1/5 Procedimiento Nº: E/03536/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante VODAFONE ONO, S.A.U., en virtud de la reclamación presentada por D. A.A.A. (en adelante, el reclamante) y en consideración a los siguientes HECHOS PRIMERO: La reclamación formulada tiene entrada en la Agencia Española de Protección de Datos con fecha 31/10/2018. La reclamación se dirige contra VODAFONE ONO, S.A.U., con NIF A62186556, (en adelante, la reclamada o VODAFONE). El hecho que motiva la presente reclamación es la modificación de los datos del titular del contrato número ***CONTRATO.1, que ***EMPRESA.1, -entidad de la que el reclamante es Administrador- tenía suscrito con la operadora reclamada, pasando a figurar como datos del titular del citado contrato el nombre, apellidos y NIF del reclamante. El reclamante ha aportado copia de dos facturas emitidas por VODAFONE vinculadas al contrato número ***CONTRATO.1. En una de ellas los datos son correctos: factura número ***FACTURA.1, emitida el 01/09/2018, en la que consta como titular “***EMPRESA.1, ADMON A.A.A.”, con CIF B86745338. En la segunda factura, emitida el 01/10/2018, número ***FACTURA.2, figura como titular A.A.A. con NIF ***NIF.1 SEGUNDO: La AEPD dio traslado a VODAFONE de la reclamación presentada a fin de que procediera a su análisis y comunicara al reclamante la decisión adoptada al respecto. VODAFONE respondió a la solicitud de información de esta Agencia y explicó que, tras analizar los hechos que motivan la reclamación, ha podido verificar que el cambio de titular de la empresa ***EMPRESA.1, al reclamante, Sr. A.A.A., se debió a un problema de migración de clientes en sus sistemas. Indicó que VODAFONE se encuentra inmersa en un proceso de unificación de sistemas que implica la migración de los datos de los clientes que se encontraban en los antiguos sistemas de VODAFONE a los sistemas que manejaba VODAFONE ONO y que este caso era un problema puntual en dicha migración. La reclamada ha aportado un informe interno en el que da cuenta de lo ocurrido. En el documento figuran las siguientes anotaciones: “Es un cliente migrado de Vodafone a Ono en julio, pero en lugar de darle de alta como empresa como estaba en Vodafone, a nombre de ***EMPRESA.1, cif B86745338, aparece ficha de cliente como particular: A.A.A., que era el administrador. Al ser migración es algo interno y no hay contrato ni grabaciones” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Se aportan, asimismo, capturas de pantalla de los sistemas de VODAFONE en las que el contrato aparece vinculado a su titular (la sociedad limitada mencionada) y no consta ningún contrato a nombre del reclamante. Se anexa copia de una carta con el anagrama de VODAFONE en la que consta como destinatario el reclamante. En la carta, de fecha 08/03/2019, le piden disculpas por lo ocurrido; le explican que ha sido fruto de un error en el proceso de migración de sistemas en el que la compañía VODAFONE está inmerso y le informan de que los hechos denunciados han sido corregidos y los servicios se encuentran nuevamente de alta a nombre de la empresa ***EMPRESA.1 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El artículo 5 del RGPD, “Principios relativos al tratamiento” señala en su apartado 1 que “Los datos personales serán: a)Tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia)” El artículo 6 del RGPD, “Licitud del tratamiento”, dispone: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, igualmente, a la AEPD ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal entre los que se contempla la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que les requiera a fin de poder desempeñar las funciones que tiene encomendadas. Correlativamente, el artículo 31 del RGPD impone a los responsables y encargados del tratamiento la obligación de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD le atribuye la función de cooperar con dicha autoridad. Por otra parte, el ordenamiento jurídico interno, artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, contempla un mecanismo “previo a la admisión a trámite” de las reclamaciones que se formulen ante la AEPD, que consiste en dar traslado de dichas reclamaciones a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, para que procedan a su análisis y den respuesta en el plazo de un mes. IV La reclamación presentada contra VODAFONE se funda en una presunta vulneración del principio de licitud del tratamiento, artículos 5.1.
- a)y 6.1 del RGPD, concretada en haber tratado los datos personales del reclamante en calidad de titular de un contrato que ***EMPRESA.1, había suscrito con VODAFONE y en el que el reclamante únicamente tenía la condición de Administrador de dicha sociedad. De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite de esta reclamación, se dio traslado de ella a VODAFONE para que procediese a su análisis y diera respuesta al reclamante y a esta Agencia en el plazo de un mes. Asimismo, se solicitó a la reclamada copia de la comunicación remitida al reclamante a propósito de la reclamación, un informe sobre las causas que motivaron la incidencia producida y detalle de las medidas adoptadas para evitar situaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 similares. VODAFONE ha explicado las causas que originaron la modificación de los datos del titular del contrato en virtud de las cuales pasó a figurar como titular una persona física -el reclamante- que únicamente había facilitado sus datos en calidad de Administrador de la sociedad contratante. Ha manifestado que se trató de un problema puntual surgido en el curso del proceso de migración de los datos de los clientes en el que se encuentra inmersa la compañía. En virtud de este proceso se migran los datos de los clientes que se encuentran en los antiguos sistemas de VODAFONE a los sistemas que manejaba VODAFONE ONO. La reclamada ha aportado documentación que acredita que, una vez recibida la comunicación de la Agencia dándole traslado de la reclamación, ha rectificado los datos asociados al titular del contrato, de forma que ya no consta a nombre del reclamante ningún servicio. Además, la reclamada ha remitido al reclamante una carta en la que le explica lo sucedido y le pide disculpas por las molestias originas. Se añade a lo expuesto que los datos personales del reclamante constaban en los ficheros de VODAFONE si bien para ser tratados en calidad de Administrador de la sociedad que contrató con ella y no como titular del contrato y que la conducta de VODAFONE sobre la que versa esta reclamación en ningún caso ha provocado que terceras personas accedieran a los datos personales del reclamante. Por estos motivos la Directora de la Agencia Española de Protección de Datos acuerda el archivo de estas actuaciones. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteración en la conducta puesta de manifiesto en la presente reclamación o no se apliquen de manera efectiva medidas técnicas y organizativas apropiadas para garantizar un nivel adecuado de seguridad que no comprometa la confidencialidad integridad y disponibilidad de los datos de carácter personal, al no considerarse necesario por la entidad adoptar medidas adicionales al no haber causado incidencia alguna, y evitar situaciones futuras similares. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución a VODAFONE ONO, S.A.U., con CIF A62186556 y a D. A.A.A.. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es