E-01826-2019

1/4 Expediente Nº: E/01826/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ESPAÑA, S.A.U. en virtud de denuncia presentada por Doña A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24/10/18 tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante) frente VODAFONE ESPAÑA, S.A.U. en lo sucesivo (el/la denunciado/

1. a)por los siguientes “hechos” que traslada a este organismo: “si utilizo mi correo electrónico ...accedo a los datos personales de otra persona (datos personales, consumo, factura, etc)”—folio nº 1--. SEGUNDO: En fecha 29/11/2018 se procedió a TRASLADAR la reclamación a la entidad denunciada—VODAFONE—para que alegase lo que en derecho estimase oportuno en relación a los “hechos” objeto de la incidencia, siendo objeto de comunicación en legal forma. TERCERO: En fecha 20/02/19 se recibe contestación de la entidad denunciada— Vodafone—manifestando que se ha procedido a disculpar con la afectada, adoptando las medidas necesarias para resolver la misma, estando esta ocasionada por un “error técnico” que ya ha sido subsanado. “Tras el análisis realizado de esta incidencia, hemos comprobado que la misma se ha producido por que el correo electrónico aparece asociado erróneamente en la ficha de otro cliente. Dicha asociación no parece que se hay producido por una suplantación (…) ya que el otro cliente lleva siendo cliente de Vodafone Ono durante bastante tiempo y todas las facturas constan debidamente firmadas”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), de plena aplicación desde el 25 de mayo de 2018, reconoce a cada autoridad de control, es competente para resolver esta reclamación la Directora de la Agencia Española de Protección de Datos, de conformidad con el artículo 12.2, apartados
2. i)y
3. j)del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos (en adelante, RD 428/1993). En idéntico sentido se pronunciaba el artículo 37.
4. d)en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, vigente en el momento de los hechos denunciados (en lo sucesivo LOPD). II En fecha 24/10/2018 se recibe reclamación de Doña A.A.A. por medio de la cual manifiesta lo siguiente: “si utilizo mi correo electrónico ….accedo a los datos personales de otra persona (datos personales, consumo, factura, etc)”—folio nº 1--. Por tanto, los hechos se concretan en algún tipo de “incidencia” a la hora de introducir sus datos de carácter personal, pudiendo tener acceso a los datos de un tercero sin causa justificada. En fecha 20/02/2019 se recibe en este organismo escrito de la entidad denunciada—Vodafone—manifestando que ha remitido una carta a la Sr. A.A.A. informándole de las gestiones realizadas y que “no se ha producido ninguna suplantación de identidad”. “Dicha asociación no parece que se haya producido por ninguna suplantación de identidad en la contratación, ya que el otro cliente lleva siendo cliente de Vodafone ONO durante bastante tiempo y las facturas constan debidamente firmadas” El artículo 55 del Reglamento (UE) 2016/679, de 27 de abril de 2016, General de protección de Datos (RGPD), la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno, en el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes. El citado artículo 65 de la Ley Orgánica 3/2018 (LOPDGDD), bajo el título “Admisión a trámite de las reclamaciones”, dispone lo siguiente: “1. Cuando se presentase ante la Agencia Española de Protección de Datos una reclamación, esta deberá evaluar su admisibilidad a trámite, de conformidad con las previsiones de este artículo. 2. La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción. 3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos, hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
5. a)Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 74 de esta ley orgánica.
6. b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas. 4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes. 5. La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente, deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos”. III De acuerdo con lo expuesto, la entidad Vodafone ha procedido a adoptar las medidas necesarias para evitar la “incidencia” denunciada, de manera que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 reclamante accede en exclusiva a sus datos personales, que se encuentran bajo su control directo en los términos de la relación contractual con la denunciada. Por tanto, una vez analizadas las explicaciones de la entidad VODAFONE, que obran en el expediente, se considera atendida la reclamación de la afectada, estando tutelado su derecho, motivo por el que procede ordenar el Archivo del presente procedimiento. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que no se adopten medidas adicionales para evitar situaciones futuras similares. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a la entidad VODAFONE ESPAÑA, S.A.U. y a Doña A.A.A.. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
7. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es