E-00603-2017

1/5 Expediente Nº: E/00603/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades TELEFÓNICA DE ESPAÑA, S.A.U., TELEFONICA MOVILES ESPAÑA, S.A.U. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 25 de febrero de 2016, tiene entrada en esta Agencia un escrito de la Asociación de Consumidores y Usuarios en Acción-FACUA (en adelante FACUA), en el que denuncia que la entidad TELEFÓNICA MÓVILES ESPAÑA, S.A.U. está remitiendo un SMS a sus clientes en el que les solicita el consentimiento para tratar sus datos de tráfico de internet y ubicación de las comunicaciones en su dispositivo móvil, con el fin en envío de publicidad, dando un plazo de 30 días para manifestar su oposición o conocer el estado de sus consentimientos y gestionarlos a través del número 224407, manifestando que no se solicita el consentimiento expreso y que además la comunicación se realiza a través de SMS, lo que podría ocasionar incidencias en la recepción. Además el número de teléfono al que se ha de llamar no devuelve al usuario ningún comprobante de haber realizado la oposición. Asimismo, durante el periodo comprendido entre el 18 de febrero y el 25 de mayo de 2016, se han recibido seis denuncias de ciudadanos. La Agencia Española de Protección de Datos inició el expediente de investigación número E/958/2016, que motivo la apertura del procedimiento sancionador PS/00344/2016. Con fecha 30/01/2017 se firmó la resolución R/00079/2017 en el que se acordaba archivar el procedimiento sancionador PS/00344/2016 incoado a TELEFÓNICA DE ESPAÑA, S.A.U. por presunta infracción del artículo 21.1 de la LSSI, y a TELEFÓNICA MÓVILES ESPAÑA, S.A.U., por presunta infracción del artículo 5 de la LOPD en relación con los artículos 14 del RLOPD, y 48.2.C) de la LGT y acordar la apertura de actuaciones previas de inspección E/00603/2017 En el procedimiento PS/00344/2016 no ha sido posible determinar con absoluta certeza si los datos para cuyo tratamiento se solicita consentimiento, se trata de datos de localización estrictamente necesarios para la realización de las comunicaciones en cuyo caso serán datos exclusivamente de tráfico, o por el contrario de trata de datos de localización distintos de los de tráfico para cuyo tratamiento se requiere consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 expreso de acuerdo con el artículo 70.1 del RD 424/2005, de 15 de abril, vigente a tenor de la Disposición Transitoria Primera de la Ley 9/2014, General de Telecomunicaciones ( LGT en lo sucesivo) . Así, la forma utilizada por TME para recabar el consentimiento para los nuevos tratamientos (tácitamente, de acuerdo con el artículo 14 del RLOPD), no sería adecuada para la obtención del citado consentimiento expreso. En caso de existir un tratamiento de datos de localización distintos de los de tráfico y, conforme a lo dispuesto en la normativa de telecomunicaciones ya citada, sería necesario la existencia de un previo consentimiento expreso de los afectados para poder efectuar el mismo, motivo por el que se iniciaron nuevas actuaciones de inspección. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Según el escrito recibido en la Agencia Española de Protección de Datos, el proyecto por el que se iban a tratar los datos de tráfico y localización para el envío de información comercial se ha cancelado, y por tanto el tratamiento de datos de localización con las finalidades de mejorar y optimizar la cobertura de servicios móviles, garantizar la seguridad de redes, sistemas y equipos mediante la prevención y defensa ante incidentes de ciberseguridad y comunicar ofertas personalizadas sobre productos de MOVISTAR, no se está llevando a cabo y por tanto no se han realizado los oportunos desarrollos informáticos que permitirían acceder, en tiempo real, a los datos de localización asociados al tráfico para realizar campañas publicitarias basadas en la ubicación del cliente. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 43.1 de la LSSI, y en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II En la resolución R/00079/2017, que da lugar al presente expediente de investigación, consta en el Fundamento de Derecho VII lo siguiente (…) En definitiva en el presente supuesto no ha sido posible determinar con absoluta certeza si los datos para cuyo tratamiento TME solicita el consentimiento, se trata de datos de localización estrictamente necesarios para la realización de las comunicaciones en cuyo caso serán datos exclusivamente de tráfico, o por el contrario de trata de datos de localización distintos de los de tráfico. En el primero de los casos la forma de recabar el consentimiento para los nuevos tratamientos (tácitamente), sería adecuada a la normativa de protección de datos conforme con lo dispuesto en el artículo 14 del RLOPD por cuanto se establece un medio sencillo y gratuitito para oponerse al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 tratamiento con las nuevas finalidades explicitadas en el SMS, y que ha sido mejorado por TME introduciendo modificaciones que, por un lado, permiten al usuario tener confirmación por SMS de las modificaciones efectuadas en sus consentimientos, y por otro le permiten manifestar en primer lugar su oposición a los nuevos tratamientos solicitados en el SMS sin tener que manifestar previamente su conformidad o no con hasta otros 5 tratamientos que no guardan relación alguna con los consentimientos solicitado en el SMS objeto de denuncia, facilitando así al afectado que pueda en primer lugar manifestar su oposición o no a estos nuevos consentimientos que se le solicitan en el SMS, para después, si así lo desea, pronunciarse sobre otros 5 consentimientos para el tratamiento de datos existentes en la locución de TME. Por el contrario, caso de existir un tratamiento de datos de localización distintos de los de tráfico y, conforme a lo dispuesto en la normativa de telecomunicaciones ya citada, sería necesario la existencia de un previo consentimiento expreso de los afectados para poder efectuar el mismo. Teniendo en cuenta tales circunstancias procede la apertura de actuaciones previas E/00603/2017 para determinar de manera fehaciente la naturaleza y tipología de los datos de localización tratados por TME a los que hace referencia el SMS objeto de denuncia. Todo lo anterior sin obviar el hecho que no se ha producido un tratamiento de los datos para cuya solicitud se solicitó el consentimiento en el SMS objeto de denuncia. Conforme a lo señalado en los anteriores hechos y fundamentos de derecho no cabe inferir, por parte de TME, la existencia de infracción del artículo 5 de la LOPD, en relación con el artículo 14 del RLOPD y artículo 48.2.
2. c)de la LGT.(…) III En las presentes actuaciones se ha tenido conocimiento de que las entidades investigadas han cancelado el proyecto respecto del que se remitieron los SMS informativos y a cuya consecuencia se iniciaron las Actuaciones Previas de Inspección E/0958/2016 que dieron lugar al PS/00344/2016. No obstante lo anterior, debe recordarse que para el tratamiento de los datos de los que se pretendía valer la entidad investigada, debe tenerse en cuenta lo siguiente: Los datos necesarios para identificar la localización de la comunicación móvil, pueden conservarse por las operadoras de telecomunicaciones sobre la habilitación legal de la Ley 25/2007 de 18 de octubre de Conservación de datos relativos a las comunicaciones electrónicas ya las redes públicas de comunicaciones, ( LCDT en lo sucesivo) pero con la única finalidad de su cesión a los agentes autorizados para fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el código Penal o en las leyes penales especiales. Por tanto, para cualquier finalidad en los tratamientos que realicen las Operadoras de Telecomunicaciones, al margen de la señalada en la LCDT y para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 estricta prestación del servicio que se trate, requerirá el consentimiento de los afectados. En relación con existencia de: los datos de localización se debe poner de manifiesto la - datos de localización que constituyen datos de tráfico - datos de localización distintos de los datos de tráfico La diferencia entre un tipo y otro estriba en la medida en que el dato de localización del dispositivo móvil sea estrictamente necesario para la trasmisión de las comunicaciones, en cuyo caso se tratará de un dato de tráfico, mientras que constituirá un dato de localización distinto del de tráfico cuando se trate de datos más precisos o al margen de los estrictamente necesarios para la trasmisión de la comunicación. Debe tenerse en cuenta, por un lado, lo dispuesto en Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios y por otro, lo establecido en la Ley General de Telecomunicaciones. El RD 424/2005, dedica sus artículos 65 y 70 a los datos sobre el tráfico y facturación y a los datos de localización distintos de los de tráfico, respectivamente, señalando respecto de los primeros que los operadores podrán tratarlos con fines de promoción comercial previo consentimiento informado, y respecto de los segundos, únicamente podrán tratase si se hacen anónimos, o previo consentimiento expreso de los usuarios. Por su parte el artículo 48 de la Ley General de Telecomunicaciones, reconoce el derecho de los usuarios a que se puedan tratar los datos de localización distintos a los datos de tráfico, - en idénticos términos del citado art. 70 R.D. 424/2005,es decir, cuando se hayan hecho anónimos o previo su consentimiento informado y únicamente en la medida y por el tiempo necesarios para la prestación, en su caso, de servicios de valor añadido, con conocimiento inequívoco de los datos que vayan a ser sometidos a tratamiento, la finalidad y duración del mismo y el servicio de valor añadido que vaya a ser prestado. IV De acuerdo con lo expuesto, y teniendo en cuenta que el proyecto que dio origen a las actuaciones de referencia fue cancelado, no ha podido determinarse conducta alguna por parte de la entidad investigada que vulnere lo dispuesto en la LOPD y LGT, la solución procedente en Derecho es el archivo de las actuaciones de acuerdo con el artículo 126.1, apartado segundo, del RDLOPD que establece Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO.- NOTIFICAR la presente Resolución a TELEFONICA MOVILES ESPAÑA, S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es