1/9 Procedimiento nº.: PS/00666/2012 ASUNTO: Recurso de Reposición Nº RR/00566/2013 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00666/2012, y en base a los siguientes, HECHOS PRIMERO: Con fecha 17 de junio de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00666/2012, en virtud de la cual se archivó el mismo. Dicha resolución, que fue notificada al recurrente en fecha 21/06/2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00666/2012, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: En fecha 22/02/2012 el Director de la Agencia Española de Protección de Datos acordó la apertura de actuaciones previas E/1075/2012 al estimar el recurso de reposición formulado contra su anterior resolución de fecha 23/11/2011 por la cual se le tenía desistido de su denuncia registrada en esta Agencia el 17/03/2011 (folios 63-64) SEGUNDO: El denunciante niega ser titular de la línea ***TEL.1, y haber efectuado portabilidad alguna de dicha línea desde FRANCE TELECOM a TME (folios 1, 6-7) TERCERO: En fecha 03/03/2011 el denunciante presentó denuncia en la Comisaría de Distrito de Chamberí (Madrid), manifestando que ha sido informado por TME de la existencia de la línea ***TEL.1 a su nombre procedente de una portabilidad desde el operador FRANCE TELECOM, negando éste ser titular de la citada línea (folio 2). CUARTO: En los sistemas de FRANCE TELECOM consta el denunciante como titular de la línea ***TEL.1 con fecha de alta 06/08/2010 y baja 30/12/2010 por portabilidad a otro operador (TME). Al tratarse de una línea prepago no se emitieron facturas (folios 79-82) QUINTO: FRANCE TELECOM manifestó que la contratación de la línea ***TEL.1 se efectuó presencialmente en el distribuidor TIENDAS COMUNICALIA, S.L. con el que suscribió el 23/07/2010 un contrato para la venta y contratación de sus productos. (folios 77-79, 85-87, 149-186) SEXTO: FRANCE TELECOM aportó copia de las siguientes comunicaciones y contactos mantenidos con el denunciante en relación con la línea ***TEL.1: - Fecha 30/03/2011: recepción de fax del denunciante solicitando la grabación del contrato, los detalles del contrato de portabilidad a TME realizada el 30/12/2010, y todos los datos que obren en su poder. - Fecha 01/04/2011: recepción reclamación del denunciante formulada ante la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 Secretaria de estado de Telecomunicaciones y para la Sociedad de la Información (SETSI) negando titularidad de la línea. - Fecha 08/04/2011: se informa a la SETSI que la línea fue activada a nombre del denunciante en la modalidad prepago el 06/08/2010 y que fue portada a otro operador el 30/12/2010. - Fecha 22/07/2011: recepción de alegaciones del denunciante en el expediente seguido ante la SETSI - Fecha 03/08/2011: alegaciones de FRANCE TELECOM en el expediente seguido en la SETSI. - Fecha 14/05/2012. FRANCE TELECOM responde a la reclamación presentada por el denunciante en la Dirección General de Consumo de la Comunidad de Madrid sobre los mismos hechos denunciados ante la SETSI. Se informa que se está a la espera de la resolución de dicho organismo. - Fechas 14/05/2012, 25/05/2012 y 27/06/2012: alegaciones e información del denunciante y FRANCE TELECOM en el expediente tramitado en el citado organismo de consumo (folios 83-84, 97-148) SEPTIMO: TME emitió a nombre del denunciante las siguientes facturas de la línea ***TEL.1: - fecha 01/02/2011: 59,98 € - fecha 01/03/2011: 41,01 € - fecha 01/04/2011: 504,42 € (folios 102-104) OCTAVO: La línea ***TEL.1 fue dada de alta por TME por el proceso de portabilidad desde el operador FRANCE TELECOM que aceptó la misma. TME aportó grabación de voz de la solicitud de portabilidad y contratación telefónica en la que el operador confirma con el interlocutor los datos de la contratación: nombre y apellidos y DNI del denunciante, la línea sobre la que se efectúa la migración, domicilio, línea prepago transferida a contrato, y número de tarjeta SIM. Asimismo aportó grabación de voz de verificación del consentimiento verbal para la contratación efectuada el 21/12/2010 (19:51 horas) por empresa verificadora ajena a TME en la que el operador confirma con el interlocutor los datos de la contratación: nombre y apellidos y DNI del denunciante, la línea sobre la que se efectúa la portabilidad y contratación con TME, número de tarjeta SIM, y el operador donante, FRANCE TELECOM (folio 378)>> TERCERO: D. A.A.A. (en lo sucesivo el recurrente) ha presentado en fecha 20/07/2013 en el Registro General del Ministerio de Fomento, con entrada en esta Agencia Española de Protección de Datos en fecha 02/08/2013, recurso de reposición fundamentándolo en las siguientes alegaciones: 1. El archivo del procedimiento sancionador se basa en la grabación de voz (CD) presentada por TME hecho nuevo que no debió ser admitida dada su presentación extemporánea una vez realizada y notificada la propuesta de resolución, conforme establece el artículo 20.3 del RD 1398/1993., lo que supone la nulidad de pleno derecho de la resolución según el artículo 62.1.
- a)de la LRJPAC, o en su caso anulable conforme al artículo 63 de citada norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 2. Inexistencia de consentimiento para la utilización de sus datos personales por cuanto, habiendo recibido copia del CD, niega rotundamente que se trate de la persona que aparece en la grabación. El recurrente es cliente de TME desde al me nos el año 2000 por lo que le hubiera resultado sencillo una comprobación de sus datos personales, solicitando una copia de su DNI al provenir de una portabilidad de tarjeta prepago. El domicilio al que se remiten las facturas no se recoge en la grabación por tanto no existe consentimiento para su utilización. El recurrente no tiene relación alguna con el domicilio que se cita en la grabación. 3. Respecto a FRANCE TELECOM no existe ninguna prueba o indicio de la existencia de consentimiento para el tratamiento de los datos del recurrente. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II Con carácter previo debe resolverse la alegación de nulidad de pleno derecho de la resolución impugnada al tomarse en consideración en la misma el CD aportado por TME tras recibir la propuesta de resolución del instructor del procedimiento. En este punto debe acudirse a lo dispuesto por el Real Decreto de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora que dedica su Capítulo III a la instrucción del procedimiento señalando lo siguiente: “Artículo 18 Propuesta de resolución Concluida, en su caso, la prueba, el órgano instructor del procedimiento formulará propuesta de resolución en la que se fijará de forma motivada los hechos, especificándose los que se consideren probados y su exacta calificación jurídica, se determinará la infracción que, en su caso, aquéllos constituyan y la persona o personas que resulten responsables, especificándose la sanción que propone que se imponga y las medidas provisionales que se hubieran adoptado, en su caso, por el órgano competente para iniciar el procedimiento o por el instructor del mismo; o bien se propondrá la declaración de no existencia de infracción o responsabilidad. Artículo 19 Audiencia 1. La propuesta de resolución se notificará a los interesados, indicándoles la puesta de manifiesto del procedimiento. A la notificación se acompañará una relación de los documentos obrantes en el procedimiento a fin de que los interesados puedan obtener las copias de los que estimen convenientes, concediéndoseles un plazo de quince días para formular alegaciones y presentar los documentos e informaciones que estimen pertinentes ante el instructor del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 2. Salvo en el supuesto contemplado por el artículo 13.2 de este Reglamento, se podrá prescindir del trámite de audiencia cuando no figuren en el procedimiento ni sean tenidos en cuenta otros hechos ni otras alegaciones y pruebas que las aducidas, en su caso, por el interesado de conformidad con lo previsto en el artículo 3 y en el punto 1 del artículo 16 del presente Reglamento. 3. La propuesta de resolución se cursará inmediatamente al órgano competente para resolver el procedimiento, junto con todos los documentos, alegaciones e informaciones que obren en el mismo.” Así pues la fase de instrucción del procedimiento incluye, como la norma establece, las alegaciones, pruebas e informaciones que, en plazo, pueden presentar los interesados una vez recibida la propuesta de resolución. En este caso TME formuló las alegaciones que estimó convenientes y aportó un CD con la grabación de voz de la contratación efectuada, que fueron incorporadas al expediente y, junto con la propuesta de resolución, cursadas al órgano competente para resolver. Por su parte el artículo 20.3 del citado Real Decreto establece que “En la resolución no se podrán aceptar hechos distintos de los determinados en la fase de instrucción del procedimiento, salvo los que resulten, en su caso, de la aplicación de lo previsto en el número 1 de este artículo, con independencia de su diferente valoración jurídica. No obstante, cuando el órgano competente para resolver considere que la infracción reviste mayor gravedad que la determinada en la propuesta de resolución, se notificará al inculpado para que aporte cuantas alegaciones estime convenientes, concediéndosele un plazo de quince días.” Visto los artículos anteriormente citados, en el procedimiento no se han considerados hechos distintos de los determinados en la fase de instrucción, pues como se establece la norma procedimental citada, las documentos aportados en plazo tras la recepción de la propuesta de resolución forman parte de la fase de instrucción del procedimiento y como tales deberán ser remitidos al órgano competente para resolver que deberá tomarlos en consideración ya que de otro modo provocaría la indefensión del interesado. Así pues debe rechazarse la alegación, tanto de nulidad de pleno derecho como de anulabilidad de la resolución recurrida por cuanto, como se ha argumentado con anterioridad, se dictó con observancia de las noemas de procedimiento, tanto el Real Decreto 1398/1993, como la LRPAC. III Respecto a la inexistencia de consentimiento para que FRANCE TELECOM y TME trataran sus datos personales en relación con la línea objeto de controversia debe señalarse que ya fue analizado en los Fundamentos de Derecho del VIII al XI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<VIII Se imputa a FRANCE TELECOM y a TME el tratamiento sin consentimiento de los datos personales de la denunciante. El artículo 6 de la LOPD, determina: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el articulo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular” IX De conformidad con lo expuesto ut supra, la jurisprudencia y el propio artículo 6 de la LOPD, exige que el responsable del tratamiento de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por FRANCE TELECOM Y TME puede subsumirse o no en tales definiciones legales, es decir, si es responsable del fichero y/o tratamiento, y en caso afirmativo si está o no legitimada para el tratamiento de datos del denunciante, y por ende verificar la prestación del consentimiento de ésta o la ausencia del mismo. X C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Consta en los sistemas de información de FRANCE TELECOM Y TME los datos personales del denunciante asociados a servicios que presta aquella. Los sistemas de información de las denunciadas han de conjugarse con la definición de fichero, que de conformidad con el articulo 3.
- b)como “todo conjunto organizado de datos de carácter personal, cualquiera que fuera la forma o modalidad de su creación, almacenamiento, organización y acceso. Se puede afirmar por tanto, que FRANCE TELECOM y TME tienen en sus ficheros, los datos personales del denunciante. Todo esto sitúa a FRANCE TELECOM y TME como responsables del fichero y se evidencia un tratamiento de datos, de conformidad con las definiciones legales señaladas en el fundamento jurídico anterior. Por lo que de conformidad con el artículo 43 de la LOPD, FRANCE TELECOM y TME se sitúan bajo el régimen de responsabilidad de la ley orgánica de tanta cita. XI En el presente caso el denunciante niega haber contratado tanto con FRANCE TELECOM (contrato prepago) como con TME (modalidad postpago) el servicio de la línea ***TEL.1. En este sentido TME ha aportado grabación de voz, tanto de la solicitud de portabilidad y contratación de la citada línea, como de la verificación del consentimiento verbal para la contratación efectuado por empresa ajena a TME, en las cuales se facilita y conforma con el interlocutor el nombre y apellidos y DNI del denunciante, el número de tarjeta SIM, domicilio, línea prepago transferida a contrato, y operador donante y receptor de la línea. Por tanto TME aporta prueba indiciaria acreditativa de la relación contractual que evidencia la existencia de indicios de consentimiento en la contratación y que le eximiría del consentimiento del denunciante para el tratamiento de sus datos. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. Así, La Audiencia Nacional señala en su Sentencia de 19 de enero de 2005, “el debate debe centrarse en el principio de culpabilidad, y más en concreto, en el deber de diligencia exigible a (…) en el cumplimiento de las obligaciones de la LOPD, y no tanto en la existencia misma de la contratación fraudulenta sino el grado de diligencia desplegado por la recurrente en su obligada comprobación de la exactitud del dato”. De acuerdo a estos criterios, se puede entender que TME empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación por cuanto aporta grabación de voz de la portabilidad y contratación de la línea, así como verificación por tercera entidad aneja a TME. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a TME una vulneración de la normativa en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Por su parte y respecto de FRANCE TELECOM señalar que se trata de un servicio en la modalidad prepago en el que se no se generan cargos para el denunciante. La Comisión del Mercado de las Telecomunicaciones ha regulado unos procedimientos administrativos cooperativos entre los operadores para la gestión y tramitación de las portabilidades solicitadas por los clientes, entendiéndose por portabilidad el cambio de operador conservando la numeración de la línea. Para facilitar la gestión de las portabilidades se ha establecido un nodo central, gestionado por la entidad INDRA, designado por la CMT en coordinación con los operadores. Este nodo central ha sustituido la solución distribuida que existía con anterioridad, consistente en interfaces entre operadores basadas en páginas web. Los usuarios que solicitan la portabilidad de su línea deben de hacerlo en el operador receptor. Así, los clientes de un operador (donante) que desean portar su línea a otro operador (receptor), deben de solicitarlo al operador receptor. El operador receptor será el encargado, además de recabar los datos del solicitante para la tramitación del alta como cliente de su compañía, de realizar la solicitud de portabilidad en el nodo central de portabilidades para su tramitación. La tramitación de una portabilidad conlleva la confirmación (o denegación en su caso) de la misma por el operador donante. Para ello, el operador donante debe comprobar que: En el caso de líneas prepago debe comprobar que el ICC de la tarjeta coincide con el registrado para la línea (MSISDN). En estos casos, únicamente existe obligación de comprobar la coincidencia de este código de tarjeta, no comprobando la coincidencia de NIF/CIF, ni ningún otro dato de carácter personal, debiendo el operador donante denegar la portabilidad si no existe coincidencia en los datos, cosa que no sucedió en el presente caso, ya que al ser coincidentes los datos, el operador donante (FRANCE TELECOM) aceptó la portabilidad de la línea prepago ***TEL.1 al operador receptor (TME). Conforme a lo señalado y acreditándose los requisitos señalados en caso de portabilidad de línea en la modalidad prepago, como es el caso objeto de denuncia, y existiendo grabación, tanto de la contratación, como de la verificación de la misma por tercero, se estima procede el archivo del procedimiento sancionador al no apreciarse vulneración de la normativa de protección de datos.>> IV Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 17 de junio de 2013, en el procedimiento sancionador PS/00666/2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 SEGUNDO: NOTIFICAR la presente resolución a la entidad A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es