AI-00319-2023

1/6  Expediente N.º: EXP202200934 RESOLUCIÓN DE CADUCIDAD DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 11 de enero de 2022 A.A.A. (en adelante la parte reclamante) presentó reclamación ante la Agencia Española de Protección de Datos contra EUSKALTEL, S.A. con NIF A48766695 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son que con fecha 3 de enero de 2022, tras acceder a su área personal con la entidad reclamada, comprobando que los servicios contratados no son los suyos, asociado a un número de teléfono y a una dirección de correo electrónico que desconoce. Con fecha 4 de enero de 2022, comprueba que también se ha modificado el número de cuenta bancaria. Acompaña a su escrito de reclamación factura de consumo de noviembre de 2021 con sus datos personales y la de diciembre de 2021 en la que aparecen los datos modificados y contrato formalizado sin su consentimiento en diciembre de

1. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), 27/01/2022 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 04/02/2022 como consta en el acuse de recibo que obra en el expediente. La parte reclamada remite el 04/03/2022 a la AEPD lo siguiente: “ A.A.A. fue cliente de Euskaltel desde 21/09/2015, sin que en ningún momento A.A.A. haya puesto en duda la legitimidad de esta contratación ni de los tratamientos de datos realizados por Euskaltel en relación con la misma. El día 1 de diciembre de 2021 un comercial del canal presencial puerta a puerta cargó en los sistemas de Euskaltel una ampliación de lo contratado a nombre de A.A.A. en una segunda residencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Esta persona cargó además del alta de servicios la documentación requerida por Euskaltel: copia del DNI y copia de acreditación de cuenta bancaria que se aportan como Anexo I y Anexo II al presente documento. Para Euskaltel esta alta cumplía con todos los requerimientos de documentación y verificación de identidad que contemplan nuestros procedimientos, tal como se puede comprobar en los documentos anexos. Puesto que al ser un alta presencial el comercial tiene la obligación, por contrato con su empresa, de verificar la identidad de la persona que realiza la contratación, además de aportar copia de la documentación verificada para demostrar el cumplimiento de esta obligación. Una vez recibida la reclamación de A.A.A. se verificó que el comercial que había gestionada el alta no reconocida por su parte tenía el código, recogido en los logs de los sistemas de Euskaltel, personal y único ***CÓDIGO.
2. Citado código está asociado al proveedor de fuerza de venta presencial de esta mercantil Naviser Cantábrico S.L. Tras comunicar a Naviser esta reclamación y solicitar información sobre la misma, estos nos indican lo siguiente: El comercial que tenía asignado el código ***CÓDIGO.1 fue despedido disciplinariamente por Naviser el día 24/01/2022, por haber detectado actividades fraudulentas en las altas y ventas de productos que venía realizando. Como resultado de la investigación iniciada a raíz de la reclamación de A.A.A., se concluye que la causa del alta fraudulenta a nombre de A.A.A. es un ilícito penal cometido por el comercial de Naviser identificado por Euskaltel como ***CÓDIGO.1, que suplantó ante Euskaltel y ante Naviser a A.A.A., aportando su documentación personal, en un alta que era conocedor que no había sido solicitada por la clienta realmente. Esta persona es la única responsable de esta incidencia, habiendo cometido un delito de fraude. Se ha investigado si la documentación aportada por el comercial en el alta fraudulenta a nombre de A.A.A. pudo haber sido obtenida por su parte desde los sistemas de Euskaltel, y se ha verificado que no es posible. El alta original y la documentación aportada en su momento por A.A.A. es del 2015, cuando el DNI aportado por ***CÓDIGO.1 es del 09/09/
3. A mayor abundamiento, vemos que el DNI aportado por A.A.A. en su reclamación a la Agencia tiene una fecha de expedición de 28/10/2021 que no coincide con el aportado en la contratación objeto de reclamación. Pero la fecha de validez de ambos DNI sí coincide. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Además, A.A.A. gestionó un duplicado de SIM el día 18/10/2021 en una tienda de Euskaltel (duplicado nunca dubitado por la reclamante y que no es objeto de esta reclamación). Todo ello nos hace pensar que A.A.A. ha sufrido un robo a mediados del mes de octubre, por el cual el defraudador ha podido hacerse con su documentación y datos y aportarlos en la contratación de 1 de diciembre. Con todo lo anterior queremos reforzar el hecho de que Euskaltel recibió por parte del suplantador información verdadera y documentos legítimos, que no salieron de nuestros sistemas sino que obtuvo por otras vías (creemos que un robo a A.A.A.). Lo que añadido a que el comercial que tenía el deber de verificar la contratación presencialmente con A.A.A. fue el responsable de la suplantación, hizo imposible para Euskaltel detectar el fraude, a pesar de todas las medidas implantadas. Ha de indicarse que ya existían en el momento de producirse estos hechos varios procesos de control de calidad de las contrataciones realizadas por parte del personal de fuerza de venta presencial, cuya finalidad es, entre otras, detectar comportamientos anómalos o fraudes por parte de los comerciales que gestionan altas presenciales: • Naviser, como proveedor de esta mercantil, tiene implantado un proceso de calidad propio en el que se revisan un porcentaje de las altas gestionadas por cada uno de sus comerciales. Fue en este proceso en el que se detectaron actuaciones fraudulentas por el comercial con el código ***CÓDIGO.1, y se procedió a su despido con toda diligencia para evitar que siguiesen produciéndose actuaciones maliciosas por su parte. Además, obviamente, de cancelar las altas fraudulentas detectadas. No todas las altas cargadas por este comercial fueron efectivamente fraudulentas, y en concreto en el caso de A.A.A. no se detectó el fraude por contar con documentación legítima. • Euskaltel a su vez también tiene un proceso de calidad implantado, que audita un porcentaje de todas las altas gestionadas por sus proveedores, en las que se revisa la calidad de la venta, documentación aportada, canal real y por supuesto validación con el cliente de todos los datos del alta. Como medidas implantadas para evitar que estos sucesos puedan volver a producirse, se indica que la primera medida fue tomada directamente por Naviser el día 24/01/2022 con la retirada de las credenciales de acceso a sistemas de Euskaltel del comercial de código ***CÓDIGO.1 y su despido disciplinario. Y a mayores nos indican que han tomado las siguientes medidas en sus procedimientos internos para evitar situaciones como estas, en las que uno de sus comerciales sea el que cometa el fraude en la contratación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 • Se les ha retirado las credenciales de acceso a los sistemas de Euskaltel a todos sus comerciales de fuerza de venta, de forma que todas las altas de servicios se carguen por parte de un backoffice propio, compuesto por tres personas únicamente. La razón es la alta rotación del personal comercial presencial puerta a puerta, que hace más complicado generar relaciones de confianza. Estas personas realizarán una segunda revisión de documentación de la contratación a la vez que la carguen en sistemas. • Se ha incrementado el porcentaje de altas que se revisan en sus procesos internos de calidad. • Se ha includo en el proceso de calidad la revisión específica de altas en segundas residencias, es decir, en altas sobre ya clientes en una dirección diferente a la orignal del cliente, como en el caso objeto de la reclamación. En conclusión, se considera que no ha existido responsabilidad alguna, ni dolo ni falta de diligencia, por parte de Euskaltel en la gestión del alta a nombre de A.A.A.. El responsable ha sido en exclusiva una persona física, el comercial de Naviser, que ha cometido un delito de suplantación de identidad y de fraude, a través del incumplimiento de sus responsabilidades laborales de verificación del deseo de contratar de la clienta, así como al aportar documentación a sabiendas que no era la clienta quien la aportaba. A mayor abundamiento, hemos de indicar que no se ha producido tampoco ningún tipo de tratamiento no legítimo de datos de A.A.A. por parte de esta mercantil. A.A.A. es cliente desde 2015 y no ha puesto en duda en ningún momento la legitimidad de la contratación de
4. Y en este caso, no se trató ningún dato personal de A.A.A. a mayores de los ya tratados legítimamente desde
5. Tampoco se ha producido ninguna fuga de información personal de responsabilidad de Euskaltel. A.A.A. Se ha podido verificar que ninguno de los datos o de la documentación aportada en la suplantación por parte del comercial ***CÓDIGO.1 se obtuvo de los sistemas de Euskaltel, por no encontrarse previamente registrados en estos. Desconocemos el origen de los mismos, pero el responsable es en exclusiva el comercial que los utilizó maliciosamente. En cuanto al deber de diligencia por parte de Euskaltel en la identificación de la identidad del contratante, como se ha indiado previamente, esta obligación la tenía el comercial de Naviser a través del contrato de prestación de servicios con esta empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Y Euskaltel no pudo detectar el delito que cometió esta persona y el incumplimiento contractual al haber aportado como prueba una copia de un documento legítimo.” TERCERO: Con fecha 11 de abril de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, lleva a cabo las oportunas actuaciones de investigación para el esclarecimiento de los hechos denunciados. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Caducidad de las Actuaciones previas de investigación El artículo 67 de la LOPDGDD determina lo siguiente, respecto a las actuaciones previas de investigación: “
6. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales.
7. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” A tenor de lo dispuesto en el artículo transcrito, las actuaciones previas han de entenderse caducadas si, transcurridos más de doce meses contados desde la fecha de admisión a trámite de la reclamación, no se han finalizado las mismas. En el presente supuesto el cómputo de los doce meses de duración máxima de las actuaciones previas se inició el día 11 de abril de 2022 por lo que deben declararse caducadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: DECLARAR la CADUCIDAD de las presentes actuaciones previas de investigación y proceder a su ARCHIVO. SEGUNDO: NOTIFICAR la presente Resolución a EUSKALTEL, S.A. y a la parte reclamante. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 907-091222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es