E-06029-2017

1/5 Expediente Nº: E/06029/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ESPAÑA, S.A.U. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24/08/2017, tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante), en el que denuncia a VODAFONE ESPAÑA, S.A.U. (en lo sucesivo VODAFONE), por los siguientes hechos: cesión de sus datos personales a un tercero sin consentimiento para la contratación de un seguro. Que según el denunciante tuvieron lugar a fecha de: 14/3/2017 Y, entre otra, anexa la siguiente documentación:  Póliza de seguro y orden de domiciliación SEPA enviado por AIG, reflejándose en tomador del seguro y asegurado los datos de la denunciante SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. VODAFONE, aporta contrato suscrito con WILLYS AFFINITY, Agencia de Seguros Vinculada, S.L.U, (en adelante WILLYS). En dicho contrato en el punto 7.1.3 se especifica: “Vodafone colaborará en las actividades de captación de clientela objeto del presente contrato mediante técnicas de telemarketing y, en concreto, a través de los call centers que han sido oportunamente contratados al efecto por WILLIS y Vodafone […] 2. Ante la solicitud de la copia del contrato suscrito con la denunciante, con las condiciones generales y específicas que dan cobertura al consentimiento del cliente para recibir comunicaciones comerciales de AIG, Vodafone manifiesta: “En las grabaciones aportadas se encuentra grabado el consentimiento de la denunciante para contarle el plan de fidelización entre Vodafone y AIG así como para la cesión de sus datos a esta compañía aseguradora.” 3. AIG manifiesta que ostenta un contrato de colaboración con WILLIS. 4. El consentimiento por parte del denunciante a la cesión de sus datos personales entre 1. VODAFONE y AIG, se desprende de siguientes grabaciones realizadas por VODAFONE: a. ***GRABACIÓN.1 El 13/03/2017 Vodafone realiza una llamada a la denunciante ofreciendo un seguro de AIG. En el minuto 6:30 se le indican que se cederá a AIG los siguientes datos: nombre y apellidos, DNI, fecha nacimiento, dirección, teléfono. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 En el minuto 9:30 le preguntan a la denunciante “¿Autoriza a Vodafone a ceder su número de cuenta y el resto de datos personales a AIG?” respondiendo la denunciante: “Cuando ustedes me manden eso que me dice […] ya hablaría yo”. En el min. 10:40 le preguntan a la denunciante “[…] si usted finalmente decide mantenerlo ha de autorizar a Vodafone a cederle su número de cuenta así como el resto de datos mencionados a AIG para poder gestionar la póliza ¿de acuerdo?” La denunciante contesta: “Sí, de acuerdo, de acuerdo”. b. ***GRABACIÓN.2 El 14/03/2017, según AIG por un error en la tramitación se realiza una segunda llamada a la denunciante. En el min. 6:00 se le consulta a la denunciante “¿Autoriza a Vodafone a ceder su número de cuenta así como el resto de datos mencionados anteriormente a AIG para gestionar su póliza?¿de acuerdo verdad?” La denunciante contesta: “Vale, vale” FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 11 de la LOPD, que regula la “comunicación de datos”, disponiendo en sus apartados 1 y 2 lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
2. a)Cuando la cesión está autorizada en una Ley.
3. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
4. c)Cuando el tratamiento responda a la libre y legítima aceptación de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
5. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
6. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
7. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica”. A los efectos de lo dispuesto en el precepto transcrito, la LOPD señala en su artículo 3.
8. c)e
9. i)lo siguiente: “
10. c)Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. “
11. i)Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado”. A su vez en la Directiva 95/46/CE, del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, se refiere en su artículo 2.
12. b)a la cesión dentro de la definición del tratamiento de datos, y la define como “comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso de los datos, cotejo o interconexión.” IV En el presente caso, la cuestión fundamental radica en determinar si VODAFONE contaba con el consentimiento del titular de los datos para su cesión a un tercero, AIG, con la finalidad de la contratación de un seguro. En relación con la contratación denunciada, la afectada ha manifestado que recibió una llamada de AIG ofreciéndole un seguro que rechazó reiteradamente, si bien el comercial de la compañía insistió en enviarle la póliza y la orden de domiciliación; no obstante, su sorpresa fue mayúscula al comprobar que VODAFONE había cedido sus datos personales y bancarios a AIG, quien ordenó el cargo a su cuenta de los recibos aunque ha podido devolver y cancelar los últimos recibidos. De los documentos aportados al expediente y de los incorporados por los servicios de inspección de este organismo, ha quedado acreditado que VODAFONE cedió los datos de la denunciante a AIG para la contratación de un seguro; sin embargo, de las grabaciones aportadas y que reproducen las conversaciones mantenidas por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 operadora de VODAFONE, auxiliar externo de WILLIS, y el denunciante, ha quedado acreditado que ésta facilitó su consentimiento para que WILLIS tratara y pudiera facilitar sus datos personales a AIG, por lo que la cesión que WILLIS realizó a la compañía aseguradora para la contratación de un seguro Protección Senior, contaba con el consentimiento de la afectada. La aseguradora AIG ha señalado que ostenta contrato de Agencia de Seguros con WILLIS para la distribución e intermediación de pólizas de seguros. Por otra parte, VODAFONE ha aportado copia del Contrato de colaboración con WILLIS (en su condición de Agencia de seguros vinculada), para la mediación de seguros mediante técnicas de venta a distancia entre el colectivo de clientes de esta última y cuyo objeto es la delimitación de los derechos y obligaciones de ambas partes en la mediación y colaboración en la distribución de productos de seguro; VODAFONE se encuentra interesado en colaborar con WILLIS para que pueda desarrollar sus actividades de mediación de seguros entre sus clientes y en relación con productos de seguro de AIG que puedan satisfacer las necesidades de estos. WILLIS ostenta la condición de encargado del tratamiento de AIG mientras que VODAFONE ostenta la condición de agente externo de WILLIS. Tanto AIG como VODAFONE han aportado, en soporte Pendrive y CD, copia de las grabaciones telefónicas mantenida por operadora y la denunciante, ofertándole un seguro. El 13/03/2017, en el transcurso de la conversación, como se indica en los hechos, se le informa que se cederán a la aseguradora los datos de carácter personal para la formalización de la póliza, preguntándole si autoriza a VODAFONE a ceder su número de cuenta y el resto de datos personales a AIG a lo que responde “Cuando ustedes me manden eso que me dice […] ya hablaría yo” y, posteriormente, le indican que si finalmente decide mantener el seguro ha de autorizar a VODAFONE a cederle su número de cuenta así como el resto de datos mencionados a AIG para poder gestionar la póliza, a lo que la denunciante contesta: “Sí, de acuerdo, de acuerdo”. El 14/03/2017 se realiza una segunda llamada a la denunciante y se le pregunta “¿Autoriza a Vodafone a ceder su número de cuenta así como el resto de datos mencionados anteriormente a AIG para gestionar su póliza?¿de acuerdo verdad?” contestando “Vale, vale”. En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el catálogo de infracciones previstas y sancionadas en el Título VII de la LOPD. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a VODAFONE ESPAÑA, S.A.U. y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es