E-03178-2020

1/5  Procedimiento Nº: E/03178/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14/11/19, tuvo entrada en esta Agencia escrito, presentado por Dª A.A.A. (en adelante, “la reclamante”), en el que denuncia a la entidad ASPAFONE TIENDAS, S.L., con CIF.: B16269391 (en adelante “la entidad reclamada”), en los siguientes términos: “Ayer, mi hijo acudió a la tienda de Vodafone a preguntar por una permanencia. El contrato está a mi nombre por lo que la tienda no le tenía que haber dado dicha información”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales que ha previsto un mecanismo, previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, con fecha 10/01/19 se dio traslado de la reclamación presentada a la entidad reclamada y a VODAFONE ESPAÑA SAU. para que procediese a su análisis y diera respuesta a la reclamante y a esta Agencia. TERCERO: Con fecha 31/01/20, la entidad reclamada, remite a esta Agencia, escrito de contestación a la reclamación indicada en el punto “primero”, informando, entre otras, de lo siguiente: Revisados los registros de horarios de nuestros empleados del día 23/10/19, concluimos que la persona que atendió al hijo de la demandante fue un empleado que a día de hoy no trabaja en ASPAFONE TIENDAS SL. Todos nuestros empleados firman la “cláusula de deber de secreto” sobre todos los datos carácter personal a los cuales tengan acceso por la relación laboral con ASPAFONE TIENDAS SL. Mediante la firma de esta cláusula se comprometen a guardar secreto sobre todos los datos personales que manejen. Adjuntamos la “cláusula de deber de secreto” debidamente firmada. Como hemos comentado anteriormente el empleado ya no trabaja con nosotros, por lo que no podemos saber con toda seguridad si es cierto que el empleado proporcionase la fecha de finalización del contrato de permanecía al hijo de la demandante, aunque si así fuese la responsabilidad recaería en el empleado al ser un incumplimiento del deber de diligencia y buena fe. La reclamante en ningún momento ejercitó ninguno de los derechos regulados en los artículos 15 a 22 del RGPD. Recalcar, que dichos derechos siempre están a disposición de nuestros usuarios en el momento en el que quieran ejercitarlos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Por su parte, con fecha 13/02/20, la Compañía VODAFONE ESPAÑA SAU., envió a esta Agencia, escrito, en el que, entre otra, informaba de: Se adjunta copia de la carta remitida a la reclamante, informándole de las gestiones realizadas por mi representada para dar respuesta a su reclamación. En concreto, se le informa a la reclamante sobre los procedimientos internos existentes en materia de seguridad para gestionar los datos personales de los clientes de forma confidencial y segura. No es necesario acreditar datos personales del titular de la cuenta, en tanto la permanencia es información con carácter general relativa a los compromisos y costes por cancelación asociados a la línea objeto de contratación. Vodafone pudo comprobar que, de conformidad con los procedimientos en materia de seguridad recogidos en la Política de Seguridad para clientes particulares, toda “Información general: tarifas, productos y servicios, promociones, USSD disponibles; Información relacionada con la línea del cliente: plan de servicios, compromiso y coste por cancelación, catálogo de fidelización, estado de un pedido, estados de activación de la línea, Adsl etc.” no requerirá de ninguna política de seguridad, al ser información de carácter general que se encuentra asociada a las características del tipo de línea o servicio en cuestión. Vodafone entiende encuadrada la información relativa a la permanencia de un contrato como de carácter general, pudiendo ser en este sentido, incluso otorgada a un cliente potencial que meramente quiere información sobre las permanencias antes de contratar un servicio con Vodafone. Vodafone, la solicitud por parte de un tercero de información relativa a los compromisos y costes de cancelación de la línea asociada a la reclamante no precisarán de políticas de seguridad, pudiendo ser por tanto este el motivo por el que se le pudo facilitar tal información a su hijo. Vodafone dispone de una serie de procedimientos y procesos de seguridad asociados a la contratación y gestión de los servicios de telecomunicaciones móviles de manera que en todo momento se cumplan los requerimientos establecidos en materia de privacidad y protección de datos personales. Respecto a la consulta de la permanencia considerado un dato de carácter general, es importante poner de manifiesto que para cualquier gestión presencial que se quiera realizar sobre una línea particular y que tenga la capacidad de generar implicaciones más significativas a nuestros clientes, como puede ser la activación, desactivación o modificación de una línea, entre otros, requerirá superar un proceso de verificación conforme a los procedimientos de seguridad definidos según el caso concreto al tener dichas gestiones un mayor riesgo en materia de privacidad para nuestros clientes. Tales procedimientos de seguridad consisten de un lado en la comprobación del DNI o pasaporte, o, en su caso, la clave de acceso de atención al cliente en el supuesto de los titulares de una línea concreta. Y, por otro lado, en el caso de las personas no titulares, Vodafone solicitará la clave de acceso de atención al cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Vodafone nunca facilita datos personales relativos a nuestros clientes, con independencia de si la solicitud la realiza un titular o no titular si no se han superado los procedimientos de seguridad establecidos para el caso concreto. Por todo ello, se actuó en todo momento conforme a los procedimientos en materia de seguridad que se encuentran implementados en la compañía. Se adjunta, documento en que consta la Política de Seguridad de Vodafone. Vodafone es consciente de las obligaciones en materia de confidencialidad que mantiene con sus clientes, y a tal efecto, implementa procedimientos de seguridad internos con el fin de garantizar la seguridad de la información de estos, impidiendo, de esta manera, accesos no autorizados por parte de terceros. El procedimiento en materia de seguridad establece una diferenciación entre la información a la que es posible acceder sin necesidad de pasar por las medidas de seguridad establecidas, y el acceso a información que si requiere superar las medidas reforzadas de seguridad con el fin de verificar la identidad del solicitante. A tal efecto, dichas Políticas y procedimientos se han realizado en atención a diversos criterios, como el riesgo, la naturaleza, la accesibilidad y las posibles implicaciones que tiene la información que consta en nuestros sistemas. Vodafone entiende que sus políticas y procedimientos actuales son suficientes para lograr el fin que persiguen las mismas, siendo éste el ofrecimiento de garantías adecuadas a nuestros clientes en materia de confidencialidad y seguridad. Las políticas y procedimientos de seguridad de Vodafone se ponen a disposición de todos nuestros colaboradores y proveedores, siendo el cumplimiento de sus disposiciones obligatorio para todos sus empleados. CUARTO: Con fecha 27/03/19 y de conformidad con el artículo 65 de la LOPDGDD y a los efectos previstos en su artículo 64.2, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la denuncia presentada por el reclamante. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver estas actuaciones de investigación. II En el presente caso, se procede a examinar la reclamación de fecha 14/11/19 por medio de la cual la reclamante traslada a esta Agencia el hecho de considerar ilegal, proC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 porcionar información sobre la permanencia de la línea telefónica a su nombre a otra persona, en este caso, a su hijo. De la información y documentación aportada por las partes, se constata varios aspectos: a).- En la reclamación se afirma que se facilitaron datos personales relativos a una línea telefónica a otra persona sin el consentimiento de la titular, pero no se especifica qué tipo de información fue facilitada, por lo que en este caso, no es posible apreciar si los datos facilitados entran o no en el ámbito competencial del RGPD y por tanto, en el ámbito de actuación de esta Agencia Española de Protección. Tampoco se aporta a la reclamación ningún tipo de prueba o documento que pueda corroborar lo denunciado por la reclamante. b).- En la contestación de la entidad reclamada, se indica que le es imposible confirmar o desmentir los hechos pues el dependiente que debió atender al hijo de la reclamante ya no presta sus servicios en la tienda y no puede, por tanto dar más información. No obstante, se indica, aportando prueba de ello que, “todos los empleados firman la "cláusula de deber de secreto", comprometiéndose a guardar secreto sobre todos los datos personales que manejan”, aporta para ello, la declaración firmada por el empleado que atendió al hijo de la reclamante. También se afirma en el escrito que, “la reclamante no se ejerció ningún derecho reconocido en el RGPD ante el responsable del tratamiento de sus datos de la entidad” sino que tuvo conocimiento de los hechos a partir del requerimiento de esta Agencia. c).- En la contestación de VODAFONE al requerimiento de esta Agencia, se indica que, se ha procedido a remitir contestación a la reclamante manifestando además que, “la operadora dispone de políticas y medidas de seguridad cuyo objetivo es la protección de la información que consta en los registros, relativa a los clientes. La información respecto a tarifas, productos y servicios no requiere de ningún procedimiento de seguridad (ya que no contiene datos de carácter personal). Cualquier otra gestión que pudiese comprometer datos personales si precisa la verificación del titular de la cuenta mediante el DNI, así como la clave de acceso de atención al cliente (sólo se pueden realizar las gestiones habiéndose superado dichas medidas de seguridad)”. Se añade además que, “para cualquier gestión presencial y que tenga la capacidad de generar implicaciones más significativas a los clientes (activación, desactivación, etc.) requiere superar un proceso de verificación. Se señala que nunca se facilitan datos personales de los clientes con independencia de si la solicitud la realiza un titular o no titular si no se han superado los procedimientos de seguridad establecidos”. III De acuerdo con lo expuesto, no se aprecia infracción alguna en el marco de la protección de datos, por lo que, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la reclamante Dª A.A.A. y a la entidad reclamada ASPAFONE TIENDAS, S.L De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es