1/7 Expediente N.º: EXP202206653 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 30 de mayo de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra VODAFONE ESPAÑA, S.A.U., con NIF A80907397 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que al ir a solicitar un producto financiero se lo deniegan ya que sus datos figuran en sistemas comunes de información crediticia en relación con una deuda con la compañía reclamada asociada a un contrato no realizado. Aporta denuncia policial, reclamación efectuada ante la compañía, copia del contrato asociado e informe sobre la inclusión de sus datos en ASNEF a instancias de la reclamada, de fecha 11 de octubre de 2021. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 13 de junio de 2022 como consta en el certificado que obra en el expediente. Con fecha 22 de julio de 2022, la entidad reclamada da respuesta al traslado indicando lo siguiente: La deuda tiene su origen en una contratación no reconocida por el reclamante, Informan que no pudieron conocer en el momento de la compra que se estuviera pudiendo realizar una contratación de servicios sin el consentimiento del reclamante puesto que este tipo de gestiones se encuentran supeditadas a la superación de la Política de Seguridad, entendiéndose por tanto que, al llegarse a realizar la contratación, ésta era legal, consentida, y con apariencia de veracidad. Manifiestan que esto es síntoma de que un tercero sustrajo los datos personales del reclamante sin su consentimiento para acceder a su usuario online, hecho este que la parte reclamada indica no puede conocer. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Señalan que el reclamante se pudo en contacto con la entidad manifestando que no reconocía como propios dichos servicios y así en fecha 18 de octubre de 2021 se declaró como fraudulenta la operación, se desactivaron los servicios contratados, se canceló el importe adeudado y se excluyeron sus datos personales de los sistemas de información crediticia. Aportan copia de facturas rectificativas y de abono o cancelación de importes. Indican que, no obstante, con posterioridad, el reclamante ha planteado la reclamación ante la Agencia. Adjuntan junto a la contestación del traslado de la reclamación un informe técnico en el que se detallan gestiones para el caso de la portabilidad de la línea acabada en 58, de fecha de solicitud 12 de julio de 2019. Indican como identificación del canal de alta “Tienda online”, y figura como vendedor “MARKTEL DELIO MAD” como tipo “VF-ONLINE” y como razón venta “ATENCION TELEFONICA”. Consta asociado pago aplazado de 15euros/36meses por la adquisición del terminal Samsung Galaxy S10E 128 GB. En el informe se cita que se anulan los cargos relacionados con servicio y terminal desde la activación 18 de julio de 2019 hasta la desactivación el 5 de julio de 2020. TERCERO: Con fecha 30 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Análisis documentación aportada por el reclamante: Aporta duplicados de dos contratos con VODAFONE que manifiesta fraudulentos: - línea telefónica acabada en 52, contrato de portabilidad con cambio de titular, figurando el reclamante como cliente, nuevo titular una tercera persona y constando como nombre de punto de venta “Vodafone televenta CBU”, de fecha 20 de marzo de 2019. - línea telefónica acabada en 58, contrato de portabilidad, figurando el reclamante como cliente, constando como nombre de punto de venta “MARKTEL DELIO MAD”, de fecha 12 de julio de 2019. Sobre la inclusión en ASNEF. Requerida a EQUIFAX IBERICA, S.L., información y documentación sobre el afectado y su inclusión en el fichero de información ASNEF, de la respuesta recibida se desprende lo siguiente: No consta información activa sobre el afectado en el fichero ASNEF en el momento de realizar las comprobaciones (6 de febrero de 2023). Consta registrada la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 baja de una operación informada por VODAFONE SERVICIOS, S.L., con fecha de baja 18 de octubre de 2021. La fecha de alta en el fichero fue el 25 de febrero de 2021 y la fecha de visualización el 27 de marzo de 2021 (fecha en que los datos del impago son consultables en el fichero por las entidades asociadas). Constaba importe impagado de 643,37 euros. Sobre las contrataciones no reconocidas por el reclamante. Sobre la primera portabilidad, de solicitud telefónica, la parte reclamada aporta copia de la conversación telefónica de la contratación en un fichero wav (fichero de audio) de nombre 6670474254046265846_03202019141552 en el que la gestora que atiende la llamada menciona que la fecha del día es el 20 de marzo de 2019, y el objeto una portabilidad de línea. Se verifica que la gestora informa que solo puede hacer el trámite el titular de la línea, pregunta al interlocutor el nombre y apellidos del titular y su número de DNI, y el interlocutor menciona el nombre y apellidos del reclamante y su DNI incluida la letra de control. A continuación, la gestora lee las condiciones y características del servicio, menciona el número de la línea a portar, que se verifica que coincide con la línea reclamada (acabada en 52), menciona los derechos de protección de datos, pide consentimientos para determinados tratamientos, y el interlocutor responde que sí a la pregunta de si está conforme. Sobre la segunda portabilidad, y que generó la inclusión en ASNEF, la parte reclamada indica que está en disposición de confirmar que consta la orden de instalación con portabilidad y terminal, efectuada en fecha 18 de julio de 2019. Indican que, en este sentido, en relación con la petición de aportación de evidencias de la verificación de identidad del solicitante, disponen de evidencias de la formalización de la contratación de servicios realizada por medios electrónicos tras la remisión del contrato a la línea telefónica del reclamante. Aportan copia de un certificado de una tercera parte, DIGITEL ON TRUST SERVICES, S.L., indicando que actúa en el mercado en su condición de Tercero de Confianza de conformidad con lo dispuesto en el artículo 25 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico. En el documento se certifica que se ha enviado un SMS el día 12 de julio de 2019 a las 12:41h al usuario final, con número de documento de identidad que se comprueba que coincide con el número de DNI del reclamante, y número de teléfono móvil, que coincide con la línea objeto de portabilidad (acabada en 58), informando de la solicitud de portabilidad, y pidiendo que se responda “SI”, si es correcto. Igualmente se certifica la respuesta “SI” desde la línea a portar, con un mensaje SMS del día 12 de julio de 2019 a las 13:30h. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 III Legitimación para el tratamiento de datos Por su parte, el artículo 6.1 del RGPD establece lo siguiente: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” V Inclusión ficheros de solvencia patrimonial En relación con la inclusión de sus datos personales en ficheros comunes de solvencia patrimonial y crédito hay que tener en cuenta lo que establece el artículo 20, Sistemas de información crediticia, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala en su punto primero que: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
- a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
- b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 vinculante entre las partes.
- c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
- d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
- e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
- a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
- f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta”. VI Conclusión En relación con la contratación fraudulenta por parte de la parte reclamada, aparentemente lo hacían en virtud de la contratación telefónica de una de las líneas y la contratación electrónica de la segunda, existiendo, por tanto, legitimación para su tratamiento. A ello se suma el que, una vez que obran en su poder indicios suficientes de una posible actuación fraudulenta, ha procedido a congelar el uso de dichos datos paralizando igualmente cualquier posible acción de recobro. Los datos personales del reclamante fueron incluidos en un fichero común de solvencia (ASNEF) como consecuencia de impagos producidos en un contrato de portabilidad de línea con terminal móvil asociado, efectuado en julio de 2019. La parte reclamada ha aportado copia de la grabación de la llamada de la solicitud de portabilidad de fecha marzo de 2019, y para la solicitud on-line con atención telefónica de julio de 2019, que generó la inclusión en ASNEF, un certificado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 de tercera parte en el que se certifica el envío de un mensaje SMS de confirmación desde la línea a portar por parte del solicitante. La parte reclamada manifiesta que los datos del reclamante fueron excluidos del fichero de información crediticia ASNEF en fecha 18 de octubre de 2021, extremo que ha sido comprobado. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U., y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es