← España

E-06561-2014

1/14 Expediente Nº: E/06561/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad LEBARA LIMITED, SUCURSAL EN ESPAÑA, en virtud de la denuncia formulada por el Área de Gobierno de Seguridad y Movilidad del Ayuntamiento de Madrid mediante la que da traslado del informe de la Policía Municipal de Madrid relativo a prácticas no permitidas en la contratación de tarjetas prepago en locutorios y tiendas de la citada operadora, y en consideración a los siguientes HECHOS PRIMERO: Con fecha 11/08/2014 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito del Área de Gobierno de Seguridad y Movilidad del Ayuntamiento de Madrid con el que adjunta el informe emitido por la Policía Municipal en relación con las prácticas habituales y no permitidas que con ocasión de la contratación de tarjetas prepago del operador LEBARA LIMITED, SUCURSAL EN ESPAÑA (en lo sucesivo, LEBARA o la denunciada) se siguen en algunas tiendas y locutorios. El informe policial describe el resultado de la investigación llevada a cabo en un total de siete tiendas y locutorios de Madrid –cuyos datos identificativos constan en el informe- que comercializan tarjetas de telefonía móvil prepago de LEBARA a fin de comprobar qué requisitos solicitan para dar de alta una tarjeta prepago de esa operadora. Los policías que realizan la investigación manifiestan en su informe que los siete establecimientos inspeccionados dicen tener un Libro-Registro y que “tras preguntar sobre si se puede contratar una tarjeta Lebara a nombre de un titular diferente de la persona que se presenta en la tienda a realizar el trámite, los personados en la tienda afirman que sí, comprobando que algunas de las tiendas solicitan una fotocopia del DNI de la persona a la que quieren hacer contratante, sin ser necesario que éste se presente, y en la gran mayoría de los establecimientos afirman que sería suficiente con que se aportaran verbalmente los datos de la persona a la que se pretende dar de alta. Que además afirman que no necesitan ningún tipo de documentación de la persona que intenta realizar la gestión en el establecimiento”. (El subrayado es de la AEPD) SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 C.C.C. Con fecha de 11 de agosto de 2014 tiene entrada en esta Agencia un escrito de POLICÌA MUNICIPAL DE MADRID en el que se pone de manifiesto los siguientes hechos: POLICÍA MUNICIPAL DE MADRID ha remitido un informe en el que se indica que con motivo de una denuncia agentes de la Policía se han personado en diversas tiendas y locutorios que comercializan servicios de telefonía móvil de la empresa LEBARA LIMITED, sucursal en España (en adelante LEBARA) para informarse de los requisitos que se solicitan para el alta de tarjetas prepago donde les informan que mantienen un libro de registro de las altas realizadas tal y como se establece en la Ley 25/207, del 18 de octubre, sobre conservación de datos relativos a las Comunicaciones electrónicas y a redes públicas de comunicación. Asimismo les indican que no es obligatorio la presencia del titular para dar de alta una línea, basta con aportar los datos personales aunque constatan que algunos distribuidores y locutorios solicitan una fotocopia del DNI de la persona para la que solicitan la línea. También constatan que no es necesario aportar ni enseñar ningún documento acreditativo de identidad para realizar la contratación de las líneas prepago. A.A.A. Tal y como consta en el Acta de Inspección E/6561/2014-I/1 realizada en los locales de la compañía LEBARA, en fecha 8 de julio de 2015 y de las diligencias elaboradas al efecto de fecha 9, 22 y 23 de julio de 2015: 1. LEBARA pertenece al Grupo LEBARA ubicado en Inglaterra y oferta servicios de operador virtual de VODAFONE a través de tarjetas prepago. LEBARA no dispone de puntos de venta propios salvo los que se encuentran ubicados en Metro de Madrid y en el aeropuerto de Madrid. La venta de las tarjetas prepago de LEBARA se realiza a través de distribuidores (unos 15 en España) y de puntos de ventas (unos 12000 en España) generalmente locutorios ya que LEBARA dispone de diferentes paquetes promocionales para la realización de llamadas a terceros países. LEBARA tiene un volumen de unos 550.000 tarjetas SIM que tiene actividad en los en los últimos 30 días. 2. Para formalizar un contrato de distribución o de punto de venta, el contratante debe aportar copia del documento acreditativo de la identidad ya sea persona física (NIF, NIE, …) o persona jurídica (CIF) y un documento que acredite la titularidad de la cuenta corriente. En ambos tipos de contratos consta la siguiente obligación: “El Punto de Venta no podrá vender ninguna tarjeta sin haber completado el siguiente procedimiento: (I) Con carácter previo a la venta, el PDV identificará al cliente final de LEBARA…. mediante la validación presencial de un documento acreditativo de su personalidad que ha de ser válido (pasaporte, DNI, NIE o, para personas jurídicas, CIF) y original C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 y estar en vigor.” Tras la firma del contrato, tanto a los distribuidores como a los puntos de venta se les asigna un código de usuario y una contraseña únicos para identificarse en la dirección web https://(...) con objeto de poder dar de alta al cliente. 3. Las tarjetas SIM de LEBARA se encuentran en los Puntos de Venta pero no tienen asignado un número de línea móvil. Se ha verificado que para proceder al alta del cliente se tiene que acceder a la web https://(...) e introducir un código de usuario y una contraseña. El sistema una vez validado solicita los datos de número de tarjeta SIM junto con el código PUK y nombre, apellidos, nacionalidad, tipo de documento y número así como confirmar a través de una casilla que la información insertada en el formulario coincide exactamente con el documento acreditativo de la personalidad que ha sido exhibido por el titular del mismo en persona. A este respecto LEBARA manifiesta que tal y como consta en el contrato, el punto de venta debe validar presencialmente al cliente con un documento acreditativo de la personalidad que tiene que ser exhibido por el titular en persona. 4. Se ha verificado que una vez registrados los datos, se asigna a la tarjeta SIM un número de línea móvil y los datos pasan a formar parte del fichero de CLIENTES de LEBARA de forma automática. LEBARA manifiesta que una vez asignado el número de línea móvil a la tarjeta SIM, el Sistema remite un SMS al punto de venta y al nuevo cliente. 5. LEBARA también permite darse de alta cumplimentando un formulario disponible en la web www.lebara.es con los datos de nombre y apellidos, dirección de email, número de identificación, nacionalidad y dirección postal. En este caso, la tarjeta SIM es entregada al titular por el Servicio de Correos siendo este el encargado de verificar la identidad del contratante mediante la exhibición del documento acreditativo de la personalidad y cuya confirmación se remite a LEBARA a través de la PDA de los empleados del Servicio de Correos y en este momento se activa la tarjeta SIM y se asigna el número de línea móvil. 6. LEBARA realiza controles periódicos a sus distribuidores y Puntos de Venta y cuando tiene conocimiento, ya sea por estos controles o por los Cuerpos y Fuerzas de Seguridad del Estado, de posibles irregularidades en el proceso de venta de SIM de la entidad o de identificación de los clientes procede a cancelar el contrato suscrito. 7. Se ha verificado que en los Sistemas de Información de LEBARA constan los siguientes locutorios como Punto de Ventas de tarjetas prepago de LEBARA:  ORGULLO LATINO ubicado en calle (C/...........2) en situación de baja con fecha 28 de octubre de 2014 y por el motivo de no regularizar la situación al cambiar de NIE a DNI.  LOCUTORIO CALLE (C/...........3) asociado a una persona con NIE, en situación de baja con fecha 1 de octubre de 2014 por solicitud del Manager del Departamento Jurídico por fraude en los registros y sin posibilidad de reactivación.  LOCUTORIO SMALL WORDL EN CALLE (C/...........4) 3 en situación de alta.  LOCUTORIO GEOMI EXPRESS, EN CALLE (C/...........4) 16 en situación de baja en fecha 4 de mayo de 2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14  LOCUTORIO MONEY GRAW EN CALLE (C/...........5) 4 en situación de alta asociado a la empresa MULTISERVICIOS ESPACIO MOVIL SL.  LOCUTORIO EN CALLE (C/...........6) 24 en alta sin facturación. Asimismo LEBARA ha aportado impresión de diversos registros de los puntos de Ventas de ORGULLO LATINO, (C/...........3), SMALL WORDL y (C/...........6) 24 indicando que el resto de los locutorios no han tenido actividad. A este respecto se ha verificado que lo locutorios mencionados a continuación se encontraban en la siguiente situación:  ORGULLO LATINO ubicado en calle (C/...........2) se encuentra cerrado y según manifestaciones de terceros está cerrado desde hace tiempo por cambio de dueño. En esta misma dirección hay otro locutorio denominado XXXX, el cual según manifiesta su titular no tiene ninguna relación con ORGULLO LATINO.  LOCUTORIO CALLE (C/...........3) abierto al público y con publicidad de las tarjetas prepago de LEBARA. El titular del establecimiento manifiesta que desde hace unos siete meses no realiza altas de tarjetas prepago de LEBARA por disconformidad con el operador en las comisiones.  LOCUTORIO SMALL WORLD EXCHANGES SERVICES SPAIN SLU ubicado en la calle (C/...........4) nº 3. Cada locutorio de la compañía SMALL WORLD EXCHANGES SERVICES SPAIN SLU tiene un código de usuario y una contraseña único para identificarse en la página web que LEBARA pone a su disposición. Las tarjetas SIM están en el locutorio y no tienen asignado un número de línea móvil. Para proceder al alta el cliente debe estar presencialmente en el establecimiento y se le solicita un documento de identificación (DNI, NIE o Pasaporte), registrándose los datos que constan (nombre, apellidos, nacionalidad, tipo y número de documento) en la web de LEBARA junto con el número de tarjeta SIM. Una vez finalizado el registro el sistema asigna un número de línea móvil a la tarjeta SIM. El locutorio no guarda copia de los documentos de identificación ni tampoco de los registros realizados.  LOCUTORIO EN CALLE (C/...........5) 4. Se ha verificado que en dicha ubicación se encuentran dos locutorios: El primero de ellos y con anterioridad abril de 2015 era titular B.B.B. con NIE X I.I.I. y ahora pertenece a F.F.F. sin que este último tenga ninguna relación con MULTISERVICIOS ESPACIO MOVIL SL. El titular del establecimiento manifiesta que aún no dispone de contrato con LEBARA, no obstante, tiene en su establecimiento tarjetas prepago del operador e indica que para el alta de las tarjetas de LEBARA debe de identificar presencialmente al cliente con un documento identificativo (DNI, NIE o Pasaporte) y registrar los datos en la web de LEBARA. Para ello, el operador debe de suministrar al locutorio un código de usuario y una contraseña para el acceso a la web que se entregan cuando se formalice el contrato. En el segundo de los locutorios figura como nombre del establecimiento PHILIPPINE WORDL SL, la titularidad no corresponde a la empresa MULTISERVICIOS ESPACIO MOVIL SL. Asimismo informa que en este locutorio se pueden dar de alta tarjetas prepago de LEBARA siempre y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 cuando se presente un documento de identificación de la persona a la que se va a vender la tarjeta no siendo imprescindible que se persone físicamente en el establecimiento. El procedimiento para el alta es el detallado anteriormente a través de la web de LEBARA y no guardan documentos identificativos ni datos de la persona a la se ha asociado la tarjeta SIM.  MULTISERVICIOS ESPACIO MOVIL SL dispone también de un locutorio ubicado en la calle Almansa nº 21 de Madrid con el que LEBARA tiene suscrito un contrato de Punto de Venta. Su titular H.H.H. manifiesta que la compañía MULTISERVICIOS ESPACIO MOVIL SL no tiene actividad y la titularidad del locutorio corresponde a la compañía OLIMEJIA SL desde abril de 2015 siendo H.H.H. representante en ambas. El titular manifiesta que al no disponer actualmente de contrato con LEBARA no tienen usuario y contraseña para poder dar de alta en la web las tarjetas prepago. Con anterioridad a abril de 2015 disponían de un usuario y una contraseña para registrar los datos de los compradores de las tarjetas prepago en la web de LEBARA y era necesario mostrar un documento de identificación (DNI, NIE o Pasaporte) de la persona a la que se va a vender la tarjeta no siendo imprescindible que se persone físicamente en el establecimiento. No guardan documentos identificativos ni datos de la persona a la se ha asociado la tarjeta SIM.  LOCUTORIO CALLE (C/...........6) 24 se encuentra un establecimiento de otro tipo y según manifestaciones de terceros el locutorio cerró hace varios meses. 8. En aquellos locutorios visitados que realizan en julio de 2015 tarjetas prepago de LEBARA nos han informado que no se almacena ninguna documentación que acredite la identidad de las personas que han contratado una tarjeta prepago, asimismo nos han informado que no guardan datos de las mismas ya que el registro se realiza directamente en la web de LEBARA. Todas ellas manifiestan que es obligatorio exhibir un documento acreditativo de la identidad de la persona a la que se va a vender una tarjeta prepago de LEBARA, aunque alguno de ellos ha manifestado que no es imprescindible que se persone el titular.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

  1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La Ley 25/2007, de 18 de octubre, de Conservación de Datos relativos a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones, según redacción introducida por Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, dedica el artículo 8 a la “Protección y seguridad de los datos” y dispone: “1. Los sujetos obligados deberán identificar al personal especialmente autorizado para acceder a los datos objeto de esta Ley, adoptar las medidas técnicas y organizativas que impidan su manipulación o uso para fines distintos de los comprendidos en la misma, su destrucción accidental o ilícita y su pérdida accidental, así como su almacenamiento, tratamiento, divulgación o acceso no autorizados, con sujeción a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre y en su normativa de desarrollo. 2. Las obligaciones relativas a las medidas para garantizar la calidad de los datos y la confidencialidad y seguridad en el tratamiento de los mismos serán las establecidas en la Ley Orgánica 15/1999, de 13 de diciembre y su normativa de desarrollo. 3. El nivel de protección de los datos almacenados se determinará de conformidad con lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo. 4. La Agencia Española de Protección de Datos es la autoridad pública responsable de velar por el cumplimiento de las previsiones de la Ley Orgánica 15/1999, de 13 de diciembre, y de la normativa de desarrollo aplicables a los datos contemplados en la presente Ley.” (El subrayado es de la AEPD) Por otra parte, la Disposición Adicional única de la Ley 25/2007 relativa a los “Servicios de telefonía mediante tarjetas de prepago” dispone: “1. Los operadores de servicios de telefonía móvil que comercialicen servicios con sistema de activación mediante la modalidad de tarjetas de prepago, deberán llevar un libro-registro en el que conste la identidad de los clientes que adquieran una tarjeta inteligente con dicha modalidad de pago. Los operadores informarán a los clientes, con carácter previo a la venta, de la existencia y contenido del registro, de su disponibilidad en los términos expresados en el número siguiente y de los derechos recogidos en el artículo 38.6 de la Ley 32/2003. La identificación se efectuará mediante documento acreditativo de la personalidad, haciéndose constar en el libro-registro el nombre, apellidos y nacionalidad del comprador, así como el número correspondiente al documento identificativo utilizado y la naturaleza o denominación de dicho documento. En el supuesto de personas jurídicas, la identificación se realizará aportando la tarjeta de identificación fiscal, y se hará constar en el libro-registro la denominación social y el código de identificación fiscal. (…)” (El subrayado es de la AEPD) III El derecho a la protección de datos de carácter personal, reconocido en el artículo 18.4 de la Constitución Española, se ha configurado por el Tribunal Constitucional como un derecho fundamental autónomo y diferenciado del derecho a la intimidad (STC 44/1999) cuyo contenido (según STC 292/2000) consiste en un poder de disposición y control sobre los datos personales que faculta a la persona a decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 ese tercero recabar, y que permite al individuo saber quién posee esos datos y para qué, pudiendo oponerse a esa posesión o uso. La LOPD dedica sus artículos 6 y 4, respectivamente, a los principios del consentimiento en el tratamiento de los datos de carácter personal y de calidad de los datos. Así, el artículo 6, “Consentimiento del afectado”, dispone: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El artículo 4, “De la calidad de los datos”, recoge en su apartado 3 el principio de exactitud o veracidad, manifestación del principio de calidad de los datos, conforme al cual “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La vulneración de ambos preceptos se tipifica como infracción grave en los artículos 44.3
  2. b)y
  3. c)de la LOPD, respectivamente. A su vez, la Ley Orgánica 15/1999 sujeta a su régimen sancionador al responsable del fichero y al encargado de tratamiento (artículo 43.1), figuras que define en el artículo 3 en los siguientes términos: “
  4. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”; “
  5. g)Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. (El subrayado es de la AEPD) La figura del encargado de tratamiento se contempla en el artículo 12 de la LOPD, “Acceso a los datos por cuenta de terceros”, y en el Reglamento de desarrollo de la Ley Orgánica aprobado por el Real Decreto 1720/2007 (RLOPD), al que dedica el capítulo III del Título II, “Encargado de tratamiento”, artículos 20 a 22. El artículo 12 de la LOPD establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” (El subrayado es de la AEPD) El artículo 20 del RLOPD, “Relaciones entre el responsable y el encargado del tratamiento” dispone: “1. El acceso a los datos por parte de un encargado del tratamiento que resulte necesario para la prestación de un servicio al responsable no se considerará comunicación de datos, siempre y cuando se cumpla lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre y en el presente capítulo. El servicio prestado por el encargado del tratamiento podrá tener o no carácter remunerado y ser temporal o indefinido. No obstante, se considerará que existe comunicación de datos cuando el acceso tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado. 2. Cuando el responsable del tratamiento contrate la prestación de un servicio que comporte un tratamiento de datos personales sometido a lo dispuesto en este capítulo deberá velar por que el encargado del tratamiento reúna las garantías para el cumplimiento de lo dispuesto en este Reglamento. 3. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato al que se refiere el apartado 2 del artículo 12 de Ley Orgánica 15/1999, de 13 de diciembre, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. No obstante, el encargado del tratamiento no incurrirá en responsabilidad cuando, previa indicación expresa del responsable, comunique los datos a un tercero designado por aquél, al que hubiera encomendado la prestación de un servicio conforme a lo previsto en el presente capítulo.” (El subrayado es de la AEPD) El artículo 21 del RLOPD, “Posibilidad de subcontratación de los servicios”, indica: “1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento. 2. No obstante lo dispuesto en el apartado anterior, será posible la subcontratación sin necesidad de autorización siempre y cuando se cumplan los siguientes requisitos:
  6. a)Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar. Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14
  7. b)Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero.
  8. c)Que el encargado del tratamiento y la empresa subcontratista formalicen el contrato, en los términos previstos en el artículo anterior. En este caso, el subcontratista será considerado encargado del tratamiento, siéndole de aplicación lo previsto en el artículo 20.3 de este reglamento. 3. Si durante la prestación del servicio resultase necesario subcontratar una parte del mismo y dicha circunstancia no hubiera sido prevista en el contrato, deberán someterse al responsable del tratamiento los extremos señalados en el apartado anterior.” (El subrayado es de la AEPD) IV La denuncia que examinamos versa sobre la presunta infracción de la normativa de protección de datos de carácter personal producida con ocasión de la comercialización de las tarjetas de telefonía móvil prepago de la operadora LEBARA por los puntos de venta con quienes tiene suscrito el correspondiente contrato de prestación de servicios. LEBARA es un operador móvil virtual de VODAFONE ESPAÑA, S.A.U., que, entre otras actividades, oferta tarjetas SIM de prepago. Esta operadora no dispone de puntos de venta propios –con la única excepción de los que se encuentran en el Metro de Madrid y en el Aeropuerto de Barajas-. La venta de las tarjetas SIM de prepago se efectúa a través de sus Distribuidores -un total de 15 en España- y de los Puntos de Venta (en adelante PDV) –unos mil doscientos en el territorio nacional-. A la luz de la documentación recabada por la Inspección de Datos de la AEPD, se constata que los PDV y Distribuidores de LEBARA actúan como encargados de tratamiento de la operadora en relación con los datos de carácter personal que son objeto de tratamiento en el desarrollo de su actividad de comercialización y venta de tarjetas SIM de prepago. En cuanto a los PDV el modelo de contrato que LEBARA suscribe con ellos incluye una estipulación – “IV, Protección de Datos”, con la siguiente redacción: “El PDV tratará los datos de carácter personal de los Clientes en calidad de encargado de tratamiento, actuando en todo momento conforme a las instrucciones de Lebara, y no los aplicará ni utilizará con fines distintos a los derivados del Contrato, ni los comunicará a terceros. El personal del PDV que acceda a dichos datos para la ejecución del presente contrato mantendrá el carácter confidencial de los mismos. El PDV no podrá utilizar, reproducir, copiar, trasladar ni comunicar los datos personales ni otra información a la que acceda en virtud del Contrato, para fines distintos a los contemplados en éste. El PDV notificará inmediatamente cualquier incidencia que pueda afectar a la seguridad de los datos personales, haciendo constar el tipo de incidencia, el momento en que se produjo y la persona que realiza la notificación. El PDV implementará las medidas de seguridad de nivel básico establecidas en el Real Decreto 1720/2007, de 21 de diciembre, de desarrollo de la LOPD, dándose aquellas por reproducidas íntegramente en este Contrato. A la finalización del Contrato o, en cualquier momento por requerimiento de Lebara, el PDV destruirá los datos de carácter personal y cualesquiera soportes o documentos a los que se incorporen. El PDV autoriza a Lebara a incluir los datos para la localización del PDV en la web de Lebara y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 a la realización de la publicidad para promocionar dicho PDV. Lebara podrá auditar los sistemas e instalaciones del Punto de Venta a los efectos de comprobar el cumplimiento de las medidas de seguridad establecidas en el presente contrato.” (El subrayado es de la AEPD) Se comprueba, por tanto, que el modelo de contrato que LEBARA viene utilizando con sus PDV se ajusta formalmente a las exigencias del artículo 12.2 de la LOPD. Cabe añadir que el protocolo implementado por LEBARA para el alta de las líneas de telefonía móvil mediante las tarjetas SIM de prepago que comercializa, las instrucciones que sobre este particular se dan a los PDV y algunas otras estipulaciones contractuales más están claramente dirigidas a reforzar el respeto a los principios del consentimiento y de calidad de los datos de carácter personal, incidiendo especialmente en la obligación de contrastar la identidad de la persona que contrata el producto con el documento identificativo, en vigor y original, que necesariamente debe exhibir. Los inspectores actuantes verificaron durante la inspección realizada en la sede de LEBARA que el protocolo de alta de las líneas prepago coincide con las instrucciones que ofrece a sus PDV en el clausulado del contrato. Tras la firma del contrato, tanto a los Distribuidores como a los PDV se les asigna un código de usuario y una contraseña únicos para identificarse en la dirección web de la compañía https://in.lebara.com/activaciones con objeto de poder dar de alta al cliente. Se constató que para proceder al alta del cliente “se tiene que acceder a la web(..) e introducir un código de usuario y una contraseña. El sistema una vez validado solicita los datos de número de tarjeta SIM junto con el código PUK y nombre, apellidos, nacionalidad, tipo de documento y número así como confirmar a través de una casilla que la información insertada en el formulario coincide exactamente con el documento acreditativo de la personalidad que ha sido exhibido por el titular del mismo en persona.” (El subrayado es de la AEPD). También, que el PDV deberá validar presencialmente al cliente con un documento acreditativo de la personalidad que tiene que ser exhibido por el titular en persona. Asimismo, se verificó, que una vez registrados los datos se asigna a la tarjeta SIM un número de línea móvil y los datos pasan a formar parte del fichero de clientes de LEBARA de forma automática. Seguidamente, asignado el número de línea móvil a la tarjeta SIM, el Sistema remite un SMS al PDV y al nuevo cliente. Paralelamente, el condicionado del contrato celebrado por LEBARA con los PDV, en el apartado I.4, “Obligaciones del Punto de Venta”, “Identificación y Registro”, incluye la siguiente estipulación: El PDV “no podrá vender ninguna Tarjeta sin haber completado el siguiente procedimiento: (I) Con carácter previo a la venta, el PDV identificará al cliente final de LEBARA…. mediante la validación presencial de un documento acreditativo de su personalidad que ha de ser válido (pasaporte, DNI, NIE o, para personas jurídicas, CIF) y original y estar en vigor.” (
  9. ii)Tras la validación presencial, el PDV introducirá el nombre, los apellidos y la nacionalidad del comprador, el tipo de documento acreditativo de su personalidad, y el nº de dicho documento, en el formulario de registro on line disponible en la Web (…),al que accederá con el nombre de usuario y contraseña facilitados por LEBARA. El PDV debe cumplimentar todos los campos marcados como obligatorios y comprobar que los datos introducidos en el formulario on line coinciden C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 exactamente con los del documento acreditativo de la personalidad aportados por el Cliente y la identidad de éste. En ningún caso el PDV aceptará solicitudes de registro en nombre y por cuenta de terceros; (iii) completados los anteriores pasos con éxito, la web de Lebara confirmará el registro y activará la tarjeta SIM. Sólo a partir de ese momento podrá el PDV entregar la SIM al cliente. (…)” (El subrayado es de la AEPD) También, en esa misma línea, el apartado I del contrato recoge en el punto “5”, “Información Previa”, aquella que el PDV debe facilitar al cliente, destacando entre esas cláusulas, a los efectos que nos ocupan, que “Lebara podrá bloquear la tarjeta si no se hubiera introducido algún dato obligatorio o si como consecuencia de un proceso de revisión interna se concluyera que alguno de los datos introducidos es incorrecto o no es veraz.” (El subrayado es de la AEPD) Es digno de destacar, igualmente, que el apartado V del contrato contempla como causa de resolución “el incumplimiento del PDV de las condiciones estipuladas en el mismo, especialmente de las obligaciones de identificación y registro, información previa y confidencialidad”. Además, por lo que luego se dirá, parece relevante que el clausulado recoja que “el PDV reconoce que LEBARA celebra este contrato con carácter intuitu personae, en base a la personalidad, hacer y capacidad del PDV, y que la ruptura de la confianza entre las partes o la alteración de la personalidad, hacer y capacidad del PDV, facultará a LEBARA para resolver el contrato (..)” (El subrayado es de la AEPD) Si bien la investigación de la Inspección de Datos no ha permitido constatar una infracción de la LOPD en relación a ninguna actuación concreta de alguno de los PDV examinados, sí se han detectado discrepancias entre la información ofrecida a los inspectores por LEBARA y los hechos que se han constado: La falta de coincidencia entre la información de LEBARA y el resultado de la inspección es, en síntesis, la siguiente:
  10. a)PDV de Multiservicios Espacio, S.L. Según la información facilitada por LEBARA -que indicó también que se encontraba de alta aunque “sin actividad alguna en ningún periodo temporal”- sito en la calle (C/...........5) número 4, Madrid. La Inspección constató que en esa dirección existen dos locutorios pero ninguno de ellos pertenece a Multiservicios Espacio, S.L., (en adelante Multiservicios). En uno (locutorio 1), ni el titular actual ni el anterior es Multiservicios, sino B.B.B. y D.D.D., respectivamente. El actual titular declaró que no tiene aún contrato con LEBARA por lo que carece de usuario y contraseña para gestionar el alta. En el establecimiento hay tarjetas de LEBARA y conocen el protocolo de alta de las tarjetas SIM. El otro (locutorio 2) según manifestaciones del empleado que estuvo presente durante la inspección pertenece a Philippine World, S.L., cuyo Administrador único –según consta en el Registro Mercantil- es, desde abril de 2012, E.E.E., quien figura como persona de contacto de Multiservicios en los registros informáticos de LEBARA asociados al PDV de la calle (C/...........5) 4. El empleado del locutorio 2 declaró que sí podían dar de alta tarjetas SIM prepago de LEBARA, no obstante esas declaraciones no pudieron ser confirmadas por los inspectores actuantes..
  11. b)LEBARA ha facilitado a la Inspección de Datos copia del contrato suscrito con Multiservicios Espacio Móvil, S.L., para el PDV de la calle Almansa número C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 21, en el que consta como representante de la sociedad G.G.G.. Durante la inspección en este PDV conocieron que Multiservicios no tiene actividad y que la titularidad del locutorio es desde abril de 2015 de OLIMEJÍA, S.L. Sociedad que a fecha 27/07/2015 no consta inscrita en el Registro Mercantil. Su titular, G.G.G. manifiesta que es representante de ambas sociedades y que no realiza altas prepago de tarjetas SIM de LEBARA, pero que sí las realizó con anterioridad a abril de 2015 y declara que era necesario que se mostrara el DNI aunque no era necesario que se personara físicamente el titular de la línea
  12. c)Locutorio de calle (C/...........6), 24, sobre el que LEBARA informa que se encuentra dado de alta. La Inspección comprueba que en esa ubicación no hay ningún locutorio y los vecinos manifiestan que hace varios meses que cerró. Por otra parte, en el curso de la inspección también se pudo comprobar que todos los PDV, tanto los que reconocen vender tarjetas SIM prepago de LEBARA como los que afirman no venderlas en la actualidad pese a lo cual son conocedoeres del protocolo a seguir para gestionar el alta del número de línea móvil por la operadora, manifiestan que no se guarda copia de los documentos de identificación ni de los registros realizados. No obstante, en algunos PDV como el de la calle (C/...........5) 4, del que es titular Philippine World, S.L., y el de la calle Almansa 21, del que es titular, supuestamente, OLIMEJIA, S.L., informaron que no era imprescindible que la persona a la que se venda la tarjeta SIM se persone físicamente en el establecimiento. A la vista del resultado de las actuaciones de investigación llevadas a cabo por la Inspección, parece aconsejable formular algunas recomendaciones. Recomendaciones que se inspiran en las obligaciones que los artículos 6.1 y 4 de la LOPD le imponen y a las que es preceptivo que LEBARA adecúe el tratamiento de los datos personales realizado en el desarrollo de su actividad. También de aquellos datos a los que acceden sus encargados de tratamiento, pues LEBARA, como responsable del fichero, decide sobre la finalidad, contenido y uso de dicho tratamiento. Conviene precisar sobre este particular que si bien rige en nuestro Derecho el principio de culpabilidad –conforme al cual la responsabilidad administrativa en materia sancionadora es exigible únicamente si concurre el elemento de la culpabilidad, ya sea a título de dolo, culpa o mera negligencia, estando proscrita en esta materia la responsabilidad objetiva- la diligencia que el responsable del fichero debe desplegar en el cumplimiento de sus obligaciones abarca el deber de velar por que sus encargados de tratamiento estén en condiciones de respetar las obligaciones que le imponen la LOPD y el RLOPD, que garantizan el derecho fundamental a la protección de los datos de carácter personal (ex artículo 20.2 del RLOPD). Diligencia que LEBARA ha de observar no sólo cuando celebra el contrato con su encargado de tratamiento (el PDV) sino también con posterioridad, durante el tiempo en que ese PDV le presta el servicio en el que se materializa el encargo de tratamiento. Con idéntico espíritu de garantizar la correcta protección de los datos de carácter personal a los que acceden los encargados de tratamiento, el RLOPD previene en su artículo 21.1 que el encargado de tratamiento “no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiere obtenido de éste autorización para ello”, con la excepción de lo previsto en el punto 2 del precepto. Así, la misma entidad denunciada parece ser consciente de la importancia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 velar para que la actividad de sus encargados de tratamiento se ajuste a lo preceptuado en las disposiciones citadas, como lo demuestra el que califique los contratos celebrados con ellos como “intuitu personae” y de que contemple como causa de resolución del contrato con el PDV el incumplimiento de las obligaciones que le impone la LOPD. Sobre tales premisas se considera conveniente hacer a LEBARA las recomendaciones siguientes:
  13. a)Puesto que en la información que LEBARA facilita a los PDV alude a que periódicamente auditará el cumplimiento que éstos hacen de las obligaciones asumidas en virtud del contrato, la AEPD recomienda que, con el propósito de acreditar, llegado el caso, que actuó diligentemente en el cumplimiento de las obligaciones que como responsable del fichero al que se incorporan los datos personales de los clientes -adquirentes de una tarjeta SIM de prepago- le impone la LOPD, esas auditorias se hagan realidad y se conserve la documentación que permita acreditar su práctica y los parámetros analizados.
  14. b)Si LEBARA tuviera conocimiento de posibles irregularidades en un PDV relacionadas con el alta de las tarjetas prepago, en aras del respeto al principio de calidad de los datos y en su condición de responsable del fichero, se recomienda que compruebe la exactitud de los datos incorporados al Libro Registro procedentes de las contrataciones efectuadas por ese PDV.
  15. c)A la vista del resultado de la inspección y habida cuenta de la frecuencia con la que parecen tener lugar cambios de titularidad en los PDV de los que LEBARA parece no tener conocimiento, se intensifiquen los controles dirigidos a evitar subcontrataciones no autorizadas entre los encargados de tratamiento (los PDV con quienes se celebró un contrato) y terceros.
  16. d)Los controles deberán estar orientados también a comprobar si los PDV con los que LEBARA contrató siguen activos y, caso de que alguno no lo esté, a impedir el acceso a la web de altas mediante el usuario y la contraseña que se asignaron a ese PDV.
  17. e)Habida cuenta del protocolo establecido por LEBARA para la identificación de los clientes que adquieren una tarjeta SIM de prepago, la AEPD recomienda a LEBARA que reitere la información que sobre esta materia facilitó a los PDV al tiempo de contratar. Se recomienda incrementar notablemente tanto las ocasiones como las vías a través de las cuales se recuerde al PDV que la identificación del cliente debe ser presencial; que están obligados a verificar que la persona que solicita el servicio es también el titular del documento que exhibe y a cuyo nombre figurará el alta de la tarjeta SIM; que deberán denegar el alta en otro caso y que el documento que se exhibe debe ser siempre original, no fotocopia, y en vigor. Que el PDV no aceptará en ningún caso solicitudes de registro de los datos de la tarjeta SIM de prepago en nombre y por cuenta de terceros. A modo de ejemplo se propone que aparezca un mensaje informativo cada vez que el PDV accede a la página web de LEBARA para gestionar el alta de una tarjeta SIM, o mediante una leyenda informativa adjunta a la tarjeta SIM de prepago que se comercializa. V En el asunto que examinamos procede el archivo de las presentes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 actuaciones al no haberse acreditado la vulneración de las disposiciones de la LOPD en relación con los datos de alguna persona en particular tratados con ocasión del alta de una tarjeta SIM prepago de LEBARA llevada a cabo por alguno de los Puntos de Venta de la compañía que han sido inspeccionados. No obstante, la AEPD, en cumplimiento de la función que le otorga el artículo 37.1.
  18. a)de la LOPD –velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación- hace diversas recomendaciones a LEBARA sobre la materia analizada, que se detallan en el Fundamento precedente, significando la responsabilidad en la que puede incurrir en caso de que en su actuación no despliegue una diligencia suficiente en el sentido recogido en las mismas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a LEBARA LIMITED, SUCURSAL EN ESPAÑA, y al ÁREA DE GOBIERNO DE SEGURIDAD Y MOVILIDAD DEL AYUNTAMIENTO DE MADRID. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.