su actividad con el fin de acreditar que la persona de quien recabó y obtuvo el consentimiento para el tratamiento de los datos personales era su titular. Única hipótesis en la que el tratamiento de datos del denunciante que YOIGO ha venido efectuando tendría amparo legal. Con este propósito se solicitó a YOIGO durante las actuaciones previas de inspección que remitiera a la Agencia “copia de los contratos suscritos por el afectado, incluyendo condiciones generales y particulares aplicables”. La operadora respondió textualmente “La contratación se realizó a través de la página web www.yoigo.com., por lo que no se dispone de contrato escrito. Se aporta copia de pantallazos de los sistemas de YOIGO que reflejan las comunicaciones efectuadas por el Sr. Mejino, así como las acciones llevadas a cabo por YOIGO” YOIGO aportó impresiones de pantalla con toda la información concerniente a los datos personales del cliente, al pedido, tipo de entrega, datos bancarios, y datos de pago. Pues bien, tales documentos únicamente acreditan que YOIGO estaba en posesión de determinados datos personales de la denunciante (nombre y apellidos y número de NIF) pero nada aportan respecto al núcleo de la controversia planteada, toda vez que de la posesión de tales datos no se desprende en ningún caso que contara con el consentimiento inequívoco de su titular ni que hubiera adoptado las medidas que la diligencia exige para garantizar la identidad de la persona que presta el consentimiento al tratamiento. Llegados a este punto debemos subrayar una vez más que es a YOIGO a quien incumbe la carga de probar que recabó y obtuvo el consentimiento del denunciante para el tratamiento de sus datos y que la LOPD exige que sea el titular de los datos quien C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 preste su consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.