1/6 Expediente Nº: E/01302/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ESPAÑA SAU en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fechas 18 de febrero y 14 de marzo de 2016, tienen entrada en esta Agencia escritos remitidos por A.A.A., en el que denuncia a VODAFONE ESPAÑA, S.A.U, por seguir remitiéndole correos electrónicos de carácter publicitario tras haber recibido carta de 17 de junio de 2015 donde le informaban que procedían a la cancelación de sus datos, en respuesta a su solicitud, y haberse dictado Laudo Arbitral en el que ordenaba la cancelación de todos los datos del denunciante en caso de no haberlo hecho ya. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 3 de mayo de 2016, se recibe escrito de la entidad VODAFONE ESPAÑA, S.A.U, en el que ponen de manifiesto que: 1.1. Según obra en sus sistemas los datos del denunciante constan bloqueados desde el 17 de junio de 2015. 1.2. Con relación a los correos recibidos por el denunciante con posterioridad, manifiestan que: Vodafone pone a disposición, tanto de clientes, como de no clientes, la posibilidad de recibir, siempre voluntariamente y previa alta expresa del interesado, comunicaciones comerciales sobre productos y servicios de Vodafone, a través de una suscripción a newsletter, que es el tipo de comunicación comercial que ha recibido el denunciante. 1.3. Para que una persona reciba este tipo de comunicaciones debe de darse de alta de forma voluntaria y expresa en la plataforma habilitada para ello, en ningún caso implica tener la condición de cliente, lo que implica que la baja en newsletter sea independiente la cancelación de datos como cliente. 1.4. Para darse de alta, como ya se acreditó en el marco del expediente E/2954/2015, el interesado debe facilitar la siente información: Nombre y apellidos, correo electrónico y desde la tramitación del citado expediente (octubre de 2015), se solicita también número de teléfono móvil, con el fin de poder realizar un cruce de datos con el fichero de cliente, en el caso de solicitud de cancelación por parte de algún cliente, y poder así dar de baja los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 datos de los dos entornos (aunque siempre la newsletter requeriría una petición de baja independiente del usuario, al igual que ocurrió con el alta, sin perjuicio de que pidiera a Vodafone la cancelación de sus datos). 1.5. El denunciante solicitó la cancelación de sus datos con anterioridad a la mejora en el proceso expresada en el párrafo anterior. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El marco normativo en el que han de valorarse los hechos que el denunciante expone viene integrado, en esencia, por las siguientes disposiciones: La LOPD, en su artículo 16, reconoce a los ciudadanos el derecho de cancelación de sus datos de carácter personal que dispone: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. (..) 2- La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión.” (El subrayado es de la AEPD) El Reglamento de Desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) regula el procedimiento a seguir para ejercitar el derecho de cancelación. El artículo 25 del RLOPD indica: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
- a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. (..)
- b)Petición en la que se concreta la solicitud.
- c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
- d)Documentos acreditativos de la petición que formula, en su caso. 2-El responsable del tratamiento deberá contestar a la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. (El subrayado es de la AEPD) Por otra parte, la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), dispone en su artículo 22, “Derechos de los destinatarios de servicios”: “1.El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos. (…)” (El subrayado es de la AEPD) III Ha quedado acreditado, a raíz de la documentación aportada a requerimiento de la Inspección de Datos de la AEPD, en el marco del expediente de investigación E/2954/2015, que en la “ficha de clientes” VODAFONE incluye, únicamente, campos destinados a recoger los siguientes datos de carácter personal: el nombre y apellidos, NIF, domicilio, teléfono de contacto, nacionalidad, dirección de envío de la factura y datos de domiciliación bancaria. En definitiva, en el fichero de clientes no está registrado el dato de la dirección electrónica pues la denominada “ficha cliente” no contiene un campo para su recogida. VODAFONE ha declarado y la AEPD ha confirmado que, además del fichero de clientes, tiene otro fichero independiente, denominado “MARKETING”, que se encuentra debidamente inscrito en el Registro General de Datos de la AEPD -número ***CÓD.1cuyo objeto es el “análisis, diseño y lanzamiento de campañas de marketing así como promociones comerciales de servicios de la Compañía Vodafone España, S.A.U.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 La denunciada pone a disposición tanto de quienes son clientes suyos como de quienes no lo son la posibilidad de solicitar voluntariamente el envío de comunicaciones comerciales sobre los productos de VODAFONE mediante la suscripción a una “neswletter”, por lo que la gestión de los datos de los suscriptores a esa comunicación comercial es independiente de la condición de cliente o no del destinatario de la revista publicitaria. El alta en la newsletter no va asociada a la condición de cliente, ni tampoco es posible que el cliente se dé de alta en ella en el momento de contratar un servicio con VODAFONE. Los clientes que lo deseen, voluntariamente podrán darse de alta en la plataforma para envío de publicidad con independencia de la contratación de servicios con la operadora y recibir así ese tipo de comunicaciones. Como VODAFONE ha explicado y acreditado documentalmente, los únicos datos que se recaban, pues son los únicos para los que existen campos a cumplimentar en el formulario de alta en la “Newsletter” son el nombre, apellidos y la dirección electrónica. De modo que en el fichero MARKETING no queda registrado el NIF de quien se da de alta en los envíos de publicidad, ni ningún otro dato que permita su identificación –como el número de teléfono o dirección postal-, por lo cual la identificación de la persona que ha solicitado y consentido el envío de las comunicaciones comerciales se puede hacer de modo inequívoco únicamente a través de su dirección electrónica. Llegados a este punto debemos recordar que la denuncia que nos ocupa versa sobre las comunicaciones comerciales que el denunciante recibió de VODAFONE después de que hubiera solicitado la cancelación de sus datos y de que VODAFONE le hubiera respondido el 17 de junio de 2015 que de inmediato daba curso a su solicitud. En el escrito ejercitando el derecho de cancelación ante VODAFONE el denunciante concretó su petición diciendo que solicitaba que “se proceda a acordar la cancelación de los datos personales sobre los cuales se ejercita el derecho…”, siendo así que los únicos datos que había hecho constar fueron , exclusivamente, el nombre, apellidos, NIF y domicilio postal. Es decir, que en su escrito no mencionó en ningún caso el dato relativo a la dirección electrónica. En respuesta a la petición del denunciante, VODAFONE procedió correctamente y en junio de 2015 bloqueó los datos que estaban registrados en el fichero de clientes, como lo confirma la documentación que la operadora ha remitido a la AEPD. Ahora bien, era materialmente imposible que VODAFONE diera de baja del fichero clientes datos, como la dirección electrónica, que no se encontraban recogidos en el referido fichero. Asimismo, no era posible, a tenor del escrito de solicitud de cancelación que el denunciante dirigió a VODAFONE, su localización en el fichero MARKETING a fin de cancelar sus datos de carácter personal de este fichero, del que también es titular la denunciada. Como ya hemos indicado, los datos de carácter personal registrados en el fichero MARKETING, al que se accede para gestionar las campañas publicitarias de VODAFONE, entre ellas el envío de newsletters, son únicamente la dirección electrónica y nombre y apellidos, sin que éstos últimos permitan identificar de forma inequívoca a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 persona, por lo que la identificación –a falta de NIF- habrá de hacerse a través del email facilitado. Por tanto, VODAFONE, en cumplimiento de la petición de cancelación que el denunciante le hizo en junio de 2015 únicamente podía dar de baja los datos personales que le conciernen que estuvieran registrados en el fichero de clientes, en el que no figuraba su dirección electrónica, y así lo hizo. De lo expuesto se concluye que la conducta de VODAFONE ha sido respetuosa con el artículo 16 de la LOPD, pues atendió correctamente el derecho de cancelación ejercido por el denunciante de acuerdo con el contenido de la petición en la que se concretaba su solicitud. Por lo que concierne a la adecuación de la conducta de VODAFONE con las disposiciones de la LSSI, en particular el artículo 22, basta indicar que en las comunicaciones comerciales que el denunciante recibió de la denunciada y cuya copia nos ha facilitado sí existe un enlace de baja (“Date de baja”) y además se incluye la dirección electrónica soporte@vodafone.es indicando en la leyenda que figura al final del mensaje publicitario que ha de ponerse como referencia “Protección Datos”. Se suma a esta reflexión el hecho de que el denunciante no ha aportado ninguna prueba o indicio razonable de que hubiera solicitado la baja de las comunicaciones comerciales a través de los medios que a tal fin le ofrecía la newsletter de VODAFONE ni tampoco de que, como explica en su denuncia, el enlace no funcionara y la dirección devolviera los correos enviados con la advertencia de que era errónea. En consideración a lo expuesto, y habida cuenta de que la investigación efectuada no ha arrojado indicios de una presunta infracción por VODAFONE de las disposiciones de la LOPD y la LSSI que resultan de aplicación, corresponde acordar el archivo de las actuaciones de investigación practicadas. II Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a VODAFONE ESPAÑA SAU y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es