1/12 Expediente N.º: EXP202211439 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 15 de septiembre de 2022, se presentó ante la Agencia Española de Protección de Datos contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: Con fecha 11 de agosto de 2022 se puso en contacto con el reclamado al efecto de solicitar el acceso a todas las grabaciones de sus llamadas con el centro de atención telefónica del reclamado de los últimos cinco meses. Manifiesta que durante dicho periodo realizó al menos diez llamadas al centro de atención telefónica del reclamado, además de recibir alguna desde el propio reclamado. Expresa que, entre dichas llamadas, se produjeron varias en las que se llevaron a cabo “cambios de tarifas y contratos”. Expresa además que, como respuesta a su solicitud, el reclamado le facilitó la grabación de una única llamada que corresponde con uno de los “cambios de condiciones”. Documentación relevante aportada por el reclamante: Documento en el que se transcriben los correos electrónicos intercambiados entre el reclamante y el reclamado en relación con los hechos objeto de reclamación. Contiene: - Solicitud del reclamante al reclamado realizada el día 11 de agosto de 2022 de las grabaciones de sus conversaciones con el servicio de atención al cliente, con especial mención a las realizadas el día 12 de mayo de 2022. Indica asimismo que el número de teléfono “desde el que se han realizado las llamadas” es el ***TELÉFONO.1. - Respuesta dirigida por el reclamado al reclamante el día 11 de agosto de 2022 con el siguiente texto: “En respuesta a su correo electrónico deseamos pedirle nuestras sinceras disculpas por las molestias ocasionadas por esta situación, debido a esto, le enviamos la grabación N°***NÚMERO.1; la cual, se generó el 10/08/2022 y es la que tenemos disponible, al igual, que vigente ya que los audios son guardados de manera aleatorias [sic] por políticas de calidad. Por supuesto, si necesita algo adicional o tiene alguna otra duda nosotros trataremos de ayudarle para resolverlo cuanto antes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 - Reiteración del reclamante de su “petición de las grabaciones del día 12 de mayo.” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 31 de octubre de 2022, como consta en el certificado que obra en el expediente. Con fecha 1 de diciembre de 2022 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: El reclamante solicitó el día 11 de agosto de 2022 el acceso a las grabaciones de las llamadas mantenidas con Atención al Cliente. El mismo 11 de agosto de 2022 se atendió la solicitud facilitando la grabación nº: ***NÚMERO.1, de fecha 10 de agosto del 2022, e indicándole la imposibilidad de facilitarle la comunicación correspondiente al día 12 de mayo del 2022 o evidencias de otras llamadas. Una vez recibido el traslado de la AEPD, el reclamado ha dirigido una nueva comunicación al reclamante dando contestación al ejercicio del derecho de acceso e informándole de que no consta en sus sistemas ninguna grabación efectuada en el mes de mayo de 2022. Resume el reclamado que, como respuesta a la solicitud de acceso a las grabaciones realizada por el reclamante el día 11 de agosto de 2022, se le facilitó la grabación de la conversación mantenida el día 10 de agosto de 2022 así como evidencias de la contratación efectuada en fecha 12 de mayo de 2022. Además, refiere que no es posible facilitarle grabaciones de las conversaciones mantenidas el día 12 de mayo de 2022 ya que no constan en sus sistemas de información. Motiva este último aspecto en los siguientes términos: “las llamadas telefónicas recibidas por los servicios de atención al cliente de Vodafone solo son grabadas de forma aleatoria y con fines de calidad de la atención dispensada al cliente, conforme se informa expresamente a los interesados en la realización de cualquier trámite por el canal telefónico. […] el número de peticiones y trámites que Vodafone gestiona de forma telefónica hace prácticamente inviable la grabación y conservación de la totalidad de las gestiones efectuadas telefónicamente ante los servicios de atención al cliente de esta entidad, por lo que Vodafone solo lleva a cabo la grabación de un número representativo del total de gestiones efectuadas telefónicamente a fin de poder evaluar la calidad de la atención al cliente o para acreditar la contratación efectuada por un nuevo cliente”. Documentación relevante aportada por el reclamado: Documento 1: copia de los correos electrónicos intercambiados entre el reclaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 mante y el reclamado con motivo en los hechos objeto de reclamación. Contiene: - Copia de los correos electrónicos de fecha 11 de agosto de 2022 adjuntados también por el reclamante y referidos anteriormente. - Copia del correo de fecha 12 de agosto de 2022 dirigido por el reclamante al reclamado en el cual reitera la solicitud y cuyo contenido ha sido igualmente adjuntado por el reclamante y referido anteriormente. - Copia del correo de fecha 12 de agosto de 2022 dirigido por el reclamado al reclamante en repuesta al citado en el párrafo anterior. Incluye el texto siguiente: “[…] le comunicamos que en sistema no contamos con la grabación que nos solicita del 12/05/2022 ya que las mismas son guardas [sic] de manera aleatoria, pero le recordamos que ese día al momento de contratar le enviamos un contrato donde se le brinda las condiciones del servicio y este fue aceptado por usted.” Documento 2: copia de la comunicación dirigida por el reclamado al reclamante el día 1 de diciembre de 2022 tras recibir el traslado de la AEPD. Cita lo siguiente: “Por medio de la presente carta, queremos informarle de que, tras tener conocimiento de su solicitud de ejercicio del derecho de Acceso, procedimos a contestar con la mayor brevedad posible, resolviendo su pretensión. En la respuesta trasladada se incluía la grabación Nº***NÚMERO.1, relativa al 10 de agosto del 2022. Se trata de la única grabación de una conversación mantenida por usted con Vodafone que figura en nuestros sistemas. Asimismo, se le comunica la imposibilidad de remitirle la grabación de fecha 12 de mayo de 2022, al no constar en los sistemas de Vodafone ninguna grabación efectuada en esa fecha. A tal efecto, le informamos de que las llamadas realizadas al Servicio de Atención al Cliente de Vodafone no se graban en su totalidad, sino que se hace de manera aleatoria, aspecto del que da constancia la propia locución inicial al contactar con el Servicio de Atención al Cliente al indicar que “las llamadas podrán ser grabadas” para mejorar la prestación del servicio. En todo caso, y con el fin de dar adecuada respuesta a su petición, se remite copia del contrato formalizado entre usted y Vodafone en fecha 12 de mayo de 2022.” Documento 3: contrato de fecha 12 de mayo de 2022 a nombre del reclamante (adjuntado igualmente por el reclamado como documento 2 del Escrito del Reclamado). Incluye en sus cuatro primeras páginas el “resumen de tu contrato” que refiere el pedido número ***NÚMERO.2, el servicio contratado “Vodafone One Ilimitada Avanzada (Fibra 300Mb)”, y el servicio del cual se ha solicitado baja “Vodafone Fibra 300Mb”. Las tres páginas siguientes refieren el “Contrato de Servicio Móvil, Banda Ancha, Fijo y TV para Clientes Particulares”, que contiene los datos del cliente (el reclamante) entre los que constan el número de teléfono ***TELÉFONO.1 y la dirección de correo electrónico ***EMAIL.1. Las últimas tres páginas contienen un certificado emitido por DIGITEL ON TRUSTED SERVICES SLU (C.I.F. B47447560) que cita lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 “Dirección ***EMAIL.1 Nombre A.A.A. Documento Identidad ***NIF.1 Cuerpo del email: Vodafone Hola A.A.A., Tal y como hemos hablado, te hacemos llegar tu contrato. Revísalo y fírmalo siguiendo las instrucciones que te indicamos. Firmar contrato Este enlace tiene una validez de dos horas. Es muy importante que firmes tu contrato lo antes posible para poder activar tus servicios. Gracias por confiar en Vodafone. Síguenos facebook twitter YouTube instagram App Mi Vodafone La mayor Red de Europa, impulsada al 100 por energías renovables Copyright 2021 C Vodafones […] certifica que se ha enviado un SMS desde el número ***TELÉFONO.2 al usuario final con documento de identidad ***NIF.1 y número de teléfono móvil ***TELÉFONO.1 el día 12/05/2022, a las 21:56:53(GMT +02:00) con el siguiente texto: VF Info: ¡Gracias por confiar en Vodafone! Revisa y firma tu contrato, usando el código que te enviaremos por sms. Accede a: https://masinfo.one/aRTjmS8tfh […] certifica que se ha enviado un SMS desde el número ***TELÉFONO.2 al usuario final con documento de identidad ***NIF.1 y número de teléfono móvil ***TELÉFONO.1 el día 12/05/2022, a las 22:03:02(GMT +02:00) con el siguiente texto: VF Info: Aquí tienes el código ****** necesario para firmar el contrato con Vodafone. Será válido durante 2 horas […] el usuario final ha firmado el contrato pulsando el botón de firma desde el cual ha sido recogida la siguiente información: (…) desde la siguiente dirección IP: ***IP.1 Y para que así conste, se expide, firma y sella a 12/05/2022 a las 22:03 (GMT +2:00).” Documento 4: informe de las interacciones mantenidas por el reclamado con el reclamante en relación con la solicitud de acceso. TERCERO: Con fecha 5 de diciembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Sobre el procedimiento de contratación a través de canal telefónico del reclamado En relación con el procedimiento de contratación a través del canal telefónico, el reclamado ha descrito el proceso previamente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 “1- Cuando se interactúa con un cliente se tiene definida una estructura de la conversación telefónica para la correcta explicación de la oferta comercial, así como una correcta toma de datos y verificación de la identidad. En este sentido, se adjunta, como Documento número 8, la estructura que debe de seguir el agente en la llamada. 2- Una vez realizada la toma de datos y superada la Política de Seguridad, que se adjunta como Documento número 9, si el cliente acepta el ofrecimiento comercial se pasaría a la carga en sistemas de los servicios contratados y a la firma del contrato. Se adjunta, como Documento número 10, el flujo de contratación. En este canal, a diferencia del Canal Presencial, se puede perfeccionar el contrato por (
- i)firma certificada o (
- ii)grabación de voz. Es decir, no existe la posibilidad de realizar la firma manual en televenta. i. Firma certificada: se sigue el mismo proceso que el explicado para el Canal Presencial. ii. Grabación de voz: en el caso de que falle o no se pueda completar el proceso de firma certificada, se realiza una grabación de voz en la que el cliente acepta las condiciones del contrato. Esta grabación se realiza a través del sistema de Customer Relationship Management (CRM por sus siglas en inglés) de Vodafone, SMART. Para realizar dicha grabación se utilizan herramientas integradas en el CRM de Vodafone, pero dichas herramientas no tienen acceso a datos personales de los clientes. Las grabaciones se mantienen durante un plazo de cinco años más el año en curso. Esto significa que la grabación se mantiene durante todo el año natural en el que se realiza y cinco años adicionales, por ejemplo, si la grabación se realiza en febrero se archivará hasta que termine ese año natural y, adicionalmente, cinco años. 3- Una vez realizada la grabación o el envío de SMS se hace seguimiento desde la plataforma de ventas hasta la instalación del servicio. […] En los casos en los que se usa la firma certifica no se realiza una grabación de voz” Adicionalmente, sobre esta cuestión se han incorporado los siguientes documentos: El “Documento número 8” citado, que corresponde con un argumentario telefónico general del reclamado. El “Documento número 9” referido, que corresponde con la política de seguridad del reclamado en su interrelación con los clientes. El “Documento número 10” mencionado, que corresponde con el diagrama del proceso de venta telefónica. Sobre el procedimiento de perfección del contrato a través de firma certificada En relación con el procedimiento de firma del contrato suscrito entre el reclamante y el reclamado el día 12 de mayo de 2022, el reclamado ha descrito el proceso de firma certificada previamente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 “En este sentido, el flujo de trabajo que se sigue para la firma certificada sería el siguiente (adjunto como Documento número 5): 1. Creación de la orden de trabajo: en el momento en el que el Agente/Comercial selecciona el método de “Firma Certificada”, después de la consulta de Scoring, debe de seleccionar el teléfono y el e-mail al que se enviará toda la documentación para que el cliente firme. Posteriormente, el sistema genera los documentos contractuales que apliquen en ese caso, así como la confirmación de compra, y se enviarán al proveedor (Digitel On Trusted Services, S.L.U. (en adelante, “Digitel”), empresa certificada como “Prestador de Servicio de Confianza”) para su firma por parte del cliente. Se adjunta, como Documento número 6, el certificado de prestador de servicio de confianza de Digitel y, como Documento número 7, el acuerdo de tratamiento de datos personales firmado con esta misma entidad. 2. Envío al proveedor: Digitel procesará todos los documentos enviados para que puedan ser firmados y enviará un email/SMS con un botón de acceso a una página web o landing page de Digitel para que el cliente introduzca su DNI. 3. Envío al cliente: el cliente recibirá la documentación vía SMS Link e Email, y un código de un único uso (por sus siglas en inglés, “OTP”) para proceder con la firma. 4. Aceptación y envío de documentación: una vez que el cliente ha aceptado las Condiciones Generales y ha firmado toda la documentación, el proveedor de firma (Digitel) enviará dichos documentos firmados junto con el log de aceptación al cliente por email y SMS. 5. Envío de documentación a Vodafone: además de enviarlos al cliente, todos estos documentos firmados se enviarán a Vodafone a través de un protocolo de transferencia de ficheros (por sus siglas en inglés, “FTP”).” Sobre el proceso anterior se han incorporado los siguientes documentos: El “Documento número 5” citado, que corresponde con el diagrama del proceso de aceptación del contrato. El “Documento número 6” referido, que corresponde con el certificado emitido por AENOR a Digitel TS de acuerdo al Reglamento (UE) 910/2014. El “Documento número 7” referido, que corresponde con el acuerdo de tratamiento de datos personales suscrito entre el reclamado y DIGITEL DOCUMENTOS, S.L. (en adelante Digitel Docs) de fecha 1 de octubre de 2019 (firmado en septiembre de 2021). Especifica (anexo 1) que Digitel TS actúa en calidad de subencargado de tratamiento y (anexo 2) que Digitel Docs actúa como encargado de tratamiento del reclamado para la prestación de servicios de firma digital. El registro de la inscripción de Digitel TS en la sede electrónica del Ministerio de Asuntos Económicos y Transformación Digital como prestador de servicios electrónicos de confianza cualificado en relación con el servicio de expedición de sellos electrónicos cualificados de tiempo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 Digitel TS ha confirmado que presta al reclamado el servicio de contratación electrónica. A este respecto ha facilitado -Anexo 1 - la propuesta técnica y comercial de la solución que le provee. Igualmente ha descrito las acciones realizadas en el contexto de la contratación efectuada entre contratante y reclamado el día 12 de mayo de 2022 facilitando las evidencias almacenadas (-Anexo 2 - la “copia del Contrato firmado que contiene a su vez el certificado electrónico (documento de auditoría) con los datos del proceso de firma”). Se reproducen a continuación los pasos del proceso y su aplicación concreta a la contratación referida según la información facilitada por Digitel: El reclamado proporciona a Digitel TS “los datos necesarios para realizar el proceso de firma y contratación, en concreto: DNI, NIE o NIF, email, teléfono móvil, nombre y apellidos del titular, PDF del contrato y de los documentos que necesiten poner a disposición del firmante”. En el caso de la contratación efectuada entre el reclamante y el reclamado, expone Digitel que el día 12 de mayo a las 21:56 horas recibió los siguientes datos del reclamante: “Nombre y apellidos: A.A.A. DNI: ***NIF.1 Email: ***EMAIL.1 Teléfono móvil: ***TELÉFONO.1” El sistema de Digitel TS “envía al cliente final una comunicación certificada con una URL de acceso al portal de firma de DIGITEL para el servicio prestado para VODAFONE”. Expresa además que el cliente puede seleccionar que la comunicación se le dirija a través de correo electrónico o SMS al número de teléfono móvil. En el caso de la contratación efectuada entre el reclamante y el reclamado, Digitel ha certificado (Anexo 2) el envío del siguiente SMS el día 12 de mayo a las 21:56:53 horas desde el número ***TELÉFONO.2al teléfono ***TELÉFONO.1: “VF Info: ¡Gracias por confiar en Vodafone! Revisa y firma tu contrato, usando el código que te enviaremos por sms. Accede a: https://masinfo.one/aRTjmS8tfh”. El certificado (Anexo 2) señala asimismo que se envió en este punto un correo electrónico a ***EMAIL.1 desde la dirección firma.vodafone@digitelts.com. En su escrito señala Digitel sin embargo que “este email inicial no llego a enviarse y, por ello, se facilitó vía SMS tal y como se ha indicado anteriormente”. Sobre esto reproduce el registro del error que se produjo al intentar enviar el mensaje (“***EMAIL.1 is not valid”). El cliente “accede al portal de firma en el que se solicita que haga login con el número de su documento acreditativo de identidad y se le informa de los términos y condiciones del proceso de identificación que debe aceptar para continuar el proceso”. El EscritoDigitel incluye la información del “log” vinculada con el proceso de “login” del cliente. Ésta incluye la siguiente información sobre el acceso: fecha “***FECHA.1”, dirección IP de acceso “***IP.1”, e información enviada desde el navegador de acceso: (…). “Tras realizar el login, el cliente final de VODAFONE podrá visualizar el contraC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 to en cualquier dispositivo y tendrá la posibilidad de descargarlo para su almacenamiento.” Facilita Digitel (EscritoDigitel) por un lado una captura de pantalla que plasma cómo se muestra el contrato, y por el otro la anotación del acceso realizado el día 12 de mayo de 2022 a las 22:02 horas por el usuario ***NIF.1. “Finalmente, se inicia el proceso de aceptación y firma del documento a través de un SMS que se envía al teléfono móvil proporcionado por el cliente firmante a VODAFONE como canal de comunicación con la clave de firma OTP. En caso de no haber recibido el SMS con el código, se podrá solicitar el envío a través de la opción “Volver a enviar”.” En el caso de la contratación efectuada entre el reclamante y el reclamado, Digitel ha certificado (Anexo 2) el envío del siguiente SMS el día 12 de mayo a las 22:03:02 horas desde el número ***TELÉFONO.2al teléfono ***TELÉFONO.1: “VF Info: Aquí tienes el código ****** necesario para firmar el contrato con Vodafone. Será válido durante 2 horas” Adicionalmente ha aportado la anotación del envío del código de firma (OTP –“One Time Password”-) realizada el día 12 de mayo de 2022 a las 22:03 horas al usuario ***NIF.1. El cliente entonces “deberá introducir el código de 6 dígitos recibido en el portal de firma, como aceptación de las condiciones contractuales.” Añade que este código “caducará a las 24 horas desde su notificación y el número máximo de intentos para introducir el código es de 5 intentos”. El Escrito de Digitel incluye, por un lado, una captura de pantalla de muestra del portal a través del cual se introduce el código OTP, y por otro, la anotación de la ejecución del proceso de firma realizada el día 12 de mayo de 2022 a las 22:03 horas desde la dirección IP ***IP.1. Además, Digitel ha certificado (Anexo 2) que se pulsó el botón de firma desde la siguiente dirección IP ***IP.1, habiéndose recogido durante el proceso las siguientes características del dispositivo desde el que se realizó: (…) Digitel TS “genera un certificado electrónico que recoge todas las evidencias electrónicas asociadas al proceso de firma utilizado por cada cliente, de manera que VODAFONE lo tiene a su disposición durante 5 años desde la fecha de la efectiva firma de los documentos contractuales.” Manifiesta Digitel que en este caso se envió el certificado al reclamado el mismo día 12 de mayo de 2022 a las 22:03 horas. Añade que “Para finalizar el proceso, se envía una copia al cliente final del contrato firmado junto con un mensaje de bienvenida con el que se confirma la firma de sus condiciones.” El Anexo 1 incluye una captura de pantalla de muestra de este correo electrónico de confirmación dirigido al cliente. Manifiesta Digitel no obstante que en este caso el envío del correo electrónico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 con “la copia del contrato firmado que contiene a su vez el certificado electrónico con la auditoria del proceso de firma” (Anexo 2) falló. Sobre ello facilita el registro del error que se produjo al intentar enviar el mensaje (“***EMAIL.1 is not valid”). El inspector ha comprobado que el Anexo 2 fue firmado electrónicamente el día 12 de mayo de 2022 a las 22:03:25 horas con un certificado de Digitel. Además, incluye un sellado electrónico de tiempo realizado el día 12 de mayo de 2022 a las 22:03:27 horas mediante un certificado de sello electrónico de Digitel. Sobre las grabaciones conservadas por el reclamado El reclamado señaló en su respuesta al traslado de la reclamación lo siguiente: “las llamadas telefónicas recibidas por los servicios de atención al cliente de Vodafone solo son grabadas de forma aleatoria y con fines de calidad de la atención dispensada al cliente, conforme se informa expresamente a los interesados en la realización de cualquier trámite por el canal telefónico. […] el número de peticiones y trámites que Vodafone gestiona de forma telefónica hace prácticamente inviable la grabación y conservación de la totalidad de las gestiones efectuadas telefónicamente ante los servicios de atención al cliente de esta entidad, por lo que Vodafone solo lleva a cabo la grabación de un número representativo del total de gestiones efectuadas telefónicamente a fin de poder evaluar la calidad de la atención al cliente o para acreditar la contratación efectuada por un nuevo cliente”. Asimismo, en relación con esta cuestión el reclamado previamente ha especificado que: “Televenta a clientes: en este canal se realiza un contacto telefónico con el cliente en el que se presenta la oferta de Vodafone y se recogen los datos necesarios para continuar con la contratación. Durante la misma llamada, en caso de no ser posible utilizar la firma certificada, se grabará la aceptación del contrato por parte del cliente, guardando la grabación en el CRM de Vodafone. […] El resto de las grabaciones, a excepción de un porcentaje reducido que se graban por cuestiones de calidad, no son grabadas.” En esta misma línea el reclamado ha manifestado que “debido a la gran volumetría de llamadas que Vodafone gestiona, no todas las interacciones telefónicas son grabadas. Vodafone graba la totalidad de aquellas llamadas mediante las cuales se produce la perfección de un contrato, es decir, aquellas en las que la grabación sea la única prueba del consentimiento del cliente. Estas grabaciones se almacenan durante un plazo de seis años en los sistemas propios de mi representada. El resto de las interacciones se graban de manera aleatoria por motivos de calidad. Los plazos de custodia de las grabaciones de calidad no son fijos, ya que se tiene contratado una cantidad fija de almacenamiento y cuando se alcanza la capacidad máxima, se empiezan a reescribir las grabaciones más antiguas.” En relación con las conversaciones telefónicas mantenidas entre el reclamante y el reclamado, éste último señala que en ninguna de ellas se produjo la perfección de un contrato. Así, manifiesta que las interacciones telefónicas entre ambas partes “se han producido o bien por motivos distintos, (e.g. consultas, ofertas, etc.), o a pesar de que su origen fuera una contratación, la aceptación del contrato se ha realizado meC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 diante firma certificada”. Expresa que en el sistema en que se registran las interacciones con los clientes se han localizado un total de 85 interacciones con el reclamante. Adjunta el reclamado, documento 1, un listado con la información registrada de las interacciones. Añade que, de todas ellas, se ha identificado una única grabación, la correspondiente a la llamada realizada el 10 de agosto de 2022 (facilitada al reclamante mediante correo electrónico el día 11 de agosto de 2022). Señala que esta llamada fue grabada por motivos de calidad. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Derecho de acceso del interesado El artículo 15 del RGPD, que regula el derecho de acceso del interesado, establece lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
- a)los fines del tratamiento;
- b)las categorías de datos personales de que se trate;
- c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
- d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
- e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- f)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 información disponible sobre su origen;
- h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros." III Motivos de la reclamación La reclamación se concreta en que al reclamante le han denegado el acceso a las grabaciones de las conversaciones que ha mantenido con el Centro de Atención al Cliente del reclamado. Cita concretamente el reclamante que, el día 11 de agosto de 2022, solicitó copia de las grabaciones de las interacciones telefónicas realizadas los cinco meses precedentes, subrayando expresamente la voluntad de obtener aquellas mantenidas el día 12 de mayo de 2022. El reclamado, en relación con la política de custodia de las grabaciones, ha señalado que, por un lado, graba la totalidad de las llamadas mediante las cuales se produce la perfección de un contrato, y por otro, almacena de forma aleatoria un porcentaje de las restantes por motivos de calidad. Adicionalmente ha expresado que las primeras disponen de un plazo de conservación fijo, de seis años, mientras que las segundas no tendrían un período marcado, sino que se van reescribiendo periódicamente según disponibilidad del almacenamiento contratado. En relación con el procedimiento de contratación el reclamado ha señalado que, iniciado el proceso a través del canal telefónico, la perfección del contrato puede concretarse bien a través de grabación de voz, bien a través de un sistema de firma certificada. Señala que, en este último caso, en el que no conserva la grabación, participa un tercero (Digitel) que acredita el proceso de envío y firma digital del contrato. El detalle de este proceso, según la información facilitada por Digitel, se ha recogido de forma detallada en los Hechos de esta Resolución. Según la información obtenida en el curso de la investigación, el reclamado se dirigió al reclamante el mismo día 11 de agosto de 2022 facilitándole una única grabación, generada el día 10 de agosto de 2022 por motivos de calidad, expresando no disponer de grabaciones adicionales. En relación con la interacción del día 12 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 mayo de 2022 referida por el reclamante, expresa el reclamado que, si bien la conversación telefónica se produjo en el contexto de una contratación, ésta se perfeccionó a través del sistema de firma certificada, no dando lugar al almacenamiento automático del fichero de audio como evidencia contractual. Tanto el reclamado como Digitel, como encargado del proveer la plataforma de firma certificada, han facilitado evidencias de la ejecución del proceso. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, ya que el reclamado contestó a la solicitud de acceso a las grabaciones solicitadas de forma inmediata. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U., y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es