Procedimiento Nº PS/00198/2005
RESOLUCIÓN: R/470/2006
En el procedimiento sancionador PS/00198/2005,
instruido por la Agencia Española de Protección de Datos a la entidad ASOCIACIÓN EUROPEA DE ARBITRAJE DE DERECHO Y EQUIDAD,
y SERTEL MÓVILES S.L., vista la denuncia presentada por D.ª C.J.P. y D.ª L.F.P. y en base a los siguientes,
ANTECEDENTES
PRIMERO: Con fecha 27/10/2004, tuvo entrada en esta Agencia
un escrito de D.ª C.J.P. en el que denuncia que recibió una carta, de fecha 8/10/2004, de la Asociación Europea de Arbitraje
de Derecho y Equidad (AEADE), relacionada con un procedimiento arbitral respecto a una reclamación por incumplimiento de contrato,
a la cual se adjuntaba una copia de su contrato y un documento en el que se relacionaban los nombres y números de teléfono
de diversas personas físicas y jurídicas, junto con su propio nombre, haciendo referencia a que mantenían deudas con la entidad
SERTEL MÓVILES, S.L. (en lo sucesivo SERTEL). Aporta, junto a su escrito de denuncia, copia de la carta, el contrato y la
lista que incluye los nombres y apellidos, teléfonos y supuestas deudas contraídas por otras personas.
En el documento recibido por la denunciante se verifica que figuran datos de
diez personas, constando nombre y apellidos, números de teléfono y, en algunos casos, los números de identificación fiscal
e importes de supuestas deudas.
SEGUNDO: Con fecha 30/03/2005, tuvo entrada en esta Agencia
un escrito de D.ª L.F.P. en el que manifiesta que recibió un burofax, de fecha 9/02/2005, de AEADE, relacionado con un procedimiento
arbitral respecto a una reclamación por incumplimiento de contrato, a la cual se adjuntaba un documento en el que se relacionaban
los nombres y números de teléfono de diversas personas físicas y jurídicas, junto con su propio nombre, haciendo referencia
a que mantenían deudas con la entidad SERTEL. Aporta, junto a su escrito de denuncia, copia del burofax y la lista que incluye
los nombres y apellidos, teléfonos y supuestas deudas contraídas por otras personas.
En
el documento recibido por la denunciante se verifica que figuran datos de cincuenta y dos personas, constando nombre y apellidos,
números de teléfono y, en algunos casos, los números de identificación fiscal e importes de supuestas deudas.
TERCERO: En el marco de las actuaciones previas de investigación
practicadas por la Inspección de Datos de esta Agencia para el esclarecimiento de los hechos denunciados, se giró visita de
Inspección a AEADE, que manifestó que los documentos de los que se dio traslado a las denunciantes se remitieron con relación
a la tramitación de un procedimiento arbitral y que no todas las personas que aparecían en los listados denunciados, remitidos
por SERTEL a AEADE, figuraban en los sistemas de información de AEADE, constando únicamente incluidos en éstos los de aquellas
que se iban a someter al procedimiento arbitral. Por tanto, en los listados objeto de denuncia que se remiten por SERTEL a
AEADE constan datos de personas, clientes de SERTEL, sobre las que no se ha solicitado arbitraje por parte de esta última
entidad.
También, los representantes de AEADE
manifestaron, durante la Inspección realizada, que no pueden alterar, manipular ni modificar la documentación remitida por
SERTEL y que los expedientes remitidos a los demandados en el procedimiento arbitral pueden contener, dependiendo de la fase
en la que se alcance el acuerdo entre las partes, los siguientes documentos:
1.
Carta inicial de mediación dirigida a la parte demandada, en la cual se adjunta la documentación aportada por el demandante,
incluyendo copia del contrato suscrito entre las partes y documentación en relación a la deuda. Se envía por correo postal
sin acuse de recibo.
2.
Documento de designación de árbitro.
3.
Envío efectuado por el árbitro designado, realizado a través de la Asociación, dando traslado de toda la documentación aportada
por el demandante en relación al caso.
4.
Laudo arbitral.
Asimismo
manifestaron que el traslado íntegro de la documentación, aportada por la parte demandante a la demandada, se realiza al objeto
de dar cumplimiento al requerimiento legal de “demanda y contestación” estipulado en el artículo 29 de
la Ley 60/2003, de 23 de diciembre, de Arbitraje.
CUARTO: De la información requerida a SERTEL se desprende la
condición de clientes de todas las personas que figuran en los listados, habiendo aportado esa entidad, a
requerimiento de la Inspección de Datos, copia de los contratos suscritos por
los mismos.
SERTEL manifiesta que todos y cada uno de sus clientes han suscrito una cláusula
de sumisión a un Convenio Arbitral, autorizando la cesión de sus datos a AEADE con objeto de que puedan realizar sus funciones
de arbitraje. Considera que dichos datos son de carácter casi público, como el número de teléfono y nombre, igual que los
repertorios de abonados, que no tienen carácter de especialmente protegidos y que no ha existido, en ningún caso, mala fe
ni utilización económica partidista de los mismos por parte de SERTEL.
En los contratos suscritos por los clientes de SERTEL, éstos acuerdan someter
todo litigio, discrepancia, cuestión o reclamación relacionada con el contrato al Convenio Arbitral que figura en el reverso
del mismo, el cual incluye una cláusula de protección de datos, autorizando a la AEADE “a incorporar sus datos personales
a sus ficheros, con la finalidad de asegurar el control y registro de operaciones a su nombre, así como facilitar la información
de otros nuevos servicios o productos.”
QUINTO: Con fecha 24/01/2006, el Director de la Agencia Española de Protección de Datos
acordó iniciar procedimiento sancionador a AEADE y a SERTEL, por las presuntas infracciones del artículo 10 y 11, respectivamente,
de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, tipificadas como grave y muy
grave en el artículo 44.3. g) y 44.4.b) de la citada Ley Orgánica.
SÉXTO: Notificado el Acuerdo de Inicio a AEADE presentó alegaciones
en las que, tras solicitar una copia del expediente y la ampliación del plazo para alegaciones “hasta el máximo legalmente
previsto de 6 meses”, realizó alegaciones en relación a su actividad de intermediación y arbitraje que la impide
modificar los documentos que se la entregan para terminar solicitando, entre otras pruebas, la declaración de los denunciantes.
Facilitada una copia del expediente, AEADE formula alegaciones complementarias
en las que concluye se proceda al archivo de las actuaciones en base a los siguientes motivos:
a) AEADE realiza una función de arbitraje equivalente a la jurisdiccional.
b) Es el árbitro, no la AEADE, el que dio traslado a la parte demandada de la
documentación presentada por SERTEL.
c ) En el procedimiento seguido en al Agencia Española de Protección de Datos,
PS/00011/2006, por unos hechos idénticos se tramitan por las infracciones faltas leves del artículo 44.2.e) de la LOPD, por
lo que, se solicita la acumulación del presente procedimiento al citado.
SÉPTIMO: SERTEL presentó alegaciones en las que, tras solicitar
ampliación de plazo para formular alegaciones, concluye que procede el archivo de las actuaciones en base a los motivos siguientes:
a) Todos los clientes de SERTEL, incluidos los denunciantes, suscribieron un
convenio arbitral en el que autorizaban a AEADE a incorporar los datos a los ficheros de ésta, por lo que, la comunicación
de los datos estaba autorizada y cumple con los requisitos del artículo 11 de la LOPD.
b) Los datos facilitados son de personas en relación a las cuales se estaba sopesando
el entablar un procedimiento arbitral por parte de SERTEL que no sólo podía consistir en un supuesto impago de factura, sino
también a un posible problema con un terminal.
c) Los datos cedidos eran nombre, apellidos y n.º de teléfono, correspondiendo
las cantidades que figuran en los listados a comisiones que descuenta AMENA. Por otra parte, los datos de los relacionados
en los listados figuran en repertorios de telefonía.
d) Es AEADE la que actuó de forma contraria a la LOPD al no velar por la confidencialidad
de los datos facilitados por SERTEL, ya que no existe ningún precepto que obligue a remitir todos y cada uno de los documentos
facilitados.
e) El procedimiento se encuentra caducado, ya que el procedimiento sancionador
se inicia con la denuncia, que fue presentada el 27/10/2004, habiendo trascurrido más de seis meses y más de dos meses exigidos
para la notificación del acuerdo de inicio de procedimiento sancionador.
f) Para el supuesto de que no se estimen las alegaciones efectuadas, solicita
se aplique el artículo 45.4 de la LOPD .
Finalmente solicita la práctica de la prueba consistente en que declaran los
denunciantes.
OCTAVO: Transcurrido el plazo de alegaciones, por parte del
instructor del procedimiento se inició el período de práctica de pruebas dando por reproducidas las actuaciones previas E/00847/2005
y E/424/2005 y se acordó la realización de la prueba solicitada por AEADE consistente en la declaración de las denunciantes,
contestándose por D.ª C.J.P. que recibió de AEADE un requerimiento de pago, no una demanda de arbitraje, junto a un listado
con información sobre otros deudores. Asimismo, se denegaron las pruebas consistentes en la declaración del árbitro de AEADE,
otra referente a que solicitaran sus estatutos facultándola para poder aportar los mismos, y el interrogatorio del representante
de SERTEL al no haber facilitado el pliego de preguntas.
Respecto
a la prueba solicitada por SERTEL, se procedió a la práctica de la declaración de las denunciantes habiéndose recibido contestación
solamente de una de las denunciantes.
NOVENO: Trascurrido el período
de practica de pruebas, se puso de manifiesto el expediente a los presuntos responsables concediéndole un plazo de quince
días hábiles para formular alegaciones y aportar cuantos documentos estime de interés.
SERTEL
formuló alegaciones en las que argumenta, de un lado que los nombres relacionados en los listados son nombres de clientes
con los que mantiene alguna discrepancia razón por la cual podían haberse sometido al procedimiento arbitral y, de otro reitera
que las cantidades que figuran en los listados corresponden a cuantías de comisiones que son descontadas por la entidad AMENA.
AEADE formula alegaciones en las que, tras solicitar extemporáneamente se
practiquen determinadas pruebas, concluye que ha actuado conforme a la actividad jurisdiccional de arbitraje, que está obligada
a dar traslado de los documentos que se la aportan y que, en cualquier caso, las comunicaciones a las denunciantes de los
documentos fue realizada por el árbitro.
DÉCIMO: Con fecha 16/06/2004, el Instructor del procedimiento
sancionador formuló Propuesta de Resolución en la que propone que por el Director de la Agencia Española de Protección de
Datos se sancione a SERTEL MÓVILES S.L., y a la ASOCIACIÓN EUROPEA DE ARBITRAJE DE DERECHO Y EQUIDAD con multa
de 601,01€, a cada uno de ellos, por la infracción del artículo 10 de la LOPD, tipificada como leve en el artículo 44.2.e)
de dicha norma.
AEADE
formuló alegaciones a la Propuesta de Resolución en las que reitera que procede el archivo de las actuaciones en base a que
la Ley 60/2003, de Arbitraje, la exceptúa de obtener el consentimiento.
HECHOS PROBADOS
PRIMERO: Dª C.J.P. suscribió con fecha 28/11/2003 un contrato
de “Empresa Promocional de terminal de telefonía móvil con SERTEL”, en el que se prevé que, en caso de
conflicto, se sometería al arbitraje privado de la AEADE.
SEGUNDO: D.ª C.J.P. recibió una carta de AEADE, de fecha 8/10/2004,
en la que, tras informarla del procedimiento de arbitraje convenido por el incumplimiento del contrato con SERTEL, la informan
de la posibilidad de llegar previamente a un acuerdo amistoso para el
pago
de una deuda de 300, 50 €, que la evitaría el incremento de la deuda con los gastos de recuperación y arbitraje ( folios
1 a 6).
TERCERO: D.ª L.F.P. recibió un burofax, de fecha 9/02/2005, de
AEADE, relacionado con un procedimiento arbitral respecto a una reclamación por incumplimiento de contrato ( folios 78 a 80).
CUARTO : AEADE remitió a D.ª C.J.P., junto a la solicitud de arbitraje,
un documento en el que se relacionan 24 clientes de SERTEL, entre ellas la denunciante, con sus nombres y apellidos de personas
físicas y jurídicas, números de teléfono y cantidades ( folio 5).
QUINTO: AEADE, remitió a D.ª L.F.P., junto al burofax enviado sobre
el procedimiento de arbitraje, un documento en el que se relacionan a 52 clientes de SERTEL, entre ellas la denunciante, con
sus nombres y apellidos de personas físicas y jurídicas, números de teléfono, tipo de clientes fecha de alta y baja, Plan
de precios y cantidades ( folio 80).
SEXTO: SERTEL ha manifestado que las cantidades que recogen los
documentos foliados a los números 5 y 80 se refieren a comisiones que le son descontadas
por la entidad AMENA ( folio 238) , no pudiendo deducirse que correspondan a cantidades adeudadas.
FUNDAMENTOS DE DERECHO
I
Es
competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con
lo dispuesto en el artículo 37. g) en relación con el artículo 36 de la LOPD.
II
En
primer lugar interesa pronunciarse en relación a las pruebas solicitadas por la AEADE, y la realización y denegación de las
mismas.
A
la entidad AEADE se denegaron las pruebas consistentes en la declaración del arbitro de AEADE, otra referente a que solicitaran
sus estatutos facultándola para poder aportar los mismos y el interrogatorio del representante de SERTEL al no haber facilitado
el pliego de preguntas.
Cabe
decir que, en razón a lo que dispone el artículo 17.2 y 3 del Real Decreto 1398/1993, del Reglamento del Procedimiento para
el ejercicio de la potestad sancionadora, el órgano
instructor podrá rechazar, de forma motivada, aquellas pruebas cuya práctica
no estime conveniente. En razón de lo expuesto, con fecha 31/03/2006, por el instructor del procedimiento se notificó a AEADE
la improcedencia de la realización de las mismas informándole, en cuanto a la referida a la declaración del árbitro del proceso
arbitral, que podía dirigirse a la Agencia y manifestar cuanto considerase conveniente a fin de la mejor defensa de sus intereses.
En cuanto a la prueba referente a la solicitud de los Estatutos de AEADE, se contestó autorizando la validez de dicha prueba
pudiendo ser aportados por ésta y, en cuanto al interrogatorio del representante de SERTEL no se llevó a cabo al no aportarse
por AEADE el pliego de preguntas.
Por último, en relación al expediente PS/00011/2006 que se encuentra actualmente
en tramitación en esta Agencia, se informa que no existe una identidad de sujetos para poder apreciar la existencia de una
posible acumulación de procedimientos.
Por lo que se refiere a la entidad SERTEL, se afirma que sí se practicó la prueba
instada de declaración de las denunciantes remitiendo las preguntas propuestas con fecha 11/05/2006, habiendo contestado una
de las denunciantes a los requerimientos efectuados. Respecto a la prueba documental se señala que no se afirma qué documentos
aportados no constan en el expediente, no causándose indefensión ya que se ha tenido acceso permanente a toda la documentación
que obra en el mismo, entre ella la aportada por esa parte. Por ello, cabe concluir que no se ha producido, en este caso,
indefensión alguna.
También, con carácter previo, procede analizar la alegación formulada por SERTEL
relativa a la posible caducidad del procedimiento. En este sentido, se considera que, un expediente administrativo sancionador
debe entenderse caducado, a tenor de lo dispuesto en el artículo 20.6 del citado Real Decreto 1398/1993 y del artículo 42
de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo
Común, cuando transcurridos seis meses desde su incoación no se haya notificado la resolución recaída en el procedimiento.
En el presente caso, el Acuerdo de inicio del procedimiento sancionador es de fecha 24/01/2006, por lo que no ha transcurrido
el citado plazo y la caducidad alegada no se ha producido.
A estos efectos debe aclararse qué actuaciones, realizadas por la Inspección
de Datos de esta Agencia, son actuaciones previas a la iniciación del procedimiento sancionador, de acuerdo con lo previsto
en el artículo 12 del citado Real Decreto 1398/1993, por lo que, no formando parte del propio procedimiento, no opera respecto
de dichas actuaciones el plazo de caducidad previsto en la Ley.
En
efecto, el artículo 12 del Real Decreto 1398/1993, establece que, con anterioridad a la iniciación del procedimiento, se podrán
realizar actuaciones previas con objeto de determinar con carácter preliminar si concurren circunstancias que justifiquen
tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos susceptibles
de motivar la incoación del procedimiento, la identificación de la persona o personas que pudieran resultar responsables y
las circunstancias.
Con
estas actuaciones, que puede realizar la Administración, se trata de que por parte del órgano o unidad que tiene atribuidas
las funciones de investigación, averiguación o inspección de las infracciones administrativas, en este caso la Subdirección
de Inspección de Datos, se provean los datos, indicios, elementos o conocimientos necesarios en orden a que el Director de
esta Agencia cuente con ellos de cara a formar su convicción sobre la procedencia o improcedencia de llevar a cabo la incoación
del oportuno procedimiento sancionador. Por ello, debe desestimarse, asimismo, la alegación formulada.
III
Con
carácter previo, debe señalarse que el Acuerdo de Inicio de Procedimiento Sancionador imputa a SERTEL y a AEADE la presunta
infracción de los articulo 11 y 10, respectivamente, tipificadas como faltas muy grave y grave en los articulo 44.4.b) y 44.3.g)
de la LOPD. Sin embargo, a la vista de las conductas recogidas en los hechos probados procede la recalificación de las conductas
imputadas.
El
artículo 10 de la LOPD. Dicho artículo establece lo siguiente: establece:
“El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos
de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones
que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.”
Dado
el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto
con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de
los mismos.
En
este sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo
y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados,
recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria
recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer
su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones
con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber
es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se
refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el
teléfono
de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente
el secreto.”
“Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las
que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la
intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene
un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos
que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones
a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC
292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre
sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con
la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” (el subrayado es de la Agencia Española de Protección de Datos). El deber de confidencialidad
obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de
secreto que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable
o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no puedan revelar ni dar a conocer su contenido
teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular
del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio
reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional
292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden
ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente
el secreto.
IV
El
artículo 11.1 y 2.c) de la LOPD establece:
“1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero
para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo
consentimiento del interesado”.
“2.
El consentimiento exigido en el apartado anterior no será preciso”:
“c) Cuando el tratamiento responda a la libre y legítima aceptación de
una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con
ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.”
Cabe decir que, en relación a la cesión de datos de las denunciantes de SERTEL
a AEADE, la misma se encuentra amparada por el consentimiento dado por éstas en el momento de la firma de la contratación
con SERTEL ( en el caso de D.ª C.J.P. en el contrato de 28/11/2003) y , en el que se incluía un convenio arbitral. Respecto
a dicho convenio arbitral, la Ley 60/2003, de 23 de diciembre, de arbitraje, en su artículo 9, referido a la forma y contenido
del convenio arbitral establece lo siguiente:
“1. El convenio arbitral, que podrá adoptar la forma de cláusula incorporada a un contrato o de
acuerdo independiente, deberá expresar la voluntad de las partes de someter a arbitraje todas o algunas de las controversias
que hayan surgido o puedan surgir respecto de una determinada relación jurídica, contractual o no contractual.
2. Si el convenio arbitral está contenido en un contrato de adhesión, la validez de dicho convenio y
su interpretación se regirán por lo dispuesto en las normas aplicables a ese tipo de contrato.
3. El convenio arbitral deberá constar por escrito, en un documento firmado por las partes o en un intercambio
de cartas, telegramas, télex, fax u otros medios de telecomunicación que dejen constancia del acuerdo.
Se considerará cumplido este requisito cuando el convenio arbitral conste y sea accesible para su ulterior
consulta en soporte electrónico, óptico o de otro tipo.
4. Se considerará incorporado al acuerdo entre las partes el convenio arbitral que conste en un documento
al que éstas se hayan remitido en cualquiera de las formas establecidas en el apartado anterior.
5. Se considerará que hay convenio arbitral cuando en un intercambio de escritos de demanda y contestación
su existencia sea afirmada por una parte y no negada por la otra.
6. Cuando el arbitraje fuere internacional, el convenio arbitral será válido
y la controversia será susceptible de arbitraje si cumplen los requisitos establecidos por las normas jurídicas elegidas por
las partes para regir el convenio arbitral, o por las normas jurídicas aplicables al fondo de la controversia, o por el derecho
español”.
V
En el presente caso, ha quedado acreditado la entrega por parte de SERTEL a la
AEADE, y de ésta a las denunciantes de dos listado en el que figuran datos de carácter personal, constando los datos relativos
al nombre y apellidos, números de teléfono, tipo de clientes fecha de alta y baja, Plan de precios y cantidades , datos que
no deberían haber llegado a conocimiento de terceros, por lo que se considera que se ha cometido una infracción del trascrito
artículo 10 de la LOPD por parte de ambas entidades.
No pueden ser tenidas en cuenta las alegaciones de la AEADE, en el sentido de
que la comunicación de datos denunciada se trata de un supuesto contemplado en el artículo 11.1 de la LOPD, y que además resulta
necesario el traslado de los documentos aportados. En este caso, ello no era necesario porque los datos comunicados se referían,
no a los que vinculan a las tres partes, es decir, a las denunciantes con SERTEL y la AEADE, y que, resultarían necesarios
para el esclarecimiento de la controversia, sino también de terceras personas que nada tienen que ver, al menos con las denunciantes,
habiéndose producido con el traslado de los datos referidos a las personas que figuran en el listado una revelación de datos
personales que configuran el ilícito imputado, cual es la revelación de los datos que, obrantes en los ficheros de las entidades
imputadas, son comunicados a terceras personas sin la necesaria habilitación.
Tampoco pueden ser tenidas en cuenta las alegaciones de SERTEL, en el sentido
de que los datos recogidos en el listado facilitado a la AEADE no pueden ser manipulados, siendo por tanto dicho listado,
que es aportado por la operadora de telefonía un documento necesario para la realización del arbitraje y, en su razón, un
documento que no puede ser alterado. En este sentido, cabe decir que no debe considerarse que sea el propio documento íntegro
el que se haya de trasladarse para iniciar el procedimiento arbitral. Es más, en el caso de D. C.J.P. la documentación remitida
con el listado, no se trata de la demanda de arbitraje, sino de un requerimiento previo de pago amistoso, lo que evidencia,
aún más si cabe, la injustificación del listado con datos de terceros.
VI
En relación con la infracción del artículo 10 por parte de la AEADE y SERTEL,
para su tipificación como falta leve o grave, ha de tenerse en cuenta que:
a)
La Sentencia de la Audiencia Nacional de fecha 7/01/2002, que en su Fundamento de Derecho Cuarto, segundo párrafo señala lo
siguiente: “...Lo que no permite la norma es la transmisión de datos de carácter personal suficientes para obtener
una evaluación de la personalidad del individuo y al efecto cita ficheros en los que de transmitirse sus datos se obtendría
una evaluación de dicha personalidad (...) Pues bien, en el caso de autos nos consta y nadie discute que el único dato transmitido
fue el número de teléfono y dicho dato no permite realizar una evaluación o juicio sobre la personalidad del titular del dato.
Lo que nos lleva a entender que el tipo que debe aplicarse es el correspondiente a la falta leve no a la grave...”
b) Asimismo, la Sentencia de la Audiencia Nacional de fecha 17/01/2002, cuyo
Fundamento de Derecho Cuarto, segundo y tercer párrafo afirma que: “La resolución sancionadora señala que la entidad
recurrente ha quebrado el deber de confidencialidad establecido en el artículo 10 de la Ley Orgánica 5/1992, y que su conducta
está tipificada como infracción grave en el artículo 43.3.g) de dicha Ley Orgánica. Sin embargo debe notarse que en la Ley
Orgánica 15/1999 (...) el incumplimiento del deber de secreto del artículo 10 constituye por regla general una infracción
leve tipificada en el artículo 44.2.e), de modo que tal incumplimiento sólo constituye una infracción grave en los casos específicamente
enunciados en el artículo 44.3.g), es decir, cuando la vulneración del secreto afecta a (...).
Aunque la redacción dada a este último precepto ofrece alguna dificultad para su interpretación, esta
Sala considera que la razón de ser del tipo agravado queda explicada en el último inciso del citado artículo 44.3.g) (...).
Pues bien, teniendo en cuenta que en el caso presente los datos a los que indebidamente tuvo acceso un tercero fueron el número
de cuenta y el saldo existente pero no el nombre del titular de dicha cuenta, esta Sala considera que la conducta no es subsumible
en el tipo agravado ya que la información proporcionada no aparece vinculada a una persona determinada ni permite,
por tanto, hacer valoración alguna sobre el perfil o personalidad del titular de tales datos.” (El subrayado es de la Agencia Española de Protección de Datos).
c)
Por último, la Sentencia de la Audiencia Nacional de fecha 18/01/2002, que recoge en su Fundamento de Derecho Tercero, segundo
párrafo lo siguiente: “Pues bien, de estos dos tipos sancionadores resulta aplicable a este caso, a juicio de esta
Sala, el previsto en el artículo 44.2.e) de la Ley Orgánica 15/1999. En efecto, en la vigente Ley, a diferencia de la de 1992,
la respuesta sancionadora al deber de guardar secreto se gradúa pudiendo ser una infracción grave o leve. La diferencia en
la descripción de uno y otro tipo sancionador radica en que mientras que el legislador describe de modo completo la infracción
grave, sin embargo la infracción leve la concibe como una categoría residual prevista para todos los casos que no revistan
el carácter grave que describe el artículo 44.3.g) de la Ley Orgánica de tanta cita. Así las cosas, cuando la entidad bancaria
facilita el teléfono de una cliente a otro es indudable que se está facilitando un dato personal que consta en los archivos
de la recurrente sin consentimiento del afectado. Ahora bien, este dato personal incorporado a un fichero que contiene datos
relativos a la prestación de servicios financieros, pero no constituye un dato suficiente para obtener una evaluación de la
personalidad del individuo...”
De acuerdo, por tanto, con la doctrina señalada, los datos personales recogidos
en los listados, que se comunicaron por SERTEL a AEADE y de ésta a las denunciantes, no permite realizar una evaluación de
la personalidad del individuo, por lo que la vulneración del artículo 10 debe ser tipificada como infracción leve a tenor
del artículo 44.2.e) de la LOPD.
VII
El artículo 44.2.e) califica como infracción leve:
“Incumplir el deber de secreto establecido en el artículo 10 de esta
Ley, salvo que constituya infracción grave.”
En el presente caso, de acuerdo con lo señalado, la vulneración del artículo
10 por parte de la AEADE y SERTEL encuentra su tipificación en el citado artículo 44.2.e) de la LOPD.
VIII
El artículo 45.1, 4, 5 de la LOPD dispone:
“1. Las infracciones leves serán sancionadas con multa de 601,01 euros
a 60.101,21 euros”.
“ 4. La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales
afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia,
a los daños y perjuicios causados a las personas interesadas y a terceras personas, y a cualquier otra circunstancia que sea
relevante para determinar el grado de antijuricidad y de culpabilidad presentes en la concreta actuación infractora”.
“5. Si, en razón de las circunstancias concurrentes, se apreciara una cualificada disminución de
la culpabilidad del imputado o de la antijuricidad del hecho, el órgano sancionador establecerá la cuantía de la sanción aplicando
la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada
en el caso de que se trate”.
En
el caso que nos ocupa, dado que se imputa la comisión de una falta leve no puede aplicarse, tal y como solicita SERTEL, el
artículo 45.5 de la LOPD. No obstante, en función de los criterios de graduación de las sanciones y , en especial, a la falta
de intencionalidad y al grado de reincidencia, se propone la sanción en su cuantía mínima para cada una de las entidades imputadas.
Vistos los preceptos citados y demás de general aplicación,
El Director de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a la entidad ASOCIACIÓN EUROPEA DE ARBITRAJE
DE DERECHO Y EQUIDAD, por una infracción del artículo 10 de la LOPD, tipificada como leve en el artículo 44.2.e) de dicha
norma, una multa de seiscientos un euros con un céntimo ( 601, 01 €) de conformidad con lo establecido en el artículo
45.1 y 4 de la citada Ley Orgánica.
SEGUNDO: IMPONER a la entidad SERTEL MÓVILES S.L. por una
infracción del artículo 10 de la LOPD, tipificada como leve en el artículo 44.2.e) de dicha norma, una multa de seiscientos
un euros con un céntimo (601, 01 €) de conformidad con lo establecido en el artículo 45. 1 y 4 de la citada Ley Orgánica.
TERCERO: NOTIFICAR la presente resolución a la ASOCIACIÓN EUROPEA
DE ARBITRAJE DE DERECHO Y EQUIDAD, (C/.....................), SERTEL MÓVILES S.L., (C/..............), Dª L.F.P.,
(C/....................), y a D.ª C.J.P., (C/..................).
CUARTO: Advertir a los sancionados que la sanción impuesta deberá
hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso
en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco
Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes
siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive,
el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el apartado 2
del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales,
administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados.
La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de
Protección de Datos sobre publicación de sus Resoluciones.
Contra esta resolución, que pone fin a la vía administrativa
(artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre,
de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer,
potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes
a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante
la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado
5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo
46.1 del referido texto legal.
Madrid, 14 de julio de 2006
EL DIRECTOR DE LA AGENCIA ESPAÑOLA
DE PROTECCIÓN DE DATOS
Fdo.: José Luis Piñar Mañas
c. Jorge Juan 6 28001. Madrid www.agpd.es
|
 |
|
|
|
|
|
|
|
|
|