E-02954-2015

1/8 Expediente Nº: E/02954/2015  RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ONO, S.A.U., (antes, Vodafone España, S.A.U., en lo sucesivo, VODAFONE o la denunciada), en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 12/03/2015 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que manifiesta haber recibido comunicaciones comerciales por vía electrónica de VODAFONE después de que la operadora le hubiera confirmado que, como había solicitado, procedía a cancelar sus datos. Aporta, entre otros, los siguientes documentos: Copia del escrito que envió a VODAFONE, de fecha 02/02/2015, en el que solicita que se “proceda a acordar la cancelación de los datos personales sobre los cuales se ejercita el derecho…”, siendo los datos personales que hizo constar en ese escrito (en el apartado “Datos personales”) únicamente el nombre y dos apellidos, domicilio y número de DNI. Carta de VODAFONE, de fecha 09/02/2015, dirigida al denunciante, en la que le informa que “procede de inmediato a la cancelación de todos sus datos relativos a su persona que tenga en sus ficheros”. Copia de los correos electrónicos recibidos desde la dirección .......corp.vodafone.es en su dirección, ....@gmail.com, de fechas 11/03/2015 y 17/06/2015. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ACTUACIONES PREVIAS DE INSPECCIÓN 1. En los correos aportados por el denunciante consta la siguiente información: “Vodafone España, S.A.U. (en adelante Vodafone) le informa que, en cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal así como en su normativa de desarrollo, sus datos personales forman parte de un fichero de su titularidad con domicilio en…… Usted puede ejercer, en cualquier momento, sus derechos de acceso, rectificación, cancelación u oposición dirigiéndose a la dirección antes citada, por teléfono al C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 2/8 Servicio de Atención al Cliente 123 o a través de la dirección de correo electrónico .......@vodafone.es poniendo como referencia “Protección de Datos” . 2. Con fechas 2 y 24 de septiembre de 2015 se remiten solicitudes de información a VODAFONE y de las respuestas recibidas en fecha 21 de septiembre y 14 de octubre de 2015 se desprende: VODAFONE manifiesta que los datos del denunciante que constaban en su ficha de cliente se encuentran cancelados, mediante bloqueo, en todos los Sistemas de Información de Clientes desde el mes de febrero de 2015, tal y como fue solicitado y aporta impresión de pantalla donde figura “El cliente está acogido a la Lortad. No se puede mostrar sus datos”. VODAFONE pone a disposición, tanto de clientes, como de no clientes, la posibilidad de solicitar voluntariamente recibir comunicaciones comerciales sobre productos y servicios del operador, a través de una subscripción a la newsletters de la entidad y manifiesta que éste tipo de comunicación comercial es la que ha sido recibida por el denunciante. Para darse de alta el interesado debe facilitar su nombre y apellidos y su cuenta de correo electrónico a través de una web de Vodafone y los datos que se recaban se registran en el fichero MARKETING inscrito en el Registro General de Protección de Datos con el código ***CÓD.1 y con la finalidad de “análisis, diseño y lanzamiento de campañas de marketing…” cuyo titular es VODAFONE. La gestión de las campañas de Marketing es realizada por la empresa FULLSIX S.L.U. con la que VODAFONE tiene suscrito un contrato de prestación de servicios desde septiembre de 2012, para el mantenimiento de la Tienda On-line de Vodafone y de Vodafone Live. En virtud de este contrato, VODAFONE decide las características de los usuarios a los que se va a remitir las comunicaciones comerciales y FULLSIX realiza la extracción según los requisitos. Una vez comprobado que éstos se cumplen y que todo es correcto se prepara la creatividad para ser enviada a los usuarios seleccionados, los cuales pueden darse de baja en el momento que deseen ya que consta en cada comunicación comerciales el procedimiento establecido para ello. VODAFONE manifiesta que FULLSIX ha comunicado que el correo electrónico ....@gmail.com solicitó el alta en la web de suscripción a la newletters el día 12 de septiembre de 2013, a las 18:43:24 horas, y desde esa fecha el denunciante viene recibiendo comunicaciones comerciales. Y aporta impresión del registro donde consta dicha dirección de correo electrónico y la fecha y hora. A este respecto, VODAFONE manifiesta que el dato del correo electrónico, facilitado a los sólo efectos de recibir las newsletter, no es un dato que se registre en la ficha del cliente, sino que es utilizado y tratado sólo para esos envíos. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 3/8 VODAFONE manifiesta que cuando el denunciante solicitó la cancelación de sus datos en febrero de 2015, se procedió a cancelar todos sus datos de los sistemas de Información, si bien se continuó tratando la cuenta de correo electrónico para el envío de las newsletters, ya que ese dato fue aportado con posterioridad al alta como cliente y sólo para el envío de estas comunicaciones, por ello, consideran al estar dirigidas las comunicaciones comerciales a clientes y no clientes, el hecho de dejar de ser cliente e incluso pedir la cancelación, es independiente al hecho de seguir recibiendo estas comunicaciones. VODAFONE manifiesta que los datos de los usuarios que han solicitado la recepción de las newletters no se cruzan con los datos del Sistema de Información de Clientes ya que en este fichero no se dispone de ningún otro dato que garantice la identificación única del cliente. VODAFONE manifiesta que con objeto de mejorar el procedimiento de envío de las newletters para los clientes se ha procedido a incluir un dato adicional (teléfono móvil) en el registro de suscripción de tal forma que se pueda vincular al cliente con la dirección de correo electrónico que ha solicitado el envío de comunicaciones comerciales. VODAFONE manifiesta que el denunciante no ha solicitado la baja en la recepción de la newsletter ya que en cada comunicación consta una cláusula al respecto puesto que es un entorno distinto y paralelo a la situación del cliente.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El marco normativo en el que han de valorarse los hechos que el denunciante expone viene integrado, en esencia, por las siguientes disposiciones: La LOPD, en su artículo 16, reconoce a los ciudadanos el derecho de cancelación de sus datos de carácter personal que dispone: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 4/8 derecho de rectificación o cancelación del interesado en el plazo de diez días. (..) 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión.” (El subrayado es de la AEPD) El Reglamento de Desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) regula el procedimiento a seguir para ejercitar el derecho de cancelación. El artículo 25 del RLOPD indica: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
2. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. (..)
3. b)Petición en la que se concreta la solicitud.
4. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
5. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar a la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. (El subrayado es de la AEPD) Por otra parte, la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), dispone en su artículo 22, “Derechos de los destinatarios de servicios”: “1.El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 5/8 que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos. (…)” (El subrayado es de la AEPD) III Ha quedado acreditado, a raíz de la documentación aportada a requerimiento de la Inspección de Datos de la AEPD, que en la “ficha de clientes” VODAFONE incluye, únicamente, campos destinados a recoger los siguientes datos de carácter personal: el nombre y apellidos, NIF, domicilio, teléfono de contacto, nacionalidad, dirección de envío de la factura y datos de domiciliación bancaria. En definitiva, en el fichero de clientes no está registrado el dato de la dirección electrónica pues la denominada “ficha cliente” no contiene un campo para su recogida. VODAFONE ha declarado y la AEPD ha confirmado que, además del fichero de clientes, tiene otro fichero independiente, denominado “MARKETING”, que se encuentra debidamente inscrito en el Registro General de Datos de la AEPD -número ***CÓD.1- cuyo objeto es el “análisis, diseño y lanzamiento de campañas de marketing así como promociones comerciales de servicios de la Compañía Vodafone España, S.A.U.” La denunciada pone a disposición tanto de quienes son clientes suyos como de quienes no lo son la posibilidad de solicitar voluntariamente el envío de comunicaciones comerciales sobre los productos de VODAFONE mediante la suscripción a una “neswletter”, por lo que la gestión de los datos de los suscriptores a esa comunicación comercial es independiente de la condición de cliente o no del destinatario de la revista publicitaria. El alta en la newsletter no va asociada a la condición de cliente, ni tampoco es posible que el cliente se dé de alta en ella en el momento de contratar un servicio con VODAFONE. Los clientes que lo deseen, voluntariamente podrán darse de alta en la plataforma para envío de publicidad con independencia de la contratación de servicios con la operadora y recibir así ese tipo de comunicaciones. Como VODAFONE ha explicado y acreditado documentalmente, los únicos datos que se recaban, pues son los únicos para los que existen campos a cumplimentar en el formulario de alta en la “Newsletter” son el nombre, apellidos y la dirección electrónica. De modo que en el fichero MARKETING no queda registrado el NIF de quien se da de alta en los envíos de publicidad, ni ningún otro dato que permita su identificación –como el número de teléfono o dirección postal-, por lo cual la identificación de la persona que ha solicitado y consentido el envío de las C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 6/8 comunicaciones comerciales se puede hacer de modo inequívoco únicamente a través de su dirección electrónica. Llegados a este punto debemos recordar que la denuncia que nos ocupa versa sobre las comunicaciones comerciales que el denunciante recibió de VODAFONE después de que hubiera solicitado la cancelación de sus datos y de que VODAFONE le hubiera respondido el 09/02/2015 que de inmediato daba curso a su solicitud. En el escrito ejercitando el derecho de cancelación ante VODAFONE el denunciante concretó su petición diciendo que solicitaba que “se proceda a acordar la cancelación de los datos personales sobre los cuales se ejercita el derecho…”, siendo así que los únicos datos que había hecho constar fueron , exclusivamente, el nombre, apellidos, NIF y domicilio postal. Es decir, que en su escrito no mencionó en ningún caso el dato relativo a la dirección electrónica. En respuesta a la petición del denunciante, VODAFONE procedió correctamente y en febrero de 2015 bloqueó los datos que estaban registrados en el fichero de clientes, como lo confirma la documentación que la operadora ha remitido a la AEPD. Ahora bien, era materialmente imposible que VODAFONE diera de baja del fichero clientes datos, como la dirección electrónica, que no se encontraban recogidos en el referido fichero. Asimismo, no era posible, a tenor del escrito de solicitud de cancelación que el denunciante dirigió a VODAFONE, su localización en el fichero MARKETING a fin de cancelar sus datos de carácter personal de este fichero, del que también es titular la denunciada. Como ya hemos indicado, los datos de carácter personal registrados en el fichero MARKETING, al que se accede para gestionar las campañas publicitarias de VODAFONE, entre ellas el envío de newsletters, son únicamente la dirección electrónica y nombre y apellidos, sin que éstos últimos permitan identificar de forma inequívoca a la persona, por lo que la identificación –a falta de NIF- habrá de hacerse a través del email facilitado. Por tanto, VODAFONE, en cumplimiento de la petición de cancelación que el denunciante le hizo en febrero de 2015 únicamente podía dar de baja los datos personales que le conciernen que estuvieran registrados en el fichero de clientes, en el que no figuraba su dirección electrónica, y así lo hizo. De lo expuesto se concluye que la conducta de VODAFONE ha sido respetuosa con el artículo 16 de la LOPD, pues atendió correctamente el derecho de cancelación ejercido por el denunciante de acuerdo con el contenido de la petición en la que se concretaba su solicitud.. Por lo que concierne a la adecuación de la conducta de VODAFONE con las disposiciones de la LSSI, en particular el artículo 22, basta indicar que en las comunicaciones comerciales que el denunciante recibió de la denunciada y cuya copia nos ha facilitado sí existe un enlace de baja (“Date de baja”) y además se incluye la dirección electrónica .......@vodafone.es indicando en la leyenda que figura al final del C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 7/8 mensaje publicitario que ha de ponerse como referencia “Protección Datos”. Se suma a esta reflexión el hecho de que el denunciante no ha aportado ninguna prueba o indicio razonable de que hubiera solicitado la baja de las comunicaciones comerciales a través de los medios que a tal fin le ofrecía la newsletter de VODAFONE ni tampoco de que, como explica en su denuncia, el enlace no funcionara y la dirección devolviera los correos enviados con la advertencia de que era errónea. Es digno de mención, asimismo, que VODAFONE ha informado a la AEPD que con el fin de mejorar el proceso de atención a los clientes se ha procedido a incluir un campo más –el número de teléfono móvil- en el cuestionario a cumplimentar para registrarse en el alta de las newsletter, de forma, dice que “ante peticiones como la del Sr. A.A.A. que además era cliente, Vodafone pueda vincularlos si piden una cancelación de sus datos como cliente y no hacen mención alguna a la baja y cancelación de sus datos como usuarios de la newsletter”, como ha acontecido en el presente caso. En consideración a lo expuesto, y habida cuenta de que la investigación efectuada no ha arrojado indicios de una presunta infracción por VODAFONE de las disposiciones de la LOPD y la LSSI que resultan de aplicación, corresponde acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a VODAFONE ESPAÑA, S.A.U. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 8/8 notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es