1/7 Expediente N.º: EXP202404391 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 4 de marzo de 2024, se presentó reclamación con número de registro de entrada REGAGE24e00016564297 ante la Agencia Española de Protección de Datos contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada o VODAFONE). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, en las últimas semanas, ha recibido llamadas en su línea de teléfono de terceros. Manifiesta que los llamantes le indican que han recibido llamadas desde su teléfono, sin que, asegura la parte reclamante, las haya realizado. Además, la parte reclamante indica haber sufrido cortes intermitentes del servicio de móvil, poniéndose en contacto con su compañía de teléfono (LOWI), informándole esta que VODAFONE ha entregado una tarjeta SIM de prepago con su número de teléfono asociado a la tarjeta. La parte reclamante lleva varios días tratando con su compañía para tratar de solucionar el problema, si bien, no recibe información por escrito, ni le facilitan número de ticket de su incidencia y tampoco las grabaciones. Asimismo, señala que no ha conseguido ponerse en contacto con VODAFONE. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 20 de marzo de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 22 de abril de 2024 se recibe en esta Agencia escrito de respuesta indicando: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 “Que con el objetivo de atender correctamente las pretensiones del reclamante se solicitó el pasado 12 de abril de 2024 a esta Agencia la aportación del Número de Identificación Fiscal (“NIF”) del reclamante, al no haber sido posible identificarle en los sistemas internos de Vodafone debido a la existencia de otros clientes de esta entidad con el mismo nombre. Es por ello, por lo que ante esta falta de información identificativa del reclamante que mi representada no puede dar respuesta a las solicitudes realizadas por esta Agencia”. TERCERO: Con fecha 4 de junio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Sobre los duplicados SIM Se ha requerido a la parte reclamada para que aporte información y documentación sobre duplicados de tarjetas SIM realizados sobre la línea del reclamante, las vías mediante las que se solicitaron, así como documentación acreditativa de haber efectuado la verificación de identidad del solicitante. A este respecto, la parte reclamada manifiesta que han verificado que no se encuentran registradas en sus sistemas interacciones con objeto de realizar ningún duplicado de tarjeta SIM durante todo el tiempo que el reclamante ha mantenido servicios activos contratados. Asimismo, informa que se ha podido verificar que tampoco se observan gestiones de contratación o cambios de tarifa asociados a su ficha de cliente. Aporta captura de pantalla extraída de los sistemas LOWI, del histórico de acciones realizadas con respecto al reclamante, en la que se observa que únicamente figuran dos acciones registradas, correspondiéndose la primera con el alta del servicio en fecha 28 de julio del 2018, y la segunda y última, con la baja del servicio, el 29 de abril del 2024. Indica, asimismo, que se ha podido comprobar en el apartado de Custodia de Documentos, el cual manifiestan almacena todas las comunicaciones que se envían a los clientes LOWI mediante correo electrónico desde su fecha de alta hasta la baja de los servicios contratados, que no existe gestión alguna relacionada con solicitudes de duplicados SIM. Aportan captura de pantalla del apartado de custodia de documentos con registro de las comunicaciones realizadas al reclamante donde no se observa ninguna correspondiente a duplicados SIM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 Por otro lado, apunta que, en caso de que se hubiera emitido un duplicado SIM, el reclamante no habría perdido la línea de forma intermitente, sino definitivamente al quedar cancelada, hasta que le hubiera sido emitido uno nuevo. Adicionalmente, la parte reclamada manifiesta que teniendo en cuenta lo anterior, han realizado comprobaciones adicionales para entender lo ocurrido, no encontrando incidencias como errores puntuales de asignación de la misma línea del reclamante a otro cliente, y, señala que ha podido descartar incidencias de ese tipo. Aporta capturas de pantalla de sus sistemas donde se muestra que no hay resultados para los criterios de búsqueda. Indica que ha podido verificar que no se ha producido duplicidad alguna en relación con la línea telefónica de la parte reclamante. Asimismo, se ha comprobado que el reclamante no tenía otros números de línea activos con ella. Sobre los contactos que el reclamante mantuvo con la entidad. Con relación a los contactos mantenidos con el cliente indican que, tras las investigaciones llevadas a cabo, se ha podido comprobar que, entre los días 15 de febrero de 2024 y 4 de marzo de 2024 (rango de fechas que ha sido requerido), el reclamante se puso en contacto con los servicios de atención al cliente de LOWI en cinco ocasiones. Aporta impresiones de pantalla con el detalle de los cinco contactos mantenidos entre el reclamante y los servicios de atención al cliente de LOWI, en las fechas indicadas, incluyendo las anotaciones y acciones llevadas a cabo por cada agente. Revisadas las cinco interacciones no se observa información concluyente. Concluye que, si bien se hizo todo lo posible por averiguar el origen de la incidencia para poner solución a la misma y darle respuesta al reclamante, no ha sido posible verificar si la línea fue asignada por error a otro cliente por parte de otro operador ajeno a VODAFONE, activando la numeración para otro cliente de forma simultánea al reclamante, y dando lugar a dicha incidencia. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." III Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." IV Conclusión En el presente caso, la parte reclamante manifiesta que ha recibido llamadas en su número de teléfono de terceros que le señalaban tener llamadas perdidas de su línea telefónica, sin haberlas realizado. Además, la parte reclamante declara haber sufrido cortes intermitentes del servicio de su línea móvil. No obstante, tras las actuaciones previas de investigación realizadas, la parte reclamada ha aportado documentación acreditativa sobre la no existencia de emisiones de duplicados de tarjetas SIM para la línea del reclamante. Además, no figuran en los sistemas de información de la entidad gestiones asociadas a la emisión de duplicados SIM, ni interacciones asociadas con ningún duplicado SIM. A mayores, los hechos relatados por la parte reclamante no son consistentes con la emisión de un duplicado SIM fraudulento, ya que en caso de que éste se hubiera emitido, la SIM del reclamante se habría cancelado habiendo perdido la línea hasta que le hubieran entregado uno nuevo, y no de forma intermitente como relata. La parte reclamada ha investigado la posible existencia de errores puntuales de asignación de la misma línea del reclamante a otro cliente, aportando evidencias de que ello no ha ocurrido en el ámbito de esta operadora, y desconociéndose por tanto la causa de la supuesta incidencia relatada. Por todo ello no se han podido acreditar los hechos reclamados. De acuerdo con lo anterior, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es