E-02011-2018

1/5 Procedimiento Nº: E/2011/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ORANGE ESPAGNE SAU., (JAZZTEL), en virtud de denuncia presentada por D.D.D., y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 14/03/18 tiene entrada en esta Agencia, escrito de D.D.D., donde denuncia que: “El día 14/08/17 al ver el aumento en la factura del teléfono se llama a JAZZTEL desde la compañía indican que se ha realizado una compra de un dispositivo PHONE

1. Se les dice que eso no es posible, ya que no he realizado ningún pedido y me comentan que sí, que lo he realizado desde mi cuenta de usuario con el número de teléfono ***TELEFONO.1 que corresponde a mi esposa con un correo electrónico que yo desconocía ***EMAIL.1 con nombre E.E.E. comento que no que ese no es mi correo y que desconozco el nombre de esa persona. Me dirijo a la comisaría de policía y allí se interpone una denuncia. Después, desde la compañía indica que todo está solucionado. El día 05/03/18 empecé a recibir unos mensajes de un nuevo dispositivo y viendo que se trataba de otra nueva estafa empecé a llamar otra vez a JAZZTEL y me comentan que se ha realizado otro pedido de un IPHONE X desde el mismo correo electrónico mencionado en la primera denuncia ***EMAIL.1 esta vez con otro nombre de mujer H.H.H., decidí poner otra nueva denuncia. Se aporta, entre otra, la siguiente documentación: a).- Con fecha 14/08/17, denuncia ante la Policía Nacional exponiendo los hechos acaecidos en el mes de agosto de
2. b).- Con fecha 09/03/18, denuncia ante la Policía Nacional exponiendo los hechos acaecidos en el mes de marzo de
3. c).- Recibos bancarios de fecha 13/09/17 por importe de 42,35 euros y de fecha 12/01/18 por valor de 87,24 euros y cuyo emisor es JAZZTEL d).- SMS indicándole el envío del dispositivo a su domicilio. SEGUNDO: A la vista de los hechos denunciados, en fase actuaciones previas, la empresa JAZZTEL, remite la siguiente información: a).- Los datos relativos al denunciante que posee la compañía son: D.D.D.; ***NIF.1 y domicilio en ***DIRECCION.1 b).- Todas las facturas emitidas constan pagadas. Si bien, en fecha 28/08/17 tras la recepción de la reclamación interpuesta por el Sr. D.D.D. mediante la que manifestaba no reconocer la contratación de terminal de venta a plazos de un Iphone 7 Plus 32GB, se escaló el caso al Grupo de Análisis de riesgos de esta mercantil. Efectuadas las comprobaciones se procedió a catalogar la contratación, del terminal, como fraudulenta y se ordenaron los ajustes necesarios devolviéndose la cuota de venta a plazos del terminal que se había facturado en la factura nº ***FACTURA.1, aplicándose dichos ajustes en la factura nº ***FACTURA.
4. Se acompaña al presente escrito copia de las facturas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 c).- Constan los siguientes registros de comunicación entre el Servicio de Atención al Cliente de Jazztel y D.D.D.: - EXPEDIENTE Nº ***EXPEDIENTE.1: En fecha 14/08/17 el D.D.D. pone de manifiesto no reconocer la contratación de terminal Iphone 7 asociado a la línea ***TELEFONO.1 tras la recepción de los SMS informativos de contratación del dispositivo, por lo que se le informa del procedimiento a seguir: “En este sentido, esta parte desea hacer constar que el uso ilegítimo de los datos personales por parte de un tercero, con el objeto de cometer un ilícito penal, debe ser puesto en conocimiento de los Cuerpos y Fuerzas de Seguridad del Estado, para que el mismo sea juzgado por la jurisdicción penal competente. De manera que, sin constar la preceptiva denuncia, Orange no está capacitada para atribuir falsedad al alta de una línea en la que se han cumplido los requisitos normativos de la contratación”. - EXPEDIENTE Nº ***EXPEDIENTE.2: En fecha 28/08/17, tras la recepción de la denuncia policial, se procedió tan pronto como se tuvo conocimiento a desvincular el terminal contratado de la línea del D.D.D., catalogándose la contratación como fraudulenta y se realizaron los correspondientes ajustes en la facturación emitida: - EXPEDIENTE Nº ***EXPEDIENTE.3: En fecha 07/03/18 se pone de manifiesto haber recibido SMS con pedido de terminal no solicitado y se procede a bloquear el área de clientes. d).- Dado que los terminales contratados se encontraban asociados a la línea ***TELEFONO.1 de la que es titular el D.D.D., se le informó del pedido solicitado mediante el envío de SMS a su numeración de contacto. Igualmente se envió SMS informativo con las condiciones generales aplicables, adjuntas. Asimismo, se adjunta albarán de entrega del dispositivo Iphone 7 + 32 GB. e).- Respecto de las reclamaciones por escrito efectuadas por el afectado o por terceros en su nombre. - RECLAMACION Nº ***EXPEDIENTE.4: En fecha 29/08/17 vía mail, se recibe reclamación oficial a través del Ayuntamiento de Hellín mediante la cual, D.D.D. solicitaba la anulación de las cuotas facturadas por el terminal Iphone 7 no contratado y aportaba denuncia policial. Dado que previamente se había anulado la contratación del terminal a través del expediente con nº ***EXPEDIENTE.2, se procedió a confirmar que la cuota se encontraba correctamente anulada, contestándose en este sentido al organismo el 01/09/
5. - RECLAMACION Nº ***EXPEDIENTE.5: En fecha 03/04/18 se recibe reclamación de la Junta de Castilla-La Mancha por correo postal, donde el D.D.D. pone en conocimiento de esta mercantil que se han solicitado dos terminales Iphone X a través de su cuenta de usuario online sin su consentimiento, y aporta la correspondiente denuncia policial. Tras el estudio, se comprueba que la solicitud de contratación de los terminales ha sido cancelada sin que hayan sido entregados por lo que no se ha llegado a facturar ninguna cuota correspondientes a los mismos en la facturación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 f).- Tras la puesta en conocimiento de los hechos, se procedió, implementando las medidas de seguridad necesarias, al bloqueo de la numeración y correo electrónico a fin de impedir el acceso de terceros no autorizados al área de clientes. g).- Como la contratación de los terminales objeto de este requerimiento se formalizaron a través de Internet, se procede a dar información del procedimiento implantado en la empresa para validar la identidad del contratante. JAZZTEL, aporta, entre otra, la siguiente documentación: 1.- Facturas, de fechas 02/08/17 y 02/09/17 a nombre del denunciante por un importe de 139,14 euros y 42,35 euros respectivamente. Se puede comprobar que en la factura de fecha 02/09/17 se realiza un abono de 39,29 euros en compensación con el cargo efectuado en la factura de 02/08/
6. 2.- Copia de las condiciones generales del contrato a abonado de JAZZTEL. 3.- Información sobre el ejercicio del derecho de cancelación en la venta a distancia y fuera del establecimiento mercantil. 4.- Carta enviada a JAZZTEL, desde la Consejería de Sanidad de la Junta de Extremadura adjuntando la reclamación del denunciante, junto con la denuncia interpuesta ante la Policía Nacional de fecha 09/03/
7. 5.- Contestación de JAZZTEL a la Consejería de Sanidad indicando que: “Jazztel no es competente para valorar si el abonado ha sido objeto de una suplantación o robo de datos, este pronunciamiento le corresponde a la Jurisdicción Ordinaria con la colaboración de los Agentes Facultados para ello. Les informamos que una vez puesto en conocimiento de estos hechos por parte del abonado ante las FS del Estado, considerando que podría tratarse de un presunto delito de suplantación y utilización indebida de los datos, cualquier información que en este sentido nos sea requerida para el esclarecimiento y colaboración con los Juzgados y Agentes Facultados será remitida de conformidad con la Ley de Conservación de datos. Confirmar que con fecha 07/03/18 se solicita dos terminales iPhone X para las líneas ***TELEFONO.
8. No obstante, dichos terminales no se entregan al recibir petición por parte del D.D.D. de cancelación de estos pedidos. Asimismo, Jazztel no ha emitido ningún cargo en relación a estos dispositivos. Por último, les confirmamos, que el cliente se encuentra al corriente de pago en esta compañía”. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El art 126.1, apartado segundo, del RD. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 II Los hechos expuestos podrían suponer la comisión, por parte de la entidad JAZZTEL, de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). III En el presente caso, el denunciante reconoce que es cliente de JAZZTEL, con claves de acceso al “área de clientes” de la compañía a través de su página web. Jazztel explica en sus alegaciones el protocolo implementado para validar la identidad del cliente que accede a su página web, entre los que se encuentra que para acceder al “área privada de clientes” y poder contratar y/o comprar cualquier producto de la compañía es necesario introducir los datos, e-mail y contraseña, por lo que el presunto suplantador accedió este área privada, conociendo de antemano éstos datos. El que se accediera al área privada del denunciante con las claves de éste, queda constatado por el hecho de que el mensaje enviado por SMS para la confirmación de la compra fue realizado al teléfono que el cliente tiene en su área privada y no a otro número teléfono, lo cual permitió descubrir a tiempo la presunta contratación fraudulenta.Además, JAZZTEL procedió de forma diligente a cancelar de inmediato el pedido en cuanto tuvo conocimiento del posible fraude. De todo lo anterior, se desprende que los hechos relatados no ponen en duda las medidas necesarias para garantizar la seguridad de los datos personales que trata la empresa a los que hace referencia el artículo 9 de la LOPD, pues en este caso, no ha quedado acreditado que la usurpación de las claves de acceso al área privada de clientes de Jazztel fuera debido a un fallo en la seguridad del sistema De todo lo anterior, se desprende que los hechos relatados no son contrarios al principio fundamental del consentimiento en el tratamiento de los datos personales, consagrado en el artículo 6 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER: AL ARCHIVO de las presentes actuaciones. NOTIFICAR: la presente resolución a ORANGE ESPAGNE SAU., (JAZZTEL), y a D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es