E-05416-2013

1/6 Expediente Nº: E/05416/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE España SAU en virtud de denuncia presentada por Doña C.C.C. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 5 de agosto de 2013, tuvo entrada en esta Agencia escrito de Dña. C.C.C. (en lo sucesivo el/la denunciante) frente a la Entidad Vodafone España SAU en lo sucesivo (el/la denunciado/

1. a)en el que denuncia lo siguiente: Que tras un incidente de usurpación de identidad que está siendo investigado por los Mossos de Esquadra, han realizado, utilizando sus datos personales, adquisiciones de terminales móviles y contratación de servicios con VODAFONE ESPAÑA S.A., a pesar de que en la primera incidencia solicitó el bloqueo de su cuenta con sus datos personales. Realizó una reclamación a través de la OMIC por estos hechos. DOCUMENTACION APORTADA: Copia de la reclamación interpuesta ante la OMIC, con fechas 6 de mayo y 15 de mayo de 2013, en la que pone de manifiesto que alguien ha realizado, con sus datos, tres adquisiciones de terminales móviles con VODAFONE. Contestación de VODAFONE ESPAÑA S.A.U. a su reclamación, de fecha 3 de junio de 2013, donde informan de que sus líneas están correctamente activas, con las condiciones iniciales ya que los pedidos han sido devueltos. Copia de la denuncia presentada ante la Policía con fecha 19 de junio de 2013, en la que pone de manifiesto que es cliente de VODAFONES con quien tiene contratadas las líneas D.D.D. (fija) y F.F.F. (móvil), y que desde el mes de marzo de 2014 alguien ha comprado terminales móviles y contratado servicios con VODAFONE en la tienda online, utilizando sus datos, la denunciante enumera cuatro terminales móviles que han sido entregados en diferentes domicilios de Granada, Lleida, Caravaca de la Cruz (Murcia) y Almeria. Así mismo, pone de manifiesto que con cada terminal han contratado una permanencia y un plan de precios distinto. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 10 de octubre de 2013 se solicita información a VODAFONE ESPAÑA S.A.U, en relación con los hechos denunciados y de la contestación recibida con fecha 25 de octubre de 2013, se desprende que: 1. Según la información que consta en sus ficheros, la denunciante es titular de los siguientes servicios asociados a la cuenta de cliente ***CUENTA.1: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 a. Línea F.F.F. (Móvil) con fecha de alta 3 de enero de 2006, este servicio continúa activo en la actualidad. b. Servicio Vodafone ADSL, cuyo número fijo es D.D.D. y número móvil asociado al fijo E.E.E., con fecha de alta 16 de marzo de 2012, este servicio está también activo en la actualidad. 2. Respecto al Servicio de ADSL, la fecha de alta indicada es la fecha de alta por cambio de titularidad a nombre de la denunciante. 3. Todas las facturas generadas por estos servicios han sido abonadas y no consta ninguna deuda pendiente de pago. 4. Todas las reclamaciones realizadas por la denunciante fueron con relación a las adquisiciones de terminales y cambios de tarifas sobre la línea de ADSL, que se realizaban por terceras personas haciendo uso de los puntos VODAFONE de la denunciante. 5. Por parte de la compañía, para dar solución a las reclamaciones, se bloqueó el uso de los puntos de VODAFONE de la denunciante. 6. Aportan copia del contrato de fidelización (puntos) suscrito por la denunciante con fecha 4 de enero de 2008. 7. Respecto a los contactos con la denunciante, figuran en sus sistemas, entre otros, los siguientes: a. 15 de mayo de 2013, Cliente no reconoce la línea E.E.E., se han realizado varios pedidos de teléfonos con esta línea, en el sistema pone que no se pueden realizar pedidos y aun así se le tramitó uno en el día de hoy. b. En ese mismo día, se habla con la denunciante, la cual sí reconoce la línea que es su ADSL, lo que no reconoce son los pedidos asociados a este servicio. Quiere anular los pedidos. c. 25 de mayo de 2013, se recibe reclamación del cliente, en las conclusiones consta que los tres pedidos sobre los que se reclaman han sido devueltos, no se ha realizado ningún cobro por los equipos. d. 18 de junio de 2013, el cliente tiene abiertos dos casos por fraude, ya que desde la página web se hacían pedidos a su nombre de teléfonos de alta gama y se asociaban a sus líneas de adsl, los pedidos están devueltos. e. 20 de junio de 2013, se habla con la cliente, y le informan de la solución de la incidencia, queda conforme. f. 26 de junio de 2013, se cierra el caso, los pedidos están en devolución, se elimina permanencia y se cambia el plan para recalcular factura. g. 3 de julio de 2013, cliente reclama por pedidos fraudulentos. Compruebo pedidos en puntos. Constan tres pedidos devueltos y dos finalizados. Solo uno con la dirección de facturación como dirección de entrega. En los otros pedidos aparecen direcciones distintas, en diferentes comunidades autónomas, solo uno de los pedidos tiene como origen Callcenter, los otros son a través de internet, tiene los puntos bloqueados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 h. 30 de julio de 2013, Cliente afectado por pedido puntos fraude, se elimina permanencia y aplica plan de precios correcto. Fraude. i. 17 de septiembre de 2013, el cliente ha recibido un aviso de renovación de móvil mediante puntos y no lo ha hecho, se remite al cliente al Departamento de Puntos para anular pedido. Consta Pedido devuelto. Se verifica que el cliente tiene los puntos bloqueados. j. 1 de octubre de 2013, Pedidos en devolución. Eliminadas permanencias y cambio al plan correcto. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso se procede a examinar la denuncia de entrada en esta AEPD—05/08/13—en dónde la epigrafiada pone en conocimiento de esta Agencia los siguientes hechos en orden a su adecuación a la LOPD. “…reiterada suplantación de identidad que a día de hoy está en fase de investigación ante las autoridades pertinentes, comunique las incidencias de compras, contrataciones y altas fraudulentas de móviles de alta gama a la compañía Vodafone España S.A.U…”—folio nº 1--. De conformidad con lo expuesto se procede a examinar si la Entidad denunciada —Vodafone—ha infringido el contenido del art. 6.1 LOPD por presuntamente dar de alta servicio/s no contratados por la titular de los datos de carácter personal. La Entidad denunciada en fecha 25/10/13 alega en Derecho lo siguiente en relación a los “hechos” denunciados: “La Sra. C.C.C. tiene asociada una única cuenta cliente con número ***CUENTA.1, que incluye dos servicios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6  Servicio con nº F.F.F. con fecha de alta 6 de enero del año 2006 y que continua en activo a fecha de hoy, habiendo sido contratado por el canal distribución.  Servicio Vodafone ADSL cuyo número fijo es el D.D.D. y el nº de móvil asociado el E.E.E. con fecha de alta el 16 de marzo del año 2012 y que también continua en activo a fecha de hoy”. En fase de instrucción—ex art. 78 Ley 30/92—se procede a constatar que la contratación asociada a la denunciante es correcta al disponer la Entidad denuncia— Vodafone--de los correspondientes contratos y haberse efectuado cargos al número de c/c de la afectada sin queja alguna al respecto. La cuestión por tanto se centra en lo siguiente “ A.A.A.” utilizando los datos de carácter personal de la afectada. La Audiencia Nacional—SAN 06/07/12—ha manifestado que: “Si bien la presunta suplantación de identidad no ha podido ser esclarecida, de lo que no cabe dudad a juicio de la Sala, es de que Canal Satélite Digital obró con una diligencia normalmente exigible en una operación de servicios como los contratados. Y además el correspondiente contrato tuvo que ser firmado por alguien que, si no era tal denunciante, al menos si conocía su nombre y apellidos, su domicilio, su teléfono móvil y su número de DNI. Abonándose además, puntualmente y durante ocho meses, tales consumos televisivos.” En el caso que nos ocupa, la Entidad denunciada—Vodafone—no ha procedido a dar de alta nuevos contratos vinculados a la afectada y ha procedido al bloqueo del uso de sus puntos Vodafone, al localizar el problema “en la línea ADSL y el uso de terceros sobre los puntos Vodafone de la afectada”. Desde el punto de vista del marco de la LOPD no cabe apreciar infracción administrativa alguna por parte de la Entidad denunciada—Vodafone—al no tratar los datos de la afectada sin su consentimiento, motivo por el que procede ordenar el ARCHIVO del presente procedimiento. No obstante lo anterior, la Entidad denunciada—Vodafone—deberá proceder a resolver la incidencia manifestada por la afectada, mediante un sistema que permita la seguridad de los datos de carácter personal de ésta, pudiendo en caso contrario incurrir en la vulneración del art. 9 LOPD. En este caso, la afectada puede dirigir a la Entidad responsable del fichero— Vodafone—escrito en dónde concrete la petición, mediante un medio que garantice el envío y la recepción (a modo de ejemplo Correo certificado con acuse de recibo del Servicio Oficial de Correos) acompañando toda la documentación que estime necesaria; pudiendo en caso de que la contestación no la considere satisfactoria proceder a denunciar a la misma ante esta AEPD por “no adoptar las medidas de índole técnico que garanticen la seguridad de los datos de carácter personal de la afectada”. La utilización de los datos de la afectada por un tercero de mala fe es una cuestión que se entronca en un presunto ilícito penal—delito de estafa (art. 248 LO 10/95) que debe ser objeto de enjuiciamiento por el Juez de Instrucción del lugar dónde se haya cometido el hecho delictivo; careciendo esta AEPD de competencia material para entrar a conocer del fondo del asunto. Por lo tanto, de acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la Entidad VODAFONE España SAU y a Doña C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es