1/6 Expediente N.º: EXP202204902 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 4 de abril de 2022, se presentó reclamación con número de registro de entrada REGAGE22e00011348544, REGAGE22e00011999302 y REGAGE22e00013834165 ante la Agencia Española de Protección de Datos contra XFERA MÓVILES, S.A. con NIF A82528548 (en adelante, XFERA). Los motivos en que basa la reclamación son los siguientes: El reclamante presenta reclamación por la recepción de llamadas comerciales en líneas fija y móvil (***TELÉFONO.1 y ***TELÉFONO.2) registradas en Lista Robinson desde el 18/03/19, aportando Certificado para acreditarlo. Asimismo, aporta documentación acreditativa de la titularidad de las líneas receptoras y captura de pantalla de una conversación en Twitter con la reclamada promocionada, solicitando la oposición el 01/03/
- Por otro lado, indica cronología de las llamadas recibidas y líneas llamantes, pero no aporta evidencia documental de su recepción. En la entrada agrupada REGAGE22e00011999302 manifiesta que ha recibido una nueva llamada de la reclamada en su línea móvil el 06/04/22, aportando captura de pantalla en la que consta la recepción de una llamada desde la línea ***TELÉFONO.3 a las 14:50 horas. Asimismo, aporta comprobación de una consulta del número de la línea llamante en la CNMC, figurando como su operador actual la reclamada. En la entrada agrupada REGAGE22e00013834165 manifiesta que ha recibido una nueva llamada de la reclamada en su línea móvil el 19/04/22, aportando captura de pantalla en la que consta la recepción de una llamada desde la línea ***TELÉFONO.4 a las 16:41 horas. El reclamante señala que, en el marco de la llamada, el teleoperador ha manifestado que llamaba desde de VODAFONE, si bien el reclamante alega que se trata de la entidad reclamada ya que consultada la línea llamante en la CNMC ha comprobado que su operador es la reclamada. (También aporta prueba de la consulta). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a XFERA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 4 de mayo de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 7 de junio de 2022 se recibe en esta Agencia escrito de respuesta indicando que, han comprobado en su sistema que los números del reclamante no han sido impactados comercialmente por ninguna acción autorizada por XFERA y que sus colaboradoras tienen que proporcionarles mensualmente una relación actualizada de las numeraciones salientes que van a utilizar, no estando permitido el uso de numeraciones no comunicadas. Han comprobado que la numeración ***TELÉFONO.3 estaba reportada por conducta irregular por la realización de llamadas al servicio de atención al cliente de otra empresa del Grupo durante el mes de abril, incluyéndose en una blacklist como posiblemente fraudulenta. Detectaron que la mencionada numeración se encontraba asignada a la parte reclamada, encontrándose hasta el 26 de abril en el pool de numeraciones sin asignar. Con fecha 26 de abril la línea es asignada a un cliente cuya identidad ha sido correctamente verificada. Se ha revisado igualmente que, durante las fechas de referencia, la línea, que no se encontraba asignada, tampoco había cursado tráfico. TERCERO: Con fecha 4 de julio de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Se incorporan mediante una diligencia la búsqueda de las operadoras de los números de teléfono indicados en la reclamación en los Registros de Numeración y Operadores de Telecomunicaciones.
- Sobre los números de teléfono ***TELÉFONO.3 y ***TELÉFONO.
- Realizado requerimiento de información a la operadora final de los números de teléfono, la parte reclamada, sobre la titularidad de ambos números, esta manifiesta que: A. Respecto de la línea ***TELÉFONO.3: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 La línea no se encontraba asignada con fecha 6 de abril de 2022, esta línea se activó con fecha 28 de abril de
- La línea no fue portada, sino que fue dada de baja con fecha 3 de marzo de 2022 por nuestro departamento de fraude al detectar fraude. De 3 de marzo a 28 de abril, la línea formaba parte del pool de numeración de mi representada y no cuenta con tráfico en red El día 6 de abril de 2022, entre las 13:00 y las 16:00 horas. No consta en la red la llamada indicada. Es necesario aclarar que la línea en cuestión no tuvo tráfico entre el 3 de marzo y el 28 de abril, ya que de hecho la numeración no se encontraba asignada. No obstante, se detecta actividad con origen esta numeración en líneas de nuestros clientes. Esto es posible porque esta numeración, con muy alta probabilidad, fue objeto de suplantación de CLI o spoofing, de modo que las llamadas no salieron de esa línea (que de hecho estaba inactiva), sino que se utilizaba para enmascarar otra numeración. De esta forma esta numeración aparece como número llamante, pero la llamada no sale realmente de la línea indicada. B. Respecto de la línea ***TELÉFONO.4: La línea no se encontraba asignada en fecha 19 de abril de
- Como sucede en el caso anterior, esta línea fue dada de alta en modalidad prepago el 3 de marzo de 2022 y dada de baja ese mismo día, 45 minutos después, al detectar fraude en la contratación. La persona que registró esta línea y la anterior utilizó los mismos datos. El día 19 de abril de 2022, entre las 15:00 y las 18:00 horas no consta en la red la llamada indicada. Es necesario aclarar que la línea en cuestión no tuvo tráfico entre el 3 de marzo y el 28 de abril, ya que de hecho la numeración no se encontraba asignada. No obstante, se detecta actividad con origen esta numeración en líneas de nuestros clientes. Esto es posible porque esta numeración, con muy alta probabilidad, fue objeto de suplantación de CLI o spoofing, de modo que las llamadas no salieron de esa línea (que de hecho estaba inactiva), sino que se utilizaba para enmascarar otra numeración. De esta forma esta numeración aparece como número llamante, pero la llamada no sale realmente de la línea indicada.
- Sobre el número de teléfono ***TELÉFONO.
- Realizado requerimiento de información a la operadora final del número de teléfono, la entidad LEAST COST ROUTING TELECOM S.L., sobre la titularidad de este número, esta manifiesta que el 14 de julio de 2022 el titular de este número era: LEADDESK, S.L. con NIF: B88511092 y domicilio social en C/ ***DIRECCIÓN.1 y dato de contacto ***EMAIL.
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 La línea se utiliza a través de conexión SIP trunking (Conexión de protocolo de inicio de sesión que consiste en el uso de voz sobre una IP) mediante un servicio VoIP (Voz sobre IP). La tecnología VoIP es el equivalente virtual de una línea tradicional para empresas, permite realizar llamadas a través de internet. Mediante esta tecnología se presta el servicio de telefonía de la línea ***TELÉFONO.
- No existe una instalación física en un domicilio, existe una conexión a servicios de voz a través del internet del Abonado o Usuario para que la señal de voz se envíe de forma digital por su red IP. Respecto de la línea llamante es cliente final de LEAST COST ROUTING TLECOM, S.L., no Revendedor. La citada línea ha estado activa en nuestro sistema desde el día 20/04/2022 y a día de hoy sigue activa. Se confirma la llamada desde el número ***TELÉFONO.5 al número ***TELÉFONO.2, el día 14 de julio de 2022, entre las 20:00 y las 22:00 horas. Realizado requerimiento de información al titular de la línea, la entidad LEADDESK, S.L. el 21 de octubre de 2022 por notificación electrónica, consta expirado el 7 de noviembre. Se reitera el requerimiento por vía postal el 16 de noviembre y consta entregado el 30 de noviembre al domicilio social en C/ ***DIRECCIÓN.1, y por segunda vez se reitera al mismo domicilio social el 27 de diciembre que consta entregado el 11 de enero de 2023 y al correo electrónico ***EMAIL.1 . No se ha recibido respuesta a fecha de este informe. Se comprueba el 13 de enero de 2023 la dirección postal con la AEAT, que resulta ser ***DIRECCIÓN,
- Mediante una diligencia se comprueba que es la misma dirección que aparece en la página web ***URL.1: LeadDesk SL, ***DIRECCIÓN.2 y en la política de privacidad ***URL.2 se indica el contacto del DPD: Privacy Compliance Officer, c/o LeadDesk Ltd, Address: Hämeentie 19, Helsinki, ES, 00500, Finland, Email: ***URL.
- Y en ***URL.4 se indica el contacto en España: A.A.A., Country Manager, Spain, ***TELÉFONO.6, ***EMAIL.
- Se realiza requerimiento de información por vía postal a esta otra dirección el 24 de enero de 2023 y no consta entrega ni respuesta a fecha de este informe. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 I Competencia De acuerdo con lo establecido en el artículo 114.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones (en lo sucesivo LGTel) y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados El artículo 48 de la LGT, bajo la rúbrica "Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados", dispone en su apartado 1.b), lo siguiente: "
- Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones electrónicas tendrán los siguientes derechos: (...) b) A oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a ser informado de este derecho." III Conclusión A través de las actuaciones realizadas por esta Agencia, se ha podido determinar que dos de los números llamantes que pertenecen al operador XFERA, no estaban asignados a ningún cliente en la fecha de las llamadas reclamadas. No obstante, se detecta actividad con origen esta numeración en líneas de sus clientes. Esto es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 posible porque esta numeración, con muy alta probabilidad, fue objeto de suplantación de CLI o spoofing telefónico (que es una forma de enmascarar la identidad de empresas o personas cambiando el número que aparece en el identificador de llamadas, usan el número para que parezca que es otra empresa o persona quien llama.). Con lo cual no se puede determinar quién realizó la llamada y quien es el responsable de esta. El tercer número llamante el operador es LEAST COST y el titular final es LEAD DESK y se confirma la llamada en origen y destino. LEAD DESK no ha respondido a los requerimientos remitidos por esta Agencia, por lo que, en el presente caso, no ha sido posible determinar que LEAD DESK sea el responsable final de la llamada reclamada. Por lo que, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a LEADDESK, S.L. y XFERA MÓVILES, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-091222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es