E-03097-2016

1/6 Expediente Nº: E/03097/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades GAMELOFT IBERICA SA, PROADS INVESTMENT SL, TELEFÓNICA DE ESPAÑA, S.A.U., TELEFONICA MOVILES ESPAÑA, S.A.U. en virtud de denuncia presentada por A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 24 de mayo de 2016 tiene entrada en esta Agencia un escrito de A.A.A., en adelante la denunciante, en el que manifiesta lo siguiente: 1. Tras comprar un teléfono móvil y contratar con TELEFONICA MOVILES ESPAÑA, S.A.U., en adelante MOVISTAR, una línea que conllevaba el pago de una cuota fija de 24 euros mensuales, observó que en las facturas emitidas en agosto y septiembre de 2014 los importes eran superiores. 2. Puesta en contacto con el servicio telefónico de atención al cliente de MOVISTAR se le informa de que los cargos son debidos a servicio de mensajería Premium que ella había solicitado, pero eso no es cierto ya que no los solicitó ni uso. 3. El 3 de septiembre de 2014 presentó ante el INSTITUTO GALEGO DE CONSUMO reclamación contra MOVISTAR por las cantidades indebidamente cobradas. Durante la tramitación de la reclamación MOVISTAR le informa de que son servicios prestados por la compañía GAMELOFT, cuando ella no ha dado su consentimiento para que dicha entidad acceda a sus datos personales, al margen de que la entidad le esté facturando a través de otra entidad servicios que no pidió. 4. Tras no haber obtenido resultados satisfactorios en su reclamación ante el Instituto Galego de Consumo, interpuso reclamación ante la SECRETARÍA DE ESTADO DE TELECOMUNICACIONES Y PARA LA SOCIEDAD DE LA INFORMACIÓN (SETSI) en la que nuevamente MOVISTAR no se hace responsable señalando como responsable de la tramitación a GAMELOFT. La resolución de la reclamación reconoce su derecho a la devolución de lo indebidamente facturado. 5. Entiende que sus datos han sido cedidos sin su autorización a GAMELOFT y que ello vulnera la normativa vigente en materia de protección de datos. Junto con el escrito de denuncia se aporta copia de la siguiente documentación:

1. a)Reclamación presentada ante el INSTITUTO GALEGO DE CONSUMO.
2. b)Respuesta dada por MOVISTAR al INSTITUTO GALEGO DE CONSUMO.
3. c)Respuesta dada por MOVISTAR a la reclamación presentada ante la SETSI.
4. d)Alegaciones de la denunciante a la respuesta del punto anterior.
5. e)Resolución de la SETSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Las facturas emitidas por MOVISTAR a la denunciante el 1 de agosto y 1 de septiembre de 2014 para la línea ***TEL.1 contienen cargos por el concepto “Accesos a Contenidos” por importe de 46,79 euros y 68,92 euros respectivamente. Los consumos desglosados en las facturas, incluidos los de accesos a contenidos, se produjeron en los periodos que van del 18 de junio a 17 de julio de 2014 y de 18 de julio a 18 de agosto de 2014. Aunque se realizan actuaciones inspectoras requiriendo a MOVISTAR detalle sobre las compras facturadas dicha entidad no las ha facilitado por lo que se desconoce qué productos o servicios fueron adquiridos y la fecha exacta en la que lo fueron. Dado que los cargos son de distinto importe y que no hay evidencias de que se hayan repetido con posterioridad, parece que estos se deben a compras puntuales y no a la suscripción de un servicio. 2. La reclamación presentada ante el INSTITUTO GALEGO DE CONSUMO el 3 de septiembre de 2014 niega haber solicitado nunca productos o servicios de GAMELOFT. La respuesta de MOVISTAR a dicha reclamación manifiesta que:  Al disponer de un sistema global de aseguramiento de la calidad de la facturación y no haber detectado incidencia alguna se entienden como correctamente facturados los conceptos  Dado que los contenidos únicamente son accesibles a través de la navegación móvil queda verificado que la compra se realiza desde la línea a la que se factura.  Los servicios ofrecidos a través de e-moción (portal de servicios para terminales móviles de MOVISTAR) se informa previamente del coste de los servicios y las compras requieren la confirmación del cliente.  Se proporciona un diagrama que muestra el flujo de una compra similar a la supuestamente realizada por la denunciante. En el diagrama se muestra cómo funciona la compra de objetos que requieren pago en metálico dentro de juegos ejecutados en un terminal móvil. 3. La resolución de la SETSI sobre la reclamación planteada por la denunciante, de fecha 31 de marzo de 2016, en su disposición B) no establece que las cantidades facturadas lo fueran indebidamente, sino que obliga a MOVISTAR a realizar la facturación de forma que se emitan facturas separadas, una para los servicios reclamados y otra para los servicios de telefonía, de manera que la denunciante pueda pagar separadamente si lo desea unos conceptos u otros y, en caso de pagar los de telefonía, no ser suspendida de dichos servicios. 4. MOVISTAR dispone de una plataforma de contenidos denominada Emocion a través de la cual comercializa productos de terceros. La plataforma es el equivalente tecnológico de un “mercado” como el de Google Play pero operado MOVISTAR. MOVISTAR es la entidad que asume responsabilidades de principio a fin en la venta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 de los contenidos de Emocion y como gestora de la plataforma es conocedora tanto de la identidad del cliente comprador y como del tercero proveedor del bien o servicio. Para gestionar el cobro no es necesaria la cesión de los datos de MOVISTAR al tercero sino que es MOVISTAR, que trata los datos de la denunciante en su calidad de cliente, quien cobra el producto o servicio y después paga al tercero la cantidad que corresponda. 5. MOVISTAR controla qué productos y servicios son comercializados a través de Emocion y la forma en que lo son. Los contenidos deben de ajustarse a unas guías elaboradas por MOVISTAR y su cumplimiento es auditado periódicamente por un equipo de empleados de la entidad. Las auditorías incluyen la comprobación de la información de pago proporcionada en los procesos de compra puntual. Durante la actuación inspectora realizada a MOVISTAR se solicita copia de las guías que deben cumplir las aplicaciones y servicios que quieran ser incluidos en la plataforma Emocion y de las auditorías que los productos y servicios facturados a la denunciante hayan pasado por parte del equipo de MOVISTAR antes de agosto de 2014. Sin embargo, dichos documentos no han sido facilitados por la entidad. En el caso denunciado por la titular de la línea ***TEL.1, dado que no se trata de un procedimiento de suscripción, el proceso tiene un único paso y una vez mostrada la información de pago, si el cliente pulsa el botón “comprar”, la compra se realiza. 6. En las condiciones de uso del servicio Emocion (http://emocion.movistar.es ) se indica con respecto al cobro de las compras que “El Cliente, una vez que ha seleccionado el contenido disponible del catálogo de emoción debe pulsar el botón o enlace que supone asunción de un cargo (p.e "Comprar", "Suscribir"). Al pulsar en estos botones o enlaces se habrá confirmado la compra y el pago, iniciándose el proceso de descarga si el contenido es descargable en el acto. […] El cobro de la compra del contenido se realiza en la propia factura del cliente en el caso de los servicios con contrato o se descuenta del saldo disponible en la tarjeta prepago. Para contenidos de pago por descarga única, el cobro del contenido se hace en el momento de la compra…” 7. El Subinspector actuante realizó dos pruebas con su terminal de uso profesional sobre dos juegos, uno de ellos comercializado por GAMELOFT y otro por una sociedad distinta. En ambos casos al solicitar la compra dentro del propio juego de productos que requerían el pago de una cantidad de euros, se mostraba una ventana emergente en la que se informaba del precio del producto que se iba a adquirir y se mostraban dos botones, uno con el texto “Comprar” y otro con el texto “Cancelar”. En ambos casos se informaba de que al pulsar el primero de los botones se cargaría el importe de la compra en su factura de MOVISTAR o se deduciría del crédito de la tarjeta prepago. El que estas pruebas hayan arrojado los resultados descritos no implica que el funcionamiento del sistema fuera el mismo en el momento en que sucedieron los hechos, casi dos años antes. Menos aun teniendo en cuenta que se desconoce que juegos o servicios fueron los utilizados para realizar las compras en disputa. CONCLUSIONES A. No existen evidencias de que se haya realizado cesión de los datos de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 denunciante a terceras entidades. B. MOVISTAR no ha proporcionado información que detalle cuales fueron los productos adquiridos y facturados en su momento a la denunciante. La única indicación de que éstos están relacionados con un juego de GAMELOFT comercializado a través de la plataforma Emoción con las afirmaciones en ese sentido incluidas en un escrito remitido al INSTITUTO GALEGO DE CONSUMO. C. MOVISTAR manifiesta que los productos comercializados a través de Emocion así como los procesos de comercialización son auditados por un equipo propio, pero no ha aportado documentación o registro sobre esos procesos de auditoría en el momento de los hechos los requerimientos exigidos a los terceros. D. Al no tener identificado los juegos o servicios sobre los que se produce el desacuerdo los resultados de las pruebas realizadas por el Subinspector actuante sobre el actual funcionamiento de las compras dentro de los juegos no son concluyentes. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
6. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 11 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), establece como regla general el previo consentimiento del interesado para la comunicación de datos personales a un tercero. Así dispone en su apartado 1 lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” El artículo 3.
7. i)de la citada norma define la “cesión o comunicación de datos” como “toda revelación de datos realizada a una persona distinta del interesado”. Se ha de tener en cuenta que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 absolutorio”. De acuerdo con este planteamiento, el artículo 137.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, establece que “Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Por lo tanto, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. III En el presente caso, de la documentación aportada, así como de las investigaciones realizadas por este Organismo no se desprende que MOVISTAR haya realizado cesión de los datos personales de la denunciante a la entidad GAMELOFT, ya que en la inspección realizada por este Organismo, MOVISTAR dispone de una plataforma de contenidos denominada Emocion a través de la cual comercializa productos de terceros. La plataforma es el equivalente tecnológico de un “mercado” como el de Google Play pero operado por MOVISTAR. MOVISTAR es la entidad que asume responsabilidades de principio a fin en la venta de los contenidos de Emocion y como gestora de la plataforma es conocedora tanto de la identidad del cliente comprador y como del tercero proveedor del bien o servicio. Para gestionar el cobro no es necesaria la cesión de los datos de MOVISTAR al tercero sino que es MOVISTAR, que trata los datos de la denunciante en su calidad de cliente, quien cobra el producto o servicio y después paga al tercero la cantidad que corresponda. Concluir señalando que esta Agencia no es competente para dirimir cuestiones civiles, tales como las relativas a la validez civil o mercantil del contrato, la exactitud de la deuda, la correcta prestación de los servicios contratados o la interpretación de cláusulas contractuales, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para su tratamiento. La determinación de la legitimidad de una deuda basada en la interpretación del contrato suscrito o de su cuantía deberá instarse ante los órganos administrativos o judiciales competentes, al exceder del ámbito competencial de esta Agencia. Habida cuenta de lo expuesto, el hecho de que se reclame una deuda existiendo controversia, no supone vulneración de la LOPD. No obstante, podrá ejercitar su derecho de rectificación o cancelación ante la entidad MOVISTAR, utilizando los modelos que figuran en el siguiente enlace: https://www.agpd.es. En el supuesto de que su solicitud no fuera contestada en el plazo de diez días, podrá dirigirse a esta Agencia, acompañando copia de la solicitud cursada, para la tramitación del correspondiente procedimiento de tutela de derechos, reiterando que si su solicitud fuera desestimada por el acreedor, esta Agencia carece de competencia para dirimir la pertinencia de tal desestimación, la controversia sobre la deuda reclamada, debe ser resuelta previamente por la instancia administrativa, arbitral o judicial competente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 IV Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a GAMELOFT IBERICA SA, PROADS INVESTMENT SL, TELEFÓNICA DE ESPAÑA, S.A.U., TELEFONICA MOVILES ESPAÑA, S.A.U. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es