1/8 Expediente Nº: E/03797/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ONO, S.A.U. en virtud de denuncia presentada ante la misma por Don C.C.C. y en base a los siguientes, HECHOS PRIMERO: Con fecha de 8 de junio de 2016 tiene entrada en esta Agencia escrito de Don C.C.C., (en lo sucesivo el denunciante), manifestando que: <<Aun sin ser cliente de la compañía Vodafone-Ono desde hace más de año y medio, continúan mandándome mails y spam de facturas mensuales, al igual de publicidad constante. Les solicité de manera formal, escrita, telefónica y a través de la lista Robinson, que borrasen todos mis datos de sus Bases de Datos, pero claramente no lo han realizado.>> El denunciante aporta copia de la siguiente documentación: - Correo electrónico remitido en fecha 23 de junio de 2014 remitido desde la cuenta Community Mailer (....@vodafone.
- es)con destino a la cuenta C.C.C. con el asunto Tienes un mensaje privado en el Foro Vodafone en el que se le indica que ha recibido un mensaje privado en el foro citado, e igualmente se le indica que si no desea seguir recibiendo mensajes de click en un enlace del mensaje. A pie del mensaje se indica que el responsable del fichero es VODAFONE ESPAÑA S.A.U., en adelante VODAFONE ESPAÑA. - Correo electrónico de fecha 17 de septiembre de 2014, remitido desde la cuenta C.C.C. con destino a la cuenta ....bajas@vodafone.es mediante el cual solicita la baja de los servicios de VODAFONE. - Correo electrónico de fecha 17 de septiembre de 2014 remitido desde la cuenta ....bajas@vodafone.es con destino a la cuenta C.C.C. en que se responde al correo electrónico anterior, acusando recibo de la solicitud de baja e informando que, se va a proceder a verificar la validez de la documentación recibida y, en caso de estar todo correcto, se procederá a dar la baja en un plazo de 48 horas. - Correo electrónico del 24 de junio de 2015 emitido desde la cuenta C.C.C. con destino a la cuenta soporte@vodafone.es mediante el cual el denunciante informa a VODAFONE que desea ejercer el derecho de cancelación de sus datos personales así como de recibir comunicaciones por parte de VODAFONE. No se adjunta ningún documento acreditativo de la identidad del solicitante. - Correo electrónico del 29 de octubre de 2015 (16:01) remitido desde la cuenta soporte@vodafone.es sin asunto, mediante el cual se informa al denunciante que para ponerse en contacto con VODAFONE por correo electrónico tiene que estar registrado en Mi Vodafone por motivos de seguridad y privacidad. - Correo electrónico de fecha 29 de octubre de 2016 (16:02) remitido desde la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 cuenta C.C.C. con destino a la cuenta soporte@vodafone.es mediante el cual el denunciante informa a VODAFONE que solicita eliminen su cuenta de correo electrónico de sus servidores, es la tercera vez que lo solicita. - Correo electrónico de fecha 2 de noviembre de 2015 remitido desde la cuenta A.A.A. a la cuenta C.C.C. con el asunto Disponibilidad de su factura Vodafone ONO. En el correo se le informa de la disponibilidad de dicha factura, facilitando un enlace para acceder a ella. - Correo electrónico de fecha 15 de febrero de 2016 remitido desde la cuenta C.C.C. con destino a una cuenta del dominio vodafone.es con el asunto PeticiónBaja. - Correo electrónico de fecha 11 de mayo de 2016, remitido desde la cuenta Vodafone Ono .......@corp.vodafone.es con destino a la cuenta C.C.C. con el asunto “Mima a tu familia” en el que se anima al receptor con un mensaje publicitario “Trae todas tus líneas a Vodafone Ono”. Se informa al receptor de la forma para dejar de recibir correos publicitarios: <<Tu dirección de correo electrónico está incluida en un fichero de VODAFONE ONO, S.A.U. y es tratada para contactarte y para reenviarte información comercial de VODAFONE ONO.Si no deseas recibir más información por email, entra en www.ono.es/clientes/datos y accede al apartado “Datos de contacto> Opciones de prívacidad”. Desde esta sección de tu Área de Cliente podrás seleccionar la opción de no recibir más emails de VODAFONE ONO, …>> - Correo electrónico de fecha 2 de junio de 2016 remitido desde la cuenta A.A.A. a la cuenta del denunciante C.C.C. con el asunto “Disponibilidad de su factura Vodafone ONO”. En el correo se le informa de la disponibilidad de dicha factura, facilitando un enlace para acceder a ella. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia realizan con fecha 10 de octubre de 2016 visita de inspección en las instalaciones de la entidad VODAFONE ONO, S.A.U., en adelante VODAFONE ONO, a raíz de la cual se tiene conocimiento de los siguientes hechos: 1. Solicitado acceso a los sistemas de información efectuaron las siguientes comprobaciones: de VODAFONE ONO se a. Realizada una búsqueda en el fichero de clientes respecto del DNI número F.F.F. no se localiza ningún cliente asociado a dicho dato. Realizada una búsqueda por nombre C.C.C. no se encuentra ningún cliente que se corresponda con dicho nombre. Solicitado que la información respecto a dicha persona fuese desbloqueada en caso de estar cancelados sus datos, los representantes de la entidad informan que no existen datos de dicha persona, ni siquiera bloqueados. b. Realizada una consulta en el fichero de clientes respecto de los que tengan la dirección de correo electrónico C.C.C. se verifica que dicha cuenta está asociada a los datos de Dª B.B.B., en adelante la CLIENTE, quien contrató los servicios de ONO en dos ocasiones, en 2003 y en 2013 en que se realiza una portabilidad de MOVISTAR. c. Realizada una consulta referida a los derechos ARCO ejercidos por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 CLIENTE, se comprueba que no se ha opuesto a la recepción de correos electrónicos. Asimismo se localiza una anotación de fecha 17/07/2009 en la que figura que no dispone de correo. d. Solicitada acreditación de que el correo electrónico informativo de disposición de la factura no permite acceder a datos personales, se realiza un acceso por uno de los representantes de la entidad al mencionado correo informativo, constatándose que tras dar click sobre el link de acceso a la factura se abre una ventana de un navegador web mostrando un acceso al área de clientes de ONO que requiere la identificación de usuario y contraseña para acceder a la misma. Los representantes de la entidad informan que es imprescindible acreditarse mediante el uso del identificador de usuario y contraseña para tener acceso a los datos de facturación. 2. Los representantes de la entidad manifiestan que la CLIENTE no había ejercitado su derecho de oposición a la recepción de correos electrónicos comerciales. 3. Dichos representantes solicitan que conste en acta que durante la inspección se procede a la cancelación del dato C.C.C. asociado a la CLIENTE tras verificar que dicho dato es erróneo. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. III En este caso el tratamiento efectuado por VODAFONE ONO, SAU afecta a la dirección de correo electrónico del denunciante, motivo por el que, en primer lugar, debe determinarse si se trata de un dato de carácter personal de conformidad con lo previsto en la normativa de protección de datos. El artículo 3.
- a)de la LOPD, define como “Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 5.1
- f)del RLOPD entiende como tales “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 identificadas o identificables. “. A su vez, el apartado 5.1.
- o)de dicho Reglamento señala como “ Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados. “. Con arreglo a dichas definiciones, no cabe duda que la dirección de correo electrónico C.C.C. es un dato de carácter personal concerniente al denunciante que, además, lo identifica al contener su nombre y apellidos. IV El artículo 4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD) bajo la rúbrica “calidad de datos” recoge el principio de calidad de datos y dispone, en sus apartados 3 y 4, lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. “4. Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16” Añade el artículo 8 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007 (RLOPD), en su apartado 5: “5. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste. Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento específico para ello. Cuando los datos hubieren sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o cancelación efectuada, siempre que el cesionario sea conocido. En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviere el tratamiento de los datos deberá proceder a la rectificación y cancelación notificada. Esta actualización de los datos de carácter personal no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre. Lo dispuesto en este apartado se entiende sin perjuicio de las facultades que a los afectados reconoce el título III de este Reglamento.” Así las cosas el responsable del fichero o tratamiento tiene la obligación de que los datos personales registrados en sus ficheros sean exactos y puestos al día, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 debiendo actualizar o cancelar de oficio los datos inexactos en el plazo de diez días a contar desde que tuviese conocimiento de la inexactitud. Si no se realizan las rectificaciones que procedan, con motivo de la inexactitud de los datos, se estaría infringiendo el principio de calidad de datos que prohíbe mantener en los ficheros datos inexactos y no actuales. V A la vista de la valoración conjunta de los elementos fácticos resultantes del análisis de la documentación aportada por el denunciante y de la información obtenida a raíz de la inspección practicada en las instalaciones de VODAFONE ONO, SAU cabe afirmar que en el presente supuesto ha quedado acreditado que el correo electrónico del denunciante figuraba registrado, de forma inexacta, en el fichero de clientes de VODAFONE ONO asociado a los datos de carácter personal de un tercero (la CLIENTE). Esta circunstancia originó que el denunciante recibiese en su cuenta de correo electrónico dos comunicaciones de fechas 3 de noviembre de 2015 y 2 de junio de 2016 informándole de la disponibilidad de consultar las facturas de VODAFONE ONO señaladas en los envíos, si bien no consta que el denunciante accediese a los datos de facturación del tercero al resultar necesario para ello identificarse facilitando usuario y contraseña. Asimismo, el denunciante recibió, también, un tercer correo electrónico de fecha 11 de mayo de 2016 con publicidad de la citada entidad. Sin embargo, no consta que el denunciante se dirigiese a VODAFONE ONO para informar a la entidad de los hechos expuestos. Un supuesto similar al denunciado, fue revisado por la Audiencia Nacional que estimó el Recurso interpuesto, en Sentencia de fecha 23 de diciembre de 2013 (Recurso C-A 341/2012), indicando lo siguiente: “Los hechos por los que fue impuesta la multa aquí recurrida se contraen a que, en fecha 5 de enero de 2011, una persona (que luego formuló denuncia ante la Agencia de Protección de Datos), había recibido en su cuenta de correo electrónico una póliza de seguro, acompañada de las condiciones ......., a nombre de un tercero y expedida por MAPFRE. Y así, por ello, la Agencia de Protección de Datos consideró infringido el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por contravención del deber del secreto y de adecuada custodia de los datos de carácter personal, dado que los datos de aquel tercero llegaron a conocimiento del denunciante. En impugnación de la resolución antedicha, la parte recurrente indica que el envío de una póliza de seguros referente a tercero, en el correo electrónico del denunciante, se debió un error involuntario en el proceso de mecanización del dato de la dirección de aquél en el momento de dar cumplimiento a su solicitud de remisión de un duplicado de su póliza de seguro. En concreto indica que se produjo una mera equivocación puntual y aislada por parte de la tramitadora que gestionó aquella solicitud de duplicado de póliza. Y dice que dicho error no produjo perjuicio alguno ni al denunciante ni al tomador de la póliza ni tampoco beneficio a MAPFRE.” (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Añadiendo, a su vez, en su Fundamento de Derecho Cuarto lo siguiente: “En un caso similar al suscitado en el presente recurso, en el que hemos de poner en relación la concurrencia de un error humano, concreto y aislado, y el principio de culpabilidad (aun a título de “simple inobservancia”) se ha pronunciado esta Sala en su Sentencia de 14 de diciembre de 2006 (autos de recurso 136/2005). En dicha Sentencia decíamos que: «La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre, que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SSTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998, “…puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril, al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho”. En esta misma línea, el Tribunal Supremo considera que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y el grado de diligencia exigible habrá de determinarse en cada caso en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. Pues bien, la aplicación de la citada Doctrina al específico y singular caso enjuiciado en este procedimiento ha llevado a esta Sala a concluir que en la referida conducta de la actora reseñada en los hechos probados de la resolución originaria impugnada no concurre el citado elemento de culpabilidad a la hora de determinar si la misma ha incurrido en una falta del deber de secreto del artículo 10 de la Ley Orgánica 15/1999 que se le imputa, pues así se ha de entender cuando dicha recurrente incurre en el mero error de enviar al domicilio de un cliente el contrato suscrito con otro cliente, sin que se aprecie culpa, incluso en ese grado mínimo previsto en la referida Ley 30/1992, en lo que se refiere al dato esencial de revelar a un tercero los datos personales que la misma trata en sus ficheros de ese cliente titular de dicho contrato que ni siquiera fue quien la denunció, sino aquel otro, y, como arriba se ha expuesto, por otras razones. En consecuencia, no se aprecia falta de diligencia en la recurrente en lo que respecta a la conducta imputada de incumplimiento del deber de secreto, dado que sólo incurrió en ese error de enviar el contrato de un cliente a un domicilio que no era el suyo». La cuestión, pues, ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 objetiva vedado por nuestro orden constitucional.(…) Esta conclusión resulta, a juicio de la Sala, contraria al principio de presunción de inocencia…y del principio de culpabilidad, lo que nos lleva a la estimación del presente recurso y a la anulación del acto impugnado.” Así las cosas, en este caso, no se aprecia culpabilidad den la conducta de VODAFONE ONO que ha consistido únicamente en la remisión de tres correos electrónicos al denunciante sin que conste que dicho envío haya causado perjuicios al denunciante, al igual que no consta que el denunciante haya tenido acceso a los datos de la CLIENTE. Por otra parte, dicha entidad subsano la situación irregular detectada en su fichero de clientes tan pronto como tuvo conocimiento de la misma, de tal modo que VODAFONE ONO procedió a cancelar el dato del correo electrónico del denunciante asociado, erróneamente, al de un tercero durante la realización de la inspección de la AEPD de fecha 10 de octubre de 2016 citada en el Hecho Segundo de esta resolución. A las circunstancias descritas, hay que sumar que las cabeceras de los correos electrónicos de fechas 24 de junio y 29 de octubre de 2015 y 15 de febrero de 2016 reflejan que el denunciante envió sus solicitudes de cancelación de datos y oposición a la recepción de comunicaciones a cuentas del dominio vodafone.es de VODAFONE ESPAÑA , en lugar de solicitarlo ante VODADONE ONO que era la entidad remitente de los correos electrónicos de fechas 3 de noviembre de 2015, 11 de mayo y 2 de junio de 2016 objeto de denuncia, por lo que ésta no tuvo conocimiento de los hechos con anterioridad a la fecha en que se practicó la mencionada inspección en las instalaciones de VODAFONE ONO. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a VODAFONE ONO, S.A.U. y a C.C.C.. Don De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es