1/5 Expediente Nº: EXP202104003 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes. HECHOS PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 6 de septiembre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada o Vodafone). Los motivos en que basa la reclamación son los siguientes: El reclamante manifiesta que se ha producido una contratación fraudulenta. Aporta nuevamente dos grabaciones relativas a la supuesta contratación realizada por el reclamante con la entidad reclamada. SEGUNDO: Anteriormente, la parte reclamante con fecha 30 de abril de 2021 interpuso otra reclamación, sobre los mismos hechos, bajo el número de expediente E/ 06289/2021, manifestando que había existido un tratamiento de datos sin consentimiento con el propósito de realizar una contratación fraudulenta. La Directora de la Agencia Española de Protección de Datos, con fecha 19 de julio de 2021 acordó no admitir a trámite la reclamación, dado que el reclamante si reconocía la contratación, por lo que el motivo de la reclamación era el desacuerdo con la oferta económica aplicada. Dicha incidencia había quedado resuelta en fecha 13 de mayo de 2021. Manifestando en dicho acuerdo, que contra dicho acto, que pone fin a la vía administrativa, y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, el interesado podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de este acto, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Dicha resolución fue notificada al reclamante el 19 de julio de 2021, como consta en el acuse de recibo que obra en el expediente. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 adelante LOPDGDD), se dio traslado de la reclamación de fecha 30 de abril de 2021 a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 10 de junio de 2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 9 de julio de 2021, la parte reclamada manifestó a esta Agencia: “Vodafone ha podido comprobar que dicha contratación se efectuó aportando los datos personales del reclamante, actuando de conformidad con el procedimiento de seguridad de Vodafone para la contratación de servicios por particulares a través del canal de Televenta. Esto es, mi representada requirió a la contratante nombre y apellidos, así como el DNI, tal se establece en la política de seguridad de Vodafone. En este sentido, el interlocutor de mi representada en todo momento se identificó como el reclamante, aportando correctamente, además de los datos identificativos mencionados anteriormente, su dirección, fecha de nacimiento y datos bancarios. Se aporta, como Documento número 2, copia de la grabación de la llamada en que se efectuó la contratación y donde se citan los servicios contratados. Por otro lado, el reclamante manifiesta que no reconoce la voz que figuraba en la grabación de la contratación detallada anteriormente. Sin perjuicio de lo anterior, y en lo que se refiere a la contratación de los servicios de Vodafone por parte del reclamante, mi representada considera que esta es legal, consentida, y con apariencia de veracidad. Esto es así dado que el procedimiento de seguridad de Vodafone para la contratación de servicios por particulares a través del canal de Televenta quedó garantizado, pues le fueron solicitados al contratante todos los datos personales requeridos para poder realizar la tramitación de la portabilidad de la línea, esto es, nombre, apellidos, dirección, fecha de nacimiento, datos bancarios y DNI, siendo estos aportados de manera correcta. En cuanto a las medidas de seguridad adicionales aplicadas por Vodafone, desde el 14 de marzo de 2012, mi mandante actúa bajo la Política de Seguridad para la Contratación de Particulares, la cual se ha ido actualizando progresivamente, y cuya última modificación ha sido implementada en fecha 21 de noviembre de 2019. Mediante dicha Política de Seguridad, mi representada establece qué tipo de información debe requerir al cliente para cada gestión solicitada. Asimismo, queda incluido cómo proceder en caso de que un usuario no supere la Política de Seguridad, así como las actuaciones preventivas en situaciones de fraude. La mencionada Política de Seguridad es de obligado cumplimiento para todos los empleados y agentes de Vodafone, quienes se encargan de aplicarla y respetarla. TERCERO: Con fecha 6 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Licitud del tratamiento El artículo 6 del RGPD detalla en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no obstante haberse admitido a trámite la reclamación, con posterioridad se ha constatado que la parte reclamante interpuso con fecha 30 de abril de 2021 una reclamación en esta Agencia sobre los mismos hechos que la Directora de la Agencia Española de Protección de Datos, tras la información aportada por la parte reclamada con fecha 19 de julio de 2021 acordó no admitir a trámite la reclamación con número de expediente E/06289/2021, por los siguientes motivos que: “el reclamante sí reconocía la contratación, por lo que el motivo de la reclamación era el desacuerdo con la oferta económica aplicada. Dicha incidencia había quedado resuelta en fecha 13/5/201”. En la anterior resolución de la Directora de la Agencia Española de Protección de Datos, dictada con fecha 19 de julio de 2021, se señalaba , “el interesado podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de este acto, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal.”, cosa que no hizo la parte reclamante. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y VODAFONE ESPAÑA, S.A.U. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-200122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es