1/6 Expediente Nº: E/04391/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad COBRALIA, SERVICIOS INTEGRALES DE RECUPERACIÓN SL. (COBRALIA), en virtud de denuncia presentada por D. A.A.A., y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 16/06/17, tiene entrada en esta Agencia, escrito de donde se denuncia que: A.A.A., • La compañía tiene un sistema de telefonía IP que tiene como funciones grabar las llamadas entrantes, salientes e internas. • Se graban todas las conversaciones y el personal no tiene opción de deshabilitar la grabación. • Los empleados no informan a los interlocutores que las conversaciones se están grabando. (solo en casos muy concretos). • Durante las conversaciones, los empleados solicitan a los interlocutores la confirmación de sus datos y que proporcionen otros nuevos NO informando de que esos datos van a ser incorporados al programa, incluso datos de la tarjeta de crédito con la que pagan sus deudas. • Los datos se almacenan en discos duros externos y nunca han sido borrados • Pueden acceder a las conversaciones todos los miembros del departamento de sistemas, así como la Dirección y otras personas que ellos designen, a través de una dirección IP con usuario y contraseña y desde cualquier dispositivo. • Actualmente, el servicio es prestado por la empresa VOZITEL que graba los datos en servidores suyos ajenos a la empresa COBRALIA, teniendo acceso a los datos en la empresa VOZITEL. El denunciante no aporta ningún tipo de documentación o prueba que pueda sustentar lo denunciado anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 SEGUNDO: A la vista de los hechos denunciados, en fase actuaciones previas, la entidad COBRALIA, remite la siguiente información: a).- A.A.A. fue (....). b).- El servicio de grabación de llamadas telefónicas actualmente es prestado por la entidad VOZITEL, S.L.U., cuya implantación comenzó en el mes de septiembre de 2016 y estamos utilizando de forma exclusiva VOZITEL, como centralita desde el 25/07/
- La aplicación de VOZITEL permite la posibilidad de habilitar y deshabilitar la opción de grabación de las llamadas, cuya opción es gestionada por parte del gestor de COBRALIA que realiza o atiende la llamada telefónica. Se adjunta, la Guía de VOZITEL donde aparece la opción de habilitar y deshabilitar las grabaciones de las llamadas. Asimismo, se adjunta el Manual de Formación para los empleados de COBRALIA donde aparece esta posibilidad, igualmente se adjunta contrato de prestación de servicios suscrito con la entidad VOZITEL. La entidad INFOVOIP, S.L. no presta servicios actualmente a COBRALIA, cuya resolución del contrato fue acordada resolverse en reunión mantenida el 15/03/
- El protocolo interno de COBRALIA establece en relación con las llamadas: Se informa en todas las llamadas entrantes y salientes de COBRALIA sobre la grabación de la llamada, por motivos de calidad y servicio. COBRALIA ha incorporado en sus fichas de auditorías de calidad de las llamadas el control de cumplimiento de este requisito. Se adjunta el modelo de ficha de auditoría de calidad. Si un deudor no consiente la grabación de la llamada, el protocolo interno establece que deberá continuarse la gestión a través de otros medios de comunicación (vía correo electrónico, correo postal o SMS), o bien deshabilitar la funcionalidad de grabación de la llamada (utilizado únicamente para casos excepcionales). En ningún caso se realiza la grabación de llamada cuando un deudor se opone a ello tras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 informarle de este supuesto. Cuando son recabados nuevos datos de los deudores a través de la gestión que realiza COBRALIA, son informados sobre los términos que exige el artículo 5 del LOPD, existiendo diferenciación entre la cláusula empleada cuando COBRALIA actúa en calidad de responsable del fichero (cuando gestiona deuda propia) respecto de cuando actúa en calidad de encargado de tratamiento de terceras entidades (cuando gestiona deuda donde el acreedor es una tercera entidad). c).- El procedimiento de validación de datos que realiza el gestor implica que el deudor tiene que identificarse con su nombre, apellidos y DNI, d).- El protocolo marcado en COBRALIA exige el bloqueo de los datos de los deudores cuya gestión haya sido tratada, una vez que el expediente de gestión de deuda haya sido cerrado o cancelado, o bien porque un deudor ejercite su derecho de cancelación de datos personales y éste sea otorgado. Se adjunta certificado de la entidad VOZITEL que certifica el bloqueo de los datos que realiza su aplicación de gestión que utiliza COBRALIA. e).- La eliminación de los datos, una vez finalizado el plazo de conservación de los datos de forma bloquead, incluso se incluye en los contratos que COBRALIA firma con sus clientes, y donde adquiere la figura de encargado de tratamiento (cláusula séptima). f).- Respecto del tratamiento posterior de datos de los afectados que en su caso se lleven a cabo en el sistema de información de COBRALIA, en especial a los efectos de realización de posibles scoring, se indica que COBRALIA realiza estudios y análisis internos de la gestión realizada por su parte, tanto para cartera propia de deuda como para cartera de terceros en calidad de encargado de tratamiento, todo ello con las siguientes finalidades: Toda la información y datos que se manejan no identifican a personas físicas de forma individual, sino que las operaciones de estudio posteriores se realizan con datos disociados. Todos los campos relativos a la identificación de los deudores son eliminados previamente y no son objeto de tratamiento posterior. g).- Como conclusión indica: • Que COBRALIA cuenta con procedimientos adaptados a la normativa vigente en materia de protección de datos. • Que se adjunta a este escrito las evidencias que fundamentan los argumentos descritos en el presente escrito y que dan respuesta a la solicitud de la AEPD • Que la denuncia interpuesta por D. A.A.A. ante la AEPD tiene una clara intención de causar un perjuicio a COBRALIA, sin una base argumental definida o una evidencia de hechos concretos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 • Que de los hechos denunciados por D. A.A.A. no se ha detectado una vulneración de sus derechos o libertades, o de terceras personas • Que COBRALIA cumple la normativa de protección de datos en sus labores de gestión de los servicios provistos. h).- Relación de documentación aportada: ANEXO I: Guía de VOZITEL. ANEXO II: Manual de Formación de VOZITEL. ANEXO III: Contrato de prestación de servicios suscrito con la entidad VOZITEL. ANEXO IV: Contrato de prestación de servicios suscrito con la entidad INFOVOIP, S.L. ANEXO V: Resolución de contrato con la entidad INFOVOIP, S.L. ANEXO VI: Modelo de ficha de auditoría de calidad de las llamadas. ANEXO VII: Formación búsquedas de datos ANEXO VIII: Certificado de VOZITEL sobre el bloqueo de los datos. ANEXO IX: Análisis de datos realizando el procedimiento de bloqueo descrito en el apartado anterior. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1,b), del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” II En el presente caso, los hechos denunciados podrían suponer la comisión, por parte de la entidad COBRALIA, de una infracción de la Ley Orgánica 15/1999, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Protección de Datos de Carácter Personal, LOPD. III No obstante, en este caso, A.A.A. denuncia una serie de irregularidades en el tratamiento de los datos de carácter persona en la empresa COBRALIA, pero sin aportar ningún tipo de prueba o documento de avale los términos de la denuncia. Por otra parte, la empresa aporta en su escrito respuesta a las preguntas planteadas por esta Agencia y resumidas anteriormente. Además aporta documentación (anexos I a IX), que corroboran dicha información No hay indicios suficientes que indiquen que la empresa haga un uso fraudulento de los datos obtenidos de sus clientes. Por lo tanto, en aplicación del principio de presunción de inocencia que impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción, procede el archivo de las actuaciones. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER: AL ARCHIVO de las presentes actuaciones. NOTIFICAR: la presente resolución a COBRALIA, y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es