E-00057-2015

1/12 Expediente Nº: E/00057/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos (AEPD) ante TELEFÓNICA MÓVILES ESPAÑA S.A.U. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12/01/2015 se dictó por el Director de la AEPD Resolución por la que se finalizaba el procedimiento sancionador señalado con la referencia PS/00555/

1. En dicha Resolución se establecía lo siguiente respecto a TELEFÓNICA MÓVILES ESPAÑA S.A.U.: “debe significarse que como al menos en los procedimientos sancionadores: PS/341/2013, PS/546/2012, PS/340/2014, PS/298/2014, PS/311/2014, PS/390//2014 y PS/349/2014, además del presente procedimiento la grabación ha sido aportada en la fase posterior al acuerdo de inicio de PS o de la Propuesta de Resolución sin que se hayan atendido los requerimientos realizados en fase de investigaciones previas a la apertura de un procedimiento sancionador. Tal conducta reiterada puede representar una infracción a la normativa de protección de datos que será analizada como consecuencia de lo derivado del E/00057/2015 al que se incorporan los hechos derivados del presente expediente”. SEGUNDO: Tras la adopción de la citada Resolución, recaída sobre el procedimiento sancionador PS/00555/2014, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos susceptibles de ser considerados como una infracción a la normativa de protección de datos, teniendo conocimiento de los siguientes extremos: La AEPD detectó que TELEFÓNICA MÓVILES ESPAÑA S.A.U. había aportado a la Agencia en una fase posterior al acuerdo de inicio de distintos procedimientos sancionadores las grabaciones que acreditaban la voluntad de contratación de los clientes afectados por presuntos casos de contrataciones fraudulentas (cuando esa información, las grabaciones, ya se le habían requerido a la entidad con anterioridad, en fase de actuaciones previas). A los efectos de investigar cuál era el origen de esta incidencia se designaron varios procedimientos sobre los que practicar las correspondientes actuaciones de inspección, en el marco del presente expediente E/00057/
2. Esos procedimientos son: PS/555/2014, PS/341/2013, PS/546/2012, PS/340/2014, PS/298/2014, PS/311/2014, PS/390/2014 y PS/349/
3. Fruto de lo expuesto en el párrafo anterior, los servicios de inspección de la AEPD han realizado una auditoría del sistema de almacenamiento de las grabaciones de las solicitudes de contratación y el flujo de información que se genera en TELEFÓNICA MÓVILES ESPAÑA S.A.U. ante los requerimientos de información formulados desde la AEPD, llegándose a las siguientes conclusiones:
4. En relación al procedimiento establecido para la realización y almacenamiento de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 grabaciones telefónicas de la contratación de servicios por los clientes, los representantes de TELEFÓNICA MÓVILES ESPAÑA S.A.U. manifestaron que: 1.
5. El servicio de contratación telefónica se realiza en TELEFÓNICA MÓVILES ESPAÑA S.A.U. que es la directamente realiza la grabación. Ocasionalmente se subcontrata a algún distribuidor que actúa como encargado del tratamiento, realizando y almacenando las grabaciones por un periodo de 5 años, pasado el cual las destruyen o envían a TELEFÓNICA MÓVILES ESPAÑA S.A.U. 1.
6. Las grabaciones se almacenan en el sistema de información de TELEFÓNICA MÓVILES ESPAÑA S.A.U. y son accesibles por medio de la aplicación denominada Gestor Documental de Ventas, en adelante GDVE. 1.
7. Cuando se realiza la contratación telefónica de un producto se realizan los siguientes pasos: 1.3.1.En primer lugar el operador graba los datos personales en el fichero de clientes de la entidad denominado Entorno de Gestión de Clientes Comercial.  Se rellenan y verifica el tipo de contrato  Se incluyen los datos de operador donante, ICC, Datos del solicitante  Se tramita el alta y se rellenan los datos del contratante  Se selecciona el tipo de contrato elegido  Se validan los datos del contratante (nombre, nif, dirección de facturación y datos de cobro) 1.3.2.Seguidamente se indica al cliente que se debe grabar la petición de contratación. Para ello el operador debe ejecutar una aplicación independiente denominada ROD o Sistema de Grabación Bajo Demanda. Este sistema de grabación dispone de pantallas con los textos legales que se deben leer. Se selecciona el tipo de contrato y se rellenan los datos de DNI del cliente y línea telefónica. Si se incluyen todos los datos aparece en ROD el enlace “iniciar” para comenzar la grabación que debe ser pulsado por el cliente. Una vez recabada la voluntad de contratación del cliente el operador debe pulsar el enlace “terminar” y finalmente “Cualificar”. Finalmente se debe seleccionar “Limpiar” para que se habilite nuevamente el botón “Iniciar” 1.3.3.La opción “Cualificar” genera un fichero con la grabación y se almacena de forma temporal en un disco en red junto con todas las grabaciones del día. Por la noche se ejecuta un proceso automático batch que realiza un volcado de toda esta información en el sistema de gestión documental y deja grabada la fecha en que se realiza esta operación. Según indican los representantes de Telefónica Móviles, esta fecha asociada al momento en que la grabación se incorpora el sistema de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 gestión documental no es posible modificarla y por este motivo se aporta como prueba ante los requerimientos de información de la Agencia de Protección de Datos. 1.3.4.En caso de que se trate de una portabilidad procedente de otro operador de telecomunicaciones, además de la grabación realizada por Telefónica Móviles de España, en cumplimiento del procedimiento establecido por la Comisión del Mercado de las Telecomunicaciones, una tercera entidad independiente realiza una segunda grabación de verificación. Estas entidades verificadoras suscriben con Telefónica Móviles un contrato de prestación de servicios y son responsables de la custodia de las grabaciones de verificación. Todo este procedimiento está auditado por la Comisión del Mercado de las Telecomunicaciones que solicita grabaciones de verificación aleatorias para verificar que se cumple la normativa en el caso de portabilidades. 1.
8. Hasta la fecha no se ha integrado el Entorno de Gestión de Clientes Comercial con el Gestor Documental de Ventas por lo que cada operador debe poner atención en realizar la preceptiva grabación de aceptación de la contratación. La compañía realiza periódicamente verificaciones para comprobar la existencia de grabaciones asociadas a las líneas y servicios contratados por sus clientes. Si se detecta que falta la grabación, el único procedimiento viable es llamar al cliente y grabar a posteriori su voluntad de contratación, ya que en ningún caso se pueden generar grabaciones o alterar su contenido y almacenarlas en el Sistema de Gestión Documental sin seguir el procedimiento establecido:  grabar la conversación por medio de ROD  Generar el fichero en el formato adecuado y depositarlo en la unidad de red.  Almacenar en el gestor documental la grabación asociada al DNI y número de línea, dejando huella de la fecha. Esta aplicación deja también reflejada la fecha en que se almacena en los ficheros.
9. En relación al procedimiento de gestión seguido ante un requerimiento de información de la Agencia Española de Protección de Datos en el que es necesario aportar grabación del cliente para acreditar su voluntad de contratación, los representantes de TELEFÓNICA MÓVILES ESPAÑA S.A.U. manifestaron que es el siguiente: 2.
10. En primer lugar se consulta el fichero de clientes y se accede a los datos personales del afectado, los productos y servicios contratados, si proceden de portabilidad y si la contratación ha sido telefónica. 2.
11. En este último caso se accede al Gestor Documental de Ventas, se consulta por DNI y número de línea y se extrae la grabación, seguidamente se convierte el formato y se aporta junto con el resto de información solicitada. 2.
12. En caso de que en el fichero de clientes figure que se trata de una portabilidad y no figure la grabación se realiza una petición al verificador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 Hasta agosto de 2013 había un único verificador contratado por la entidad con el que disponen de un buzón de correo para solicitar la grabación. Con posterioridad a esta fecha hasta la actualidad hay dos verificadores y en la entidad se ha designado a una persona que se pone en contacto con ellos por correo electrónico. Los representantes de la entidad manifiestan que los requerimientos de información que llegan de la Agencia Española de Protección de Datos, en muchas ocasiones no indican el número de línea ni si se trata o no de portabilidad lo que dificulta la consulta del Gestor Documental de Ventas, especialmente cuando el cliente tiene o ha tenido contratados otras líneas.
13. Consultándose el motivo por el que la grabación de la contratación no se aportó en la fase de actuaciones previas del expediente que dio lugar al PS/555/2014, se realizaron las siguientes verificaciones: 3.
14. En el sistema Gestor Documental de Ventas consta que la grabación relativa a la contratación fue grabada en fecha 12/03/
15. 3.
16. En fecha 26/02/2014 se recibió la petición de información remitida por la Agencia Española de Protección de Datos en la que se solicitaba la grabación de la contratación por parte del afectado, la cual fue remitida por correo electrónico a la Agencia en fecha 2/04/2014 3.
17. Debido a la carga de trabajo no se pudo responder a tiempo, si bien fue contestado en fecha 03/04/
18. 3.
19. En fecha 9/10/2014, siete meses después de la contestación por parte de TME, se recibió notificación de la apertura de procedimiento sancionador. 3.
20. En fecha 17/10/2014 se aportó de nuevo copia de la grabación a la Agencia Española de Protección de Datos.
21. Consultándose el motivo por el que la grabación de la contratación no se aportó en la fase de actuaciones previas del expediente que dio lugar al PS/341/2013, se comprobó que en ningún caso se había solicitado información relativa a este procedimiento sancionador por parte de la Agencia
22. Consultándose el motivo por el que la grabación de la contratación no se aportó en la fase de actuaciones previas del expediente que dio lugar al PS/546/2012, se realizaron las siguientes verificaciones: 5.
23. En el sistema Gestor Documental de Ventas consta que la grabación relativa a la contratación fue grabada en fecha 01/12/2010 5.
24. En fecha 21/03/2012 se recibió la petición de información remitida por la Agencia Española de Protección de Datos en la que se solicitaba la grabación de la contratación por parte del afectado. 5.
25. Debido a la carga interna de trabajo no se pudo responder a tiempo. 5.
26. En fecha 9/10/2012 se recibió notificación de la apertura de procedimiento sancionador. 5.
27. En fecha 6/11/2012 se aportó copia de la grabación a la Agencia Española de Protección de Datos
28. Consultándose el motivo por el que la grabación de la contratación no se aportó en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 la fase de actuaciones previas del expediente que dio lugar al PS/340/2014, se realizaron las siguientes verificaciones: 6.
29. En el sistema Gestor Documental de Ventas consta que la grabación relativa a la contratación fue grabada en fecha 24/09/2010 6.
30. En fecha 04/12/2013 se recibió la petición de información remitida por la Agencia Española de Protección de Datos en la que se solicitaba la grabación de la contratación por parte del afectado. 6.
31. Debido a la carga interna de trabajo no se pudo responder a tiempo. 6.
32. En fecha 18/06/2014 se recibió notificación de la apertura de procedimiento sancionador. 6.
33. En fecha 01/07/2014 se aportó copia de la grabación a la Agencia Española de Protección de Datos
34. Consultándose el motivo por el que la grabación de la contratación no se aportó en la fase de actuaciones previas del expediente que dio lugar al PS/298/2014 se realizaron las siguientes verificaciones: 7.
35. En el sistema Gestor Documental de Ventas consta que las grabaciones relativas a la contratación fueron grabadas en fecha 4/03/2011 para las líneas ***TEL.1 y ***TEL.2 y en fecha 11/03/2011 para la línea ***TEL.3 7.
36. En fecha 21/10/2013 se recibió la petición de información remitida por la Agencia Española de Protección de Datos en la que se solicitaba la grabación de la contratación por parte del afectado. 7.
37. Debido a la carga de trabajo no se pudo responder a tiempo. 7.
38. En fecha 02/06/2014 se recibió notificación de la apertura de procedimiento sancionador. 7.
39. En fecha 03/06/2014 se aportó copia de la grabación a la Agencia Española de Protección de Datos
40. Consultándose el motivo por el que la grabación de la contratación no se aportó en la fase de actuaciones previas del expediente que dio lugar al PS/311/2014 se realizaron las siguientes verificaciones: 8.
41. En el sistema Gestor Documental de Ventas consta que la grabación relativa a la contratación fue grabada en fecha 27/09/2011 8.
42. En fecha 17/07/2013 se recibió la petición de información remitida por la Agencia Española de Protección de Datos en la que se solicitaba la grabación de la contratación por parte del afectado. 8.
43. En fecha 11/03/2014 se envió la respuesta en la que se aportó copia de las grabaciones asociadas a la contratación, así como del Gestor Documental acreditativo de la existencia de dichas grabaciones. 8.
44. En fecha 03/06/2014 se recibió notificación de la apertura de procedimiento sancionador. 8.
45. En fecha 27/06/2014 se aportó copia de nuevo de las grabaciones a la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12
46. Consultándose el motivo por el que la grabación de la contratación no se aportó en la fase de actuaciones previas del expediente que dio lugar al PS/390/2014, se realizaron las siguientes verificaciones: 9.
47. En el sistema Gestor Documental de Ventas consta que la grabación relativa a la contratación fue grabada en fecha 10/03/2011 9.
48. En fecha 09/12/2013 se recibió la petición de información remitida por la Agencia Española de Protección de Datos en la que se solicitaba la grabación de la contratación por parte del afectado. 9.
49. Debido a la carga de trabajo no se pudo responder a tiempo. 9.
50. En fecha 08/07/2014 se recibió notificación de la apertura de procedimiento sancionador. 9.
51. En fecha 01/08/2014 se aportó copia de la grabación a la Agencia Española de Protección de Datos
52. Consultándose el motivo por el que la grabación de la contratación no se aportó en la fase de actuaciones previas del expediente que dio lugar al PS/349/2014, se comprobó que este procedimiento no está relacionado con una contratación telefónica sino con un contrato en papel en un distribuidor y la copia del DNI asociado. A la vista de esta documentación los representantes de la entidad manifestaron que durante los años 2012, 2013 y 2014 recibieron 540 requerimientos de información enviados por la Agencia Española de Protección de Datos que fueron atendidos con la salvedad de 4 de los 8 procedimientos que han dado lugar a las presentes actuaciones; además quieren hacer constar que de los 8 procedimientos que se han auditado en dos (PS/311/2014 y PS/555/2014) se aportaron las grabaciones antes de recibir la notificación del inicio del Procedimiento Sancionador, uno (PS/341/2013) no debe corresponder a TELEFÓNICA MÓVILES ESPAÑA S.A.U. puesto que no han recibido ningún comunicado y otro (PS/349/2014) no está relacionado con grabaciones de contratos. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Entre las facultades legalmente atribuidas a la AEPD, el artículo 37.1 i) LOPD reconoce a este organismo la de “recabar de los responsables de los ficheros cuanta ayuda e información estime necesaria para el desempeño de sus funciones”. Y, en particular, en relación a las facultades inherentes a la potestad de inspección de la que se encuentra investida la Agencia Española de Protección de Datos (potestad reconocida en el artículo 37.1 g) LOPD) se debe recordar lo que establece el artículo 40 de la LOPD:
53. Las autoridades de control podrán inspeccionar los ficheros a que hace referencia la presente Ley, recabando cuantas informaciones precisen para el cumplimiento de sus cometidos. A tal efecto, podrán solicitar la exhibición o el envío de documentos y datos y examinarlos en el lugar en que se encuentren depositados, así como inspeccionar los equipos físicos y lógicos utilizados para el tratamiento de los datos, accediendo a los locales donde se hallen instalados.
54. Los funcionarios que ejerzan la inspección a que se refiere el apartado anterior tendrán la consideración de autoridad pública en el desempeño de sus cometidos. Estarán obligados a guardar secreto sobre las informaciones que conozcan en el ejercicio de las mencionadas funciones, incluso después de haber cesado en las mismas. A mayor abundamiento y, en consonancia con lo expuesto, el artículo 124 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo RLOPD), establece que “Los inspectores podrán recabar cuantas informaciones precisen para el cumplimiento de sus cometidos. A tal fin podrán requerir la exhibición o el envío de los documentos y datos y examinarlos en el lugar en que se encuentren depositados, como obtener copia de los mismos, inspeccionar los equipos físicos y lógicos, así como requerir la ejecución de tratamientos y programas o procedimientos de gestión y soporte del fichero o ficheros sujetos a investigación, accediendo a los lugares donde se hallen instalados”. El RLOPD, de esta manera, reitera y amplía lo que ya se preveía en el artículo 28 del Estatuto de la Agencia de Protección de Datos, aprobado por el Real Decreto 428/1993, de 26 de marzo, en cuyo apartado 1 g) se recoge como facultad de la Inspección de Datos “Requerir el envío de toda información precisa para el ejercicio de las funciones inspectoras”. Finalmente, debe señalarse que el artículo 44.3 i) y j) de la LOPD tipifica como infracciones graves, respectivamente, "no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma" y “la obstrucción al ejercicio de la función inspectora”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 III En el presente caso se trata de establecer si TELEFÓNICA MÓVILES ESPAÑA S.A.U. pudo obstruir el ejercicio de la acción inspectora de la AEPD en la fase de investigación previa desarrollada en el marco de diversos expedientes abiertos a la entidad, en los que ésta no aportó a la AEPD de manera reiterada la información que se le había requerido y, más concretamente, las grabaciones de las llamadas telefónicas que servían para acreditar la contratación de distintos servicios vinculados a personas que se habían dirigido a esta Agencia denunciando el alta fraudulenta de los mismos. Estas grabaciones fueron aportadas posteriormente una vez que se había abierto el correspondiente procedimiento sancionador. Por obstrucción se puede entender la actitud con la que se pretende evitar que los servicios de inspección de la Agencia puedan llegar a conocer si se ha cometido la infracción objeto de denuncia, siendo el elemento subjetivo la voluntad de no cumplir lo interesado, elemento que podría inferirse de la conducta externa consistente en prescindir de dar efectividad a los requerimientos de la Agencia. Por su parte, el elemento objetivo susceptible de ser sancionado sería esa conducta desarrollada por la entidad investigada consistente en no facilitar a la AEPD la información requerida. En este sentido, cabe recordar lo señalado por la Audiencia Nacional en su sentencia de 15/12/2005: “El requerimiento, por tanto, era adecuado al objeto y fin de la investigación -pertinente- y la negativa a cumplimentarlo sin causa justificada constituyó una obstrucción evidente al ejercicio de la función inspectora, comportamiento además agravado por el hecho de que la empresa sancionada estuvo en todo momento asistida por su asesor jurídico, don ..............., al que se le supone conocimiento de los deberes jurídicos que incumben a su mandante, razón que también impide apreciar la alegada falta de proporcionalidad de la sanción impuesta”. A los efectos de determinar los motivos que pudieron justificar que TELEFÓNICA MÓVILES ESPAÑA S.A.U. no aportara las citadas grabaciones tras ser debidamente requerida a hacerlo y, en su caso, establecer el grado de responsabilidad imputable a la entidad a los efectos de considerarla autora de una presunta infracción del artículo 44.3 j) de la LOPD, la AEPD seleccionó ocho procedimientos sancionadores abiertos a la entidad en los que se había detectado esta incidencia: PS/546/2012, PS/341/2013, PS/298/2014, PS/311/2014, PS/340/2014, PS/349/2014, PS/390/2014 y PS/555/
55. En relación a los mismos se ha podido constatar lo siguiente: - - C/ Jorge Juan, 6 28001 – Madrid En dos de ellos