AI-00148-2022

1/9  Expediente N.º: EXP202200954 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 30 de noviembre de 2021, se presentó reclamación con número de registro de entrada O00007128e2100049189 ante la Agencia Española de Protección de Datos contra EUSKALTEL, S.A.U. con NIF A48766695 (en adelante, EUSKALTEL. Los motivos en que basa la reclamación son los siguientes: El reclamante presenta reclamación por recibir varias llamadas de VIRGIN TELCO en su teléfono fijo ***TELEFONO.1 ofreciéndole una oferta de telefonía, conociendo dicha entidad todos sus datos personales, incluyendo su número de cuenta bancaria, así como los datos y las condiciones relativas al contrato suscrito con su operador de telefonía. Los números desde los que han recibido las llamadas son los siguientes; ***TELEFONO.2 a las 16:45, ***TELEFONO.3 a las 17:47 y ***TELEFONO.4 a las17:48 y se deduce en la reclamación que las llamadas de produjeron en fecha 02/09/

1. Junto a la notificación se aporta: - Números de teléfono llamantes. Transcripción de la conversación mantenida por chat con la entidad reclamada (desde el 2 al 8 de septiembre de 2021). Reclamación presentada ante Consumo, en fecha 3 de septiembre de 2021, en relación con el tratamiento irregular de sus datos por parte EUSKALTEL, desconociendo la reclamante el origen de sus datos, indicando este organismo que dicho asunto escapaba de su ámbito competencial, remitiéndole a esta Agencia. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a EUSKALTEL, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 11 de febrero de 2022 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 Con fecha 11 de marzo de 2022 se recibe en esta Agencia escrito de respuesta indicando, que la reclamante contrató los servicios de VIRGIN TELCO con fecha 2 de septiembre de 2021 y que posteriormente ejerció su derecho de desistimiento con fecha 9 de septiembre de
2. Que sus datos se encuentran actualmente bloqueados por EUSKALTEL y solo han sido utilizados para dar respuesta a la solicitud de esta Agencia y que el tratamiento de los datos ha tenido como base legitimadora la existencia de una relación contractual. Que la contratación fue gestionada por su proveedor HILLGROUP CALL CENTER mediante llamada telefónica y que los números de teléfono que constan asociados a la parte reclamante no habían sido utilizados por el responsable del tratamiento para la realización de campañas comerciales. Que EUSKALTEL S.A. ha requerido HILLGROUP que acredite tanto el origen de los datos como la base legal para el tratamiento. Que EUSKALTEL S.A. es responsable del tratamiento y HILLGROUP es encargado del tratamiento. Que en burofax enviado por EUSKALTEL S.A. a HILLGROUP se manifiesta que: a. Que existe un contrato para el servicio de venta telefónica y gestión de contrataciones de los servicios de EUSKALTEL S.A. de fecha 01/01/
3. b. Que, en este caso, para el contacto con la reclamante, no se utilizó base de datos para comercialización facilitada por EUSKALTEL S.A. y, por tanto, según se recoge en contrato para la comercialización utilizando bases de datos propias del proveedor, HILLGROUP es responsable del tratamiento. c. Se le requiere informar del origen de los datos antes de la contratación con la reclamante, acreditación de la base legal para el tratamiento de los datos y facilitar grabación de la contratación con la reclamante de fecha 02/09/
4. TERCERO: Con fecha 28 de febrero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 17/01/2023 se comprueba en relación a VIRGIN TELCO que el responsable del tratamiento es EUSKALTEL S.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 30/10/2022 EUSKALTEL remite a esta Agencia la siguiente información y manifestaciones:
5. Se aporta burofax de respuesta recibida y enviado por HILLGROUP firmado en fecha 04/04/2022 y donde se manifiesta: a. Que el plazo máximo de custodia de grabaciones es de 6 meses desde que se realiza la llamada, por lo que no se conserva la grabación solicitada. b. Que el origen de los datos no es trazable. c. Que tienen constancia de la venta realizada a la reclamante con fecha 02/09/2021 pero que no tienen asociada información asociada a la misma (teléfonos). d. Que niega rotundamente la utilización de chat de WhatsApp por parte de HILLGROUP
6. Se aporta contrato de prestación de servicios firmado entre EUSKALTEL S.A. y HILLGROUP en fecha 01/01/2020 donde consta: a. Que HILLGROUP es “el prestador”. b. “El presente Acuerdo regulará la prestación para EUSKALTEL de los servicios de telemarketing y televenta que EUSKALTEL solicite al PRESTADOR […]” c. “Sin perjuicio de lo señalado en el párrafo anterior, EUSKALTEL autoriza expresamente al PRESTADOR a subcontratar a la sociedad de su grupo mercantil: BECALL OUTSOURCING, S.A.C., con RUC 20601585236 y domicilio en AV. PASEO DE LA REPUBLICA NRO. 3245 INTERIOR
7. SAN ISIDRO, LIMA, la prestación desde Perú de los servicios de televenta únicamente para las marcas RACCtel+ y Virgin Telco (en la fecha en que dicha marca esté disponible para su comercialización).” d.“SEGUNDA.- PROCEDIMIENTO. 2.1 Comercialización proactiva con bases de datos facilitadas por Euskaltel. Durante el plazo de vigencia del presente Acuerdo, EUSKAL TEL notificará al PRESTADOR por escrito los servicios concretos de telemarketing y televenta a prestar, según sus necesidades. EUSKAL TEL facilitará al PRESTADOR a los únicos y exclusivos efectos de la prestación de los servicios solicitados, y en función de cada televenta a realizar, bases de datos de sus clientes cuyo tratamiento se regirá por lo dispuesto en la Cláusula Cuarta. Ello no tendrá, en ningún caso, el carácter de cesión de dato alguno, ya que dicho listado única y exclusivamente podrá ser utilizado para la prestación de los servicios convenidos, sin que pueda el PRESTADOR disponer en modo alguno de tal listado o de parte del mismo ni extraer dato alguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Por su parte, durante la prestación de los servicios, el PRESTADOR se obliga a enviar a EUSKAL TEL, a su simple solicitud, todos los informes que EUSKAL TEL le requiera acerca de los resultados que se vayan obteniendo. […] 2.3 Uso de datos distintos a los facilitados por EUSKALTEL En el caso de que el PRESTADOR utilizara para la prestación de los servicios, datos propios o de terceros distintos de los proporcionados por EUSKALTEL, el PRESTADOR asume todas las obligaciones establecidas en la normativa vigente en materia de protección de datos personales como responsable de los mismos. […] […] 2.4.2 En el caso de acciones comerciales en las que se usen datos distintos a los facilitados por EUSKALTEL (bases de datos del PRESTADOR o de terceros): Utilizar bases de datos legitimas en cuanto al origen y finalidad, y poder demostrarlo. En este tipo de campañas el Responsable del Tratamiento es el PRESTADOR, al utilizar fuentes propias, por lo que será suya la responsabilidad de acreditar fehacientemente esta legitimidad tanto ante EUSKALTEL, que podrá solicitar pruebas sobre el origen y legitimidad de los datos según la opción de auditoría que puede ejercer sobre el PRESTADOR, como ante la Agencia Española de Protección de Datos. Filtrar sus bases de datos para eliminar previamente a las llamadas: o Listas Robinson. o Listas de oposición proporcionadas por EUSKALTEL. o Listas de oposición propias, para nunca repetir una llamada cuando el interesado ha dicho que no quiere recibirlas. EUSKALTEL podrá requerir prueba fehaciente de la realización de estos filtrados (logs que prueben este filtrado). […]” d. Que el prestador actúa como encargado del tratamiento.
8. Que la numeración ***TELEFONO.1 no consta en los listados que facilitó EUSKALTEL a HILLGROUP de forma previa a la llamada. Que los listados facilitados tienen una validez máxima de 3 meses y transcurrido dicho periodo son eliminados para cumplir el principio de minimización. Que en el momento de recibir el primer requerimiento de esta Agencia ya habían transcurrido más de 6 meses desde la generación de los listados para proveedores que hubiesen podido ser utilizados en la llamada del 2 de septiembre de
9. Que, por tanto, EUSKALTEL ya no contaba con dichos listados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9
10. Que los teléfonos para las campañas las extrae de una base de datos donde sí consta para cada número de teléfono las campañas en las que ha sido incluido. Que han verificado que la numeración llamada ***TELEFONO.1 ni tampoco la numeración móvil ***TELEFONO.6 de la reclamante (número de contacto facilitado por la reclamante en el momento de la contratación) figuran en la base de datos de campañas. Aporta captura de pantalla con una consulta SQL a la tabla de base de datos con nombre “mm-dwh-02-prod.80_DATAMART_CAMPAIGNS.dmc_target_campaign_lead” en relación a las dos numeraciones telefónicas mencionadas sin obtenerse resultados.
11. Que no disponían de datos de la reclamante con fecha 01/09/
12. Que todos los datos de los que disponen son de fecha 02/09/
13. Aporta captura de pantalla de sus sistemas donde consta un registro en una pantalla con nombre “Clientes” y donde consta el nombre, apellidos, nº DNI, número móvil de la reclamante y con fecha de creación 02/09/2021 a las 21:11 horas y en el campo “estado” consta “Excliente”. Que en otras pantallas consta asimismo su dirección postal y cuenta bancaria con la misma fecha de creación anterior.
14. Que solicita a esta Agencia se investigue la titularidad del número ***TELEFONO.
15. Con fecha 20/12/2022 se comprueba que las líneas llamantes ***TELEFONO.2, ***TELEFONO.3 y ***TELEFONO.4 están asignada a VOXBONE S.A. Asimismo se comprueba que la línea ***TELEFONO.5 está asignada a VODAFONE. Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 04/01/2023 HILLGROUP remite a esta Agencia la siguiente información y manifestaciones:
16. Que no le consta ninguna llamada al teléfono ***TELEFONO.1
17. Que el plazo máximo de custodia de grabaciones es de 6 meses para cumplir con el art. 5.1.e. RGPD.
18. Que sí les consta en sus sistemas únicamente la numeración ***TELEFONO.1 sin que conste asociada a ningún otro dato personal. Aporta una captura de pantalla de sus sistemas recortada donde consta la numeración ***TELEFONO.1 asociada al campo “proyectoventa”=”VIRGIN TELCO” y al campo “fechamodificacion”=”2021-09-03 15:23:37”. 4.Que la línea ***TELEFONO.5 no es titularidad de HILLGROUP. HILLGROUP no aclara el origen de los datos, información que ha sido solicitada e incluida en el requerimiento de fecha 20/12/
19. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 11/01/2023 EUSKALTEL remite a esta Agencia la siguiente información y manifestaciones:
20. Que no pueden aportar los listados de numeración de campañas comunicados a HILLGROUP porque no se encuentran disponibles. Que dichos listados se eliminan como máximo cada 3 meses para cumplir con la minimización de datos de la legislación en materia de protección de datos.
21. Que las numeraciones las obtenían del plan nacional de numeración.
22. Que la información sobre la fecha de envío y el proveedor al que enviaban la numeración se guardaba en una base de datos. Que cada 12 meses desde el fin de la campaña la información sobre la misma se eliminaba de la base de datos, aunque los números de teléfono se mantenían en la citada base de datos sin más información asociada con fines estadísticos.
23. Que si un número no aparece en la citada base de datos quiere decir que nunca ha sido incluido por parte de EUSKALTEL en listados propios con fines comerciales. Con fecha 20/12/2022 se envía requerimiento de información a VODAFONE ESPAÑA, S.A.U. La notificación consta entregada con fecha 28/12/
24. No se recibe contestación. Con fecha 09/01/2023 se envía requerimiento de información a VOXBONE S.A. La notificación consta entregada con fecha 09/01/
25. No se recibe contestación. Se incorpora al presente expediente documentación remitida por VOXBONE S.A. con número de registro de entrada O00007128e2200009870 en el contexto del expediente EXP202104922 en relación con la titularidad de la numeración ***TELEFONO.4 a fecha 30/09/2021, la cual es STG COMPANY en la dirección Calle Alejandro Dumas 17, Oficinas, 29004, Málaga con teléfono de contacto ***TELEFONO.
26. y correo electrónico info@stg-company.com. Se incorpora al presente expediente documentación remitida por VOXBONE S.A. con número de registro de entrada O00007128e2200011171 en el contexto del expediente E/08084/2021 en relación con la titularidad de la numeración ***TELEFONO.3 a fecha 16/04/2021, la cual es STG COMPANY en la dirección Calle Alejandro Dumas 17, Oficinas, 29004, Málaga con teléfono de contacto ***TELEFONO.
27. y correo electrónico info@stg-company.com. Se incorpora al presente expediente diligencia del expediente EXP202102123 donde se comprueba que STG COMPANY no consta en www.axesor.es ni por nombre ni por dirección postal. Se comprueba que tampoco consta en el servicio Google Maps buscando por la dirección postal facilitada. Se comprueba que en la página web http:// www.stg-company.com/contacto.html consta una dirección postal ubicada en Perú, para la compañía STG COMPANY la cual se ha incorporado al apartado de entidades investigadas. Que a pie de dicha página web consta “STG GROUP SAC”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El artículo 6 del RGPD, regula la licitud del tratamiento estableciendo lo siguiente: “
28. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) C/ Jorge Juan, 6 28001 – Madrid el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; www.aepd.es sedeagpd.gob.es 8/9 f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” III Conclusión A través de las actuaciones realizadas por esta Agencia, se ha podido determinar que VIRGIN TELCO (Euskaltel), tenía los datos de la reclamante por haber autorizado el cambio de operador. Se ha podido comprobar que, en este caso para el contacto con la reclamante, no se utilizaron las bases de datos para comercialización facilitadas por EUSKALTEL, (aportan capturas de pantalla en relación con la numeración sin obtener resultados con fecha anterior al 2 de septiembre de 2022). Según se recoge en el contrato entre EUSKATEL Y HILL GROUP, consta que HILL GROUP puede subcontratar servicios de la entidad BECALL OUTSOURCING, S.A.C. localiza en Perú. HILL GROUP, manifiesta que tienen constancia de la venta realizada a la reclamante con fecha 2 de septiembre de 2022, que no pueden aportar la grabación de la llamada pues el plazo máximo de custodia es de 6 meses desde que se realiza y por lo tanto no conservan dicha grabación. En relación con las llamadas telefónicas, se ha podido determinar que las líneas ***TELEFONO.4 y ***TELEFONO.3, pertenecen a STG GROUP SAC., empresa ubicada en Perú y por lo tanto quedando fuera del ámbito competencial de esta Agencia. Sobre la línea ***TELEFONO.2 no se ha podido determinar quién es el titular de la línea, se le envío requerimiento de información a VOXBONE, el cual no ha sido contestado. Respecto a la línea ***TELEFONO.5 no se ha podido constatar la titularidad de esta numeración móvil. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a EUSKALTEL, S.A.U., HILLGROUP CALL CENTER, S.L. y STG GROUP S.A.C. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-091222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es