AI-00066-2023

1/8 Expediente N.º: EXP202300214 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 23 de noviembre de 2022, se presentó reclamación con número de registro de entrada REGAGE22e00053375055 ante la Agencia Española de Protección de Datos contra TELEFÓNICA MÓVILES ESPAÑA, S.A.U. con NIF A78923125 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta haber tenido conocimiento de que sus líneas de teléfono estaban desviadas a un tercer teléfono sin su consentimiento, alegando una posible suplantación de su identidad. Junto a la notificación se aporta: - Denuncias policiales del 11 y 26 de octubre y 8 de noviembre de 2022. - Reclamación ante la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales, presentado el 13 de octubre de 2022. - Copia de las facturas donde consta el desvío sin su consentimiento. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 16 de enero de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 16 de febrero de 2023 se recibe en esta Agencia escrito de respuesta indicando que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 “La Sra. A.A.A. reclama la activación de un servicio incondicional de llamadas, desde la línea ***TELÉFONO.1 que era de su titularidad. No constan incidencias, puesto que no consta que la mencionada línea tuviera activado el servicio incondicional de llamadas.” “No hay constancia de que la línea ***TELÉFONO.1, de la que es titular la parte reclamante tuviera activado el servicio de desvío incondicional (se desvían automáticamente todas las llamadas), si bien, en el caso de que los hubiera tenido, se pueden desactivar todos los desvíos programados desde el propio equipo del cliente marcando ##XXX# y la tecla de llamar". TERCERO: Con fecha 23 de febrero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN PUNTO 1. La parte reclamada ha contestado a esta Agencia, en el marco de la Admisión a (AT/00083/2023), que dieron respuesta en su día a la reclamación presentada por la reclamante ante la Oficina de Atención al Usuario de Telecomunicaciones, aportando copia de la misma. En esta contestación se refleja que “no consta que tuviera activado el servicio de desvío incondicional (se desvían automáticamente todas las llamadas), si bien, en el caso de que los hubiera tenido, se pueden desactivar todos los desvíos programados desde el propio equipo del cliente marcando ##002# y la tecla de llamar”. Indican que no se trata de un supuesto de Fraude o suplantación de identidad. PUNTO 2. Realizado un requerimiento de información en las presentes actuaciones de inspección, se ha requerido a la parte reclamada para que aporte documentación acreditativa de haber efectuado la verificación de la identidad de la persona que solicitó los desvíos de la línea. Se indica a la parte reclamada, en el requerimiento, que la reclamante ha aportado dos facturas en las que, en Resumen de Consumos, aparece “Desvío de llamadas”: - de fecha 01 de noviembre de 2022, ref. MM1****XXXXXXX (18 Sep - 17 Oct), - de fecha 01 de septiembre de 2022 ref. MM1****XXXXXXX (18 Jul - 17 Ago). Se solicitaba en el requerimiento información detallada que constara en los sistemas de la reclamada sobre los dos desvíos citados, tipo de desvío (incondicional, cuando comunica la línea, cuando no contesta, solo llamadas, solo SMS, etc.), fecha, hora en que se activaron, y vía por la que se efectuaron o solicitaron. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Ante este requerimiento, la parte reclamada indica que, en el tráfico, para el periodo de facturación respectivo, constan desvíos de llamada, todos al: 1) Buzón de Voz de la línea 2) Servicio llamadas Perdidas: ***TELÉFONO.2. (La línea ***TELÉFONO.2 es una línea propia de movistar donde se desvían las llamadas perdidas, para la prestación del servicio “Avísame” consistente en avisar cuando una línea a la que se está llamando deja de estar ocupada o apagada y comienza a estar disponible). Sobre la documentación acreditativa de haber efectuado la verificación de la identidad de la persona que solicitó los desvíos de la línea contestan únicamente que el desvío de Llamadas es una configuración personalizada del terminal móvil por parte del usuario del mismo. PUNTO 3. Esta Inspección de Datos ha realizado la siguiente comprobación llamando a Movistar, al número XXXX de Atención al Cliente, (desde una línea movistar): Se pregunta por la opción de desvío de llamada para una línea móvil, tanto el coste como la forma de solicitarlo. La agente telefónica que atiende la llamada indica que se puede realizar de dos maneras: - desde la app desde el propio terminal de la línea o - desde cualquier otro dispositivo identificándose en el área privada del cliente, vía web. La agente informa de cómo llegar a la opción de desvío de llamadas mediante estas dos vías. Se pregunta a la agente si puede realizar el desvío mediante esta llamada a Atención al Cliente ya que el terminal móvil se ha quedado en otro domicilio y no se dispone de él, y responde que no, que no puede hacerlo. Sobre el coste responde que, si la línea a desviar tiene una tarifa con llamadas ilimitadas, el desvío no tiene coste, y, en caso contrario, dependiendo del plan de tarifas particular, puede tener un coste la llamada que se genera con el desvío, es decir, la llamada desde la línea desviada a la línea a la que se ha desviado. Comenta que si se tratara de una línea fija el servicio tiene un coste adicional de 4 euros/mes. Se cuelga la llamada y se comprueba la existencia de la opción existente en el Área privada del Cliente para una línea móvil. PUNTO 4. Se realiza de nuevo un requerimiento de información a la parte reclamada para que aporte documentación acreditativa de haber efectuado la verificación de la identidad de la persona que solicitó los desvíos de la línea, así como la información sobre los desvíos, tal como el tipo de desvío (incondicional, cuando comunica la línea, cuando no contesta, solo llamadas, solo SMS, etc.), fecha, hora en que se activaron, y vía por la que se efectuaron o solicitaron. Se pide documentación acreditativa de la información que se proporcione. Fecha en que se desactivaron los desvíos y motivo de la desactivación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 Se les indica que esta Inspección de Datos entiende que los desvíos de llamadas pueden ser: - configurados desde el propio terminal móvil utilizando códigos, - on-line mediante el Área Privada del cliente, o App, - solicitados mediante llamada a Atención al Cliente, si Se pregunta qué ocurre en las situaciones en las que el usuario que se dirige a Atención al Cliente, manifestando, por ejemplo, que se ha dejado olvidado el terminal móvil en otro domicilio o ubicación, y que necesita desviar las llamadas a otro número para poder recibirlas. La parte reclamada insiste en la información facilitada previamente, sobre los desvíos sobre las líneas de la reclamante que constan en sus sistemas: 1) Buzón de Voz de la línea 2) Servicio llamadas Perdidas: ***TELÉFONO.2. Explican que los desvíos fueron activados en los periodos de tiempo a los que se refieren las facturas mencionadas y que consistieron en desvíos de llamadas del servicio de Buzón voz y del servicio de llamadas perdidas. Indican que el servicio de Buzón de voz recoge la grabación de las locuciones de la línea llamante, cuando no se puede o no se quiere atender una llamada. Asimismo, el desvío de llamadas al Buzón de voz puede ser configurado por el usuario del móvil mediante llamada al XXXXX y a través de la cuenta personalizada en internet denominada Mi Movistar móvil, para los casos en los que el terminal se encuentre apagado, fuera de cobertura, comunicando, rechaza la llamada o cuando no se contesta la misma. Indican también que, por otro lado, mediante el servicio de Llamadas Perdidas, se recibe un mensaje SMS que indica el teléfono que llamó a la línea receptora del mencionado mensaje. La activación y desactivación del servicio de Llamadas Perdidas se lleva a cabo por el propio usuario del terminal móvil, mediante la marcación del número 22200, y sirve para los casos en que el terminal que soporta la línea destino de la llamada está apagado o fuera de cobertura, falta de respuesta y cuando comunica. Manifiestan por último que existen otro tipo de desvíos, distintos al Buzón de voz y Llamadas perdidas activados en el caso de la reclamante, que se pueden activar on-line mediante Mi Movistar o introduciendo los códigos en el terminal. Manifiestan que en enero de 2022 se actualizaron las medidas de seguridad aplicables para la realización de gestiones de desvíos de llamadas de manera que se inhibió la posibilidad de que los centros de Atención Telefónica y el canal presencial pudieran realizar la activación de los mismos: se le informa a cliente que puede hacerlo a través de Canal Online o marcando los códigos correspondientes en el terminal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
10. c)y e), fijando de manera más C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
11. c)y e), deberá ser establecida por:
12. a)el Derecho de la Unión, o
13. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
14. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
15. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
16. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
17. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
18. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." III Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
19. a)la seudonimización y el cifrado de datos personales;
20. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
21. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
22. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." IV Conclusión A través de las actuaciones realizadas por esta Agencia, se ha podido comprobar que los desvíos que aparecen en las facturas que aporta la reclamante no corresponden a desvíos de llamadas a línea de terceros, sino desvíos ocasionados por el buzón de voz y el servicio de llamadas perdidas. Por otro lado, de las actuaciones efectuadas se desprende que la parte reclamada no permite efectuar desvíos mediante llamadas a Atención al Cliente, siendo la única forma de realizarlo estar en posesión del terminal móvil o conocer código de usuario y contraseña para realizarlo on-line. En lo referente a que el reclamante manifiesta haber sufrido suplantación de identidad para conseguir el desvío de sus líneas hacia un tercero, no aporta evidencias de la suplantación, ni de que los desvíos sean a la línea de un tercero, ni ha quedado acreditado mediante las actuaciones practicadas. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA MÓVILES ESPAÑA, S.A.U. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
23. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es