E-01809-2013

1/7 Expediente Nº: E/01809/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ESPAÑA, S.A.U. en virtud de denuncia presentada ante la misma por D. A.A.A. y en base a los siguientes HECHOS PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 5 de febrero de 2013, escrito presentado por D. A.A.A. (en lo sucesivo denunciante), con NIF ***NIF.1, en el que denuncia a la compañía de telecomunicaciones Vodafone España, S.A.U. (en lo sucesivo VODAFONE) manifestando lo siguiente: Que la operadora da respuesta al derecho de acceso del denunciante, con fecha de 7 de septiembre de 2011, comunicando que dispone de los siguientes datos personales: nombre, apellidos, NIF, domicilio postal en Las Palmas, fecha de nacimiento, teléfono particular ***TEL.1, nº cuenta cliente ***CLIENTE.1 y ***CLIENTE.2, que tienen asociados siete nº de líneas desactivadas entre las que se encuentra ***TEL.

1. Que después de haber finalizado su relación contractual con VODAFONE solicita la cancelación de todos sus datos personales en los ficheros de la mercantil dando respuesta la operadora, el día 21 de marzo de 2012, informando que procede de inmediato a la cancelación que dará lugar al bloqueo de sus datos, conservándose únicamente a disposición de las Administraciones Públicas (…). Que, pasados ocho meses desde que VODAFONE le comunicó la cancelación de sus datos, vuelve a ser cliente de la compañía mediante la adquisición de tarjetas de prepago y tramita la migración de tres líneas de prepago a contrato. En el Contrato de Servicios de Comunicaciones Móviles Pospago, de las líneas nº ***TEL.2, ***TEL.3 y ***TEL.4, de fecha 29 de noviembre de 2012, consta domicilio en la localidad de Salamanca, el contrato se firmado en Zamora, fecha de nacimiento y teléfono particular ***TEL.
2. Que en el área de clientes denominada “Mi Vodafone”, en la página web de la operadora, aparecían exactamente todos los datos con los que contaba la mercantil antes de que solicitara la cancelación de datos y que no se correspondían con ninguno de los datos actuales que había aportado para el contrato. En la impresión de pantalla aportada de la consulta realizada a través de la página web de la operadora constan los siguientes datos personales del denunciante: nombre, apellidos, NIF, fecha de nacimiento, domicilio postal en Las Palmas, teléfono de contacto ***TEL.1 y dirección de correo electrónico <...........@yahoo.es>. Si bien, no consta acreditación de la fecha de la consulta ni del nº de línea asociada a dicha información. Por lo que después de solicitar la cancelación de sus datos a VODAFONE ésta no los ha cancelado y además le penalizan no suministrando un duplicado de sus tarjetas SIM. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: De las actuaciones realizadas por la Inspección de Datos, con fecha de 28 de noviembre y de 26 de diciembre de 2013, en los locales de la compañía VODAFONE en relación con los datos personales del denunciante que constan en la operadora se desprende lo siguiente: - Con carácter previo se concretan los siguientes aspectos: El procedimiento utilizado por la operadora cuando un cliente o ex-cliente solicita la cancelación de sus datos personales, según lo establecido en el artículo 16 de la Ley Orgánica 15/1999, en el caso de que proceda, se efectúa una marca en el Sistema de Información, “LORTADO”, asociado al NIF del solicitante y a partir de dicha circunstancia no se puede realizar consulta de sus datos personales por parte del personal de la entidad ni por el propio solicitante desde el sitio web de VODAFONE. Cuando el cliente al que se le han cancelado (bloqueado) sus datos personales solicita la contratación de nuevos servicios se realiza una nueva alta con los datos personales aportados en la solicitud no constando ni recuperando información de las contrataciones anteriores canceladas. Para la contratación de servicios de líneas prepago por parte de un cliente es necesario acreditar la identidad del cliente ante la operadora mostrando NIF, NIE, pasaporte u otro documento y en los Sistemas de Información debe constar el nombre, apellidos, NIF y nacionalidad, y otros datos que el cliente facilite voluntariamente. Las consultas realizadas por los clientes a través de la página web “Mi Vodafone” son asociadas a un número de línea y a los datos personales referentes a la misma y en la parte inferior de la pantalla figura la fecha de la consulta. - Se ha verificado por parte de la Inspección de Datos que al realizar una consulta de los datos del denunciante por el criterio NIF, en el sitio web “Mi Vodafone”, se visualiza el texto “el identificador que has introducido no es cliente”. También, se ha verificado que al realizar una consulta de los datos asociados a la líneas ***TEL.2, ***TEL.3 y ***TEL.4 se visualiza el texto “el cliente está acogido a la Lortad. No se puede mostrar sus datos”. En las tres líneas se activó el servicio el día 21 de noviembre de 2012 por el usuario y el día 4 de diciembre de 2012 se desactivó por portabilidad a Movistar. - Se ha verificado por parte de la Inspección de Datos que en el Sistema de Información de servicios prepago, asociado al NIF del denunciante consta el nombre, apellidos, fecha de nacimiento, domicilio postal en la localidad de Salamanca, dirección de correo electrónico <...........@yahoo.es> y teléfono de contacto ***TEL.
3. Figuran nueve líneas prepago que no están activas y que ha sido titular el denunciante en el periodo comprendido entre noviembre de 2012 y agosto de 2013, y que a continuación se relacionan: ***TEL.7: activada 23 enero y desactivada 8 febrero 2013 por portabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 ***TEL.8: activada 16 y desactivada el 26 de noviembre de
4. ***TEL.9: activada 16 y desactivada el 26 de noviembre de
5. ***TEL.10: activada 16 y desactivada el 23 de noviembre de
6. ***TEL.11: activada 12 y desactivada el 23 de noviembre de
7. ***TEL.12: activada 16 noviembre de 2012 y desactivada el 9 de agosto de
8. ***TEL.5: activada 12 noviembre de 2012 y desactivada el 11 de febrero de
9. ***TEL.13: activada 16 y desactivada el 23 de noviembre de
10. ***TEL.14: activada 21 de noviembre y desactivada el 4 de diciembre de
11. - Se ha comprobado por parte de la Inspección de Datos, después de haberse realizado el desbloqueo de los datos del denunciante, que asociados al NIF del mismo figuran tres cuentas cliente que como datos generales del cliente constan: nombre, apellidos, NIF y teléfono de contacto ***TEL.
12. CUENTA ***CLIENTE.1: asociada a los números de líneas ***TEL.1, ***TEL.15, ***TEL.16 y ***TEL.17, existente antes de marzo de 2012 (bloqueo) y como dirección vinculada en Las Palmas, fecha de activación el 29 de abril de 2011 y método de pago cuenta corriente. CUENTA ***CLIENTE.2: asociada a los números de líneas ***TEL.20, ***TEL.21 y ***TEL.19, existente antes de marzo de 2012 (bloqueo) y como dirección vinculada en Las Palmas, fecha de activación el 17 de mayo de 2011 y método de pago cuenta corriente. CUENTA ***CTA.1: asociada a los números de líneas ***TEL.2, ***TEL.3 y ***TEL.4, derivada del contrato suscrito en noviembre de 2012 y como dirección vinculada en Salamanca. Se dieron de alta como pospago el día 1 de diciembre de 2012 y el día 4 de diciembre se dieron de baja por portabilidad a otra compañía. - Con respecto a la imposibilidad de suministrarle al denunciante un duplicado de tarjeta SIM la operadora manifiesta que no fue posible ya que el cliente se estaba portando a otra operadora por lo que es inviable hacer un duplicado de una SIM correspondiente a un servicio que está ya en proceso de portabilidad. - Añade la operadora que el denunciante no tenía acceso a sus datos personales con posterioridad al bloqueo de las cuentas canceladas, de la dirección de Las Palmas ni el teléfono de contacto ***TEL.1, excepto a la información asociada a las líneas prepago o pospago a partir de las fechas en las cuales fueron dadas de alta con posterioridad a la cancelación. Que la documentación aportada por el denunciante, impresión de pantalla de sus datos personales consultados a través de la página web, está incompleto, ya que no sólo no consta en ningún lugar del mismo la fecha que permita acreditar que la impresión se llevó a cabo en una determinada fecha, sino que además en el documento no constan partes esenciales que permitirían probar cómo accedió el cliente a la misma ya que no se visualiza la parte superior donde consta a partir de qué criterios o datos (número de teléfono o DNI) el denunciante accedió a la plataforma. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 y 2 de la LOD dispone que: ”
13. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “
14. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el tratamiento de datos sin consentimiento de su titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. Por otro lado, cabe mencionar lo recogido en el artículo 4 de la LOPD, “los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.” III En el caso que nos ocupa, el denunciante pone de manifiesto que tras finalizar su relación contractual con Vodafone, solicitó la cancelación de sus datos, volviéndose a dar de alta con posterioridad, comprobando que en el apartado de Mi Vodafone de la página web de esta compañía se mostraban los datos con los que contaba la misma anteriores a la solicitud de cancelación. De las actuaciones de inspección practicadas por esta Agencia en las dependencias de Vodafone se ha podido comprobar que el denunciante solicitó la cancelación de sus datos tras finalizar con sus servicios, en fecha 21 de marzo de
15. Con posterioridad, en fecha 29 de noviembre de 2012, el denunciante vuelve a ser cliente de Vodafone mediante la adquisición de tarjetas prepago y tramita la migración de tres tarjetas de prepago a contrato. El denunciante, para mostrar que sus datos antiguos y sobre los que solicitó la cancelación se encontraban en posesión de la entidad denunciada, aporta copia de la impresión de pantalla de la consulta realizada a través de la página web de Mi Vodafone, en la que se observa que si bien los datos no son los actuales, no consta la fecha de la obtención de la misma, pudiendo ser anterior a la cancelación de los datos, sin poder comprobar si efectivamente esta impresión es posterior al 21 de marzo de 2012 (fecha en la que la entidad denunciada procedió a la cancelación de los datos). En este sentido, se ha de tener en cuenta que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. El Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: “
16. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de “presunción de inocencia” impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de “cargo” acreditativa de los hechos que motivan esta imputación y en aplicación de este principio, que obliga en caso de duda, respecto de un hecho concreto y determinante, a resolver del modo más favorable para el denunciado, en especial cuando no puede determinarse la responsabilidad subjetiva, es decir, el causante de la conducta supuestamente infractora. Por ello, dada la ausencia de elementos de cargo que permitan imputar a la entidad denunciada una posible vulneración de la normativa en materia de protección de datos procede acordar el archivo de las actuaciones practicadas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
17. PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7
18. NOTIFICAR la presente Resolución a VODAFONE ESPAÑA, S.A.U. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es