1/6 Expediente N.º: EXP202301672 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de la recepción de diversas reclamaciones de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. Con fecha 13 de febrero de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) para investigar a VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, VODAFONE) en relación con los siguientes hechos: Las mencionadas reclamaciones contra VODAFONE ESPAÑA SAU estaban relacionadas con el ejercicio por sus clientes del derecho de acceso a las grabaciones telefónicas en las que se pactaron las condiciones contractuales tras un proceso de contratación telefónica. En relación con lo anterior, la necesidad de evaluar las posibles implicaciones en materia de protección de datos personales aconsejó la apertura de una investigación para verificar estos extremos y, en su caso, la adecuada observancia de la normativa. Teniendo en cuenta el gran alcance de estos procedimientos, dada la entidad de la empresa investigada y el elevado número de posibles usuarios afectados por dichos procesos, se consideró necesario para esta Agencia conocer en detalle el procedimiento de atención al derecho de acceso de VODAFONE cuando éste ha de incluir grabaciones de voz en su respuesta. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Durante esas actuaciones se ha investigado a la siguiente entidad: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 - VODAFONE ESPAÑA, S.A.U. (en adelante VODAFONE) con NIF A80907397 con domicilio en AVDA. DE AMÉRICA, 115 - 28042 MADRID (MADRID) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Sobre el canal de atención telefónica de Vodafone Vodafone señala que el canal de atención telefónica se utiliza al objeto de atender interacciones tanto con clientes como con potenciales clientes. Añade que los agentes que pertenecen a este canal emplean como soporte (…). En relación con las interacciones a través del canal telefónico con clientes, VODAFONE refiere que responden a asuntos de índole variada, entre los que ejemplifica los siguientes: atención de averías; bajas de clientes; cancelaciones o altas; facturas y abonos; consulta sobre servicios contratados; dudas sobre los productos adquiridos; ofertas y promociones; cuestiones sobre pagos y deudas; o posibles casos de fraude. (…) Sobre el procedimiento de contratación a través del canal telefónico En relación con el procedimiento de contratación a través del canal telefónico, VODAFONE ha descrito el proceso previamente en los siguientes términos: (…) Adicionalmente se incorporaron a las actuaciones los siguientes documentos - Argumentario telefónico general de VODAFONE . Política de seguridad de VODAFONE en su interrelación con los clientes. - Diagrama del proceso de venta telefónica de Vodafone. Sobre la atención al ejercicio del derecho de acceso VODAFONE describe en los siguientes términos el procedimiento que sigue para la atención del ejercicio del derecho de acceso: (…) Vodafone señala que dispone de guías y directrices para el personal que gestiona los ejercicios del derecho de acceso. (…) Igualmente, VODAFONE cita las siguientes especificidades en relación a las solicitudes de acceso a las grabaciones por parte de los interesados: (…) Al respecto facilita una captura de pantalla que incluye el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 (…) La atención telefónica de Vodafone en números Vodafone ha facilitado información numérica en relación con sus procesos de atención telefónica. Así, detalla lo siguiente (correspondiente al año 2022): (…). Adicionalmente Vodafone ha facilitado los siguientes datos sobre el ejercicio del derecho de acceso que implica grabaciones de voz (año 2022): (…) CONCLUSIONES DE LAS ACTUACIONES PREVIAS DE INVESTIGACIÓN Según la información facilitada, (…). Las presentes actuaciones han puesto el foco en el proceso de atención al ejercicio del derecho de acceso cuando éste involucra grabaciones de voz. Sobre este particular Vodafone ha facilitado detalle del proceso interno por el cual recibe y gestiona el mismo. (…) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con [Introduzca el texto correspondiente a [Texto fundamento I EI].] y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Artículo 12 RGPD Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado El artículo 12 del RGPD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 “
- El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios
- El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a
- En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado.
- El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.
- Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales.
- La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá: a) cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o b) negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 III Artículo 15 del RGPD Derecho de acceso del interesado El artículo 15 del RGPD establece lo siguiente: “
- El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información: a) los fines del tratamiento; b) las categorías de datos personales de que se trate; c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales; d) de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo; e) la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento; f) el derecho a presentar una reclamación ante una autoridad de control; g) cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen; h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
- Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia.
- El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común.
- El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” IV Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 En base a lo indicado en los apartados anteriores, vista la información facilitada por VODAFONE, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. A lo largo de las actuaciones previas de investigación realizadas por esta Agencia, se ha requerido a VODAFONE información y documentación sobre sus sistemas de atención telefónica, la operativa y supuestos en que se procede a la grabación de las conversaciones con el cliente; el canal de contratación telefónico, los argumentarios y políticas de seguridad utilizadas; el procedimiento y operativa para la atención del ejercicio de los derechos de acceso. Como consecuencia de esta investigación esta Agencia no ha constatado indicios de un incumplimiento sistémico o significativo de la normativa de protección de datos en relación con el ejercicio por los clientes de VODAFONE de sus derechos de acceso en relación con las grabaciones de sus conversaciones telefónicas con el operador. Así pues, al no haber sido posible atribuir infracción en materia de la normativa de protección de datos personales SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es