1/3 Procedimiento Nº: E/4291/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ORANGE ESPAGNE SAU (JAZZTEL), en virtud de denuncia presentada por D. A.A.A., y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 29/06/17, tiene entrada en esta Agencia, escrito de D. A.A.A., donde denuncia que: “Ha recibido un SMS procedente de JAZZTEL comunicándole la adquisición de un terminal móvil nuevo con envío a un domicilio que no es el suyo. El denunciante no reconoce haber realizado dicha compra, aunque sí que es cliente de JAZZTEL (tiene contratadas con ellos una línea fija y dos móviles). Ha interpuesto denuncia ante la Policía Nacional”. El denunciante aporta copia de la siguiente documentación: a).- Impresión de pantalla de su terminal móvil, donde se visualiza el referido SMS recibido con fecha 28/06/17 con el siguiente mensaje: “Has contratado un dispositivo Apple 7 Plus 32 GB por 35,5 EUR/mes, 24 meses de compromiso de permanencia. Recibirás un SMS indicando la fecha de entrega”. b).- Denuncia ante la Policía Nacional el 30/06/
- En ella proporciona la siguiente información: En una oficina de la compañía denunciada le han dicho que, “si no es él quien ha contratado la adquisición del terminal, debe haber sido una persona que ha accedido al “área privada de clientes” de JAZZTEL, pero con sus datos. c).- Hoja con la información del pedido a nombre del denunciante. El número de teléfono de contacto es D.D.D.. Los servicios contratados son una promoción Pack Ahorro con 200 minutos solicitada con fecha 28/06/
- SEGUNDO: A la vista de los hechos denunciados, en fase actuaciones previas, la empresa JAZZTEL, remite, entre otras, la siguiente información: a).- Los datos de cliente que obran en sus sistemas concuerdan con los aportados por el denunciante (el cual menciona en su denuncia que ya era cliente de JAZZTEL). b).- Los servicios de telefonía que tiene contratados son los siguientes: 1.Línea D.D.D.. Alta: 20/06/
- Baja: 02/10/17; 2.- Línea E.E.E.. Alta: 08/01/
- Baja: 05/10/17 y 3.- Línea F.F.F.. Alta: 01/02/
- Baja: 05/10/
- c).- Declara que el pedido objeto de la denuncia, con código ***COD.1, fue cancelado en cuanto recibieron la comunicación del denunciante (el 28/06/17) informando de que él no había realizado dicha contratación. Para acreditarlo aportan impresión de pantalla con el albarán, de fecha 28/06/17, en estado “cancelado”. Se observa en el seguimiento de la incidencia: 1º.- Apertura de incidencia ***COD.1 el 28/06/17 hora 13:19; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/3 2º.- Devolución de material al almacén, el 28/06/17 hora 13:
- d).- La contratación del pedido tuvo lugar a través de Internet. Aportan el procedimiento explicativo de la contratación a través de la web ***WEB.1 f).- JAZZTEL indica que: “Al constar el A.A.A. como cliente de JAZZTEL, tal y como se indicó en las alegaciones previas, se le envía el SMS al número de servicio que tiene asociado, en este caso, al número E.E.E.”, indicando la contratación del servicio efectuada. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” II Los hechos expuestos podrían suponer la comisión, por parte de la entidad JAZZTEL, de una infracción del artículo 9 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD). III En el presente caso, el denunciante reconoce que es cliente de JAZZTEL, con claves de acceso al “área de clientes” de la compañía a través de su página web. Jazztel explica en sus alegaciones el protocolo implementado para validar la identidad del cliente que accede a su página web, entre los que se encuentra que para acceder al “área privada de clientes” y poder contratar y/o comprar cualquier producto de la compañía es necesario introducir los datos, e-mail y contraseña, por lo que el presunto suplantador accedió este área privada, conociendo de antemano éstos datos. El que se accediera al área privada del denunciante con las claves de éste, queda constatado por el hecho de que el mensaje enviado por SMS para la confirmación de la compra fue realizado al teléfono que el cliente tiene en su área privada y no a otro número teléfono, lo cual permitió descubrir a tiempo la presunta contratación fraudulenta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/3 Además, JAZZTEL procedió de forma diligente a cancelar de inmediato el pedido en cuanto tuvo conocimiento del posible fraude; esto es, tras recibir la llamada de reclamación del denunciante, el día 28/06/
- De todo lo anterior, se desprende que los hechos relatados no ponen en duda las medidas necesarias para garantizar la seguridad de los datos personales que trata la empresa a los que hace referencia el artículo 9 de la LOPD, pues en este caso, no ha quedado acreditado que la usurpación de las claves de acceso al área privada de clientes de Jazztel fuera debido a un fallo en la seguridad del sistema de la compañía o a un mal uso de los mismos por parte del denunciante. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER: AL ARCHIVO de las presentes actuaciones. NOTIFICAR: la presente resolución a ORANGE ESPAGNE SAU (JAZZTEL), y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es