E-06984-2014

1/8 Expediente Nº: E/06984/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante las entidades Kontacta Comunicaciones S.A. y TELEFÓNICA MÓVILES ESPAÑA, SAU y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 18/11/2014 el Director de la Agencia Española de Protección de datos ordena a la Subdirección de Inspección iniciar un expediente de investigación al objeto de auditar la operativa de conservación de la documentación recabada por Telefónica Móviles España en la contratación de dos líneas telefónicas de forma fraudulenta a nombre de Dña. A.A.A.. En el expediente E/4154/2013 quedó acreditado que Telefónica Móviles de España aportó en el procedimiento sancionador PS/00349/2014 en fecha 14/10/2014 copia del DNI de la afectada recabado en el punto de venta de la entidad KONTACTA en el momento de la contratación (en enero de 2012), a pesar de que fue solicitado en fecha 10/10/2013 en fase de actuaciones previas de investigación. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1 Los representantes de KONTACTA realizan las siguientes manifestaciones en relación con el sistema establecido para la custodia y destrucción de documentación relativa a contratos de servicios de telefonía en el año

1. a. Kontacta es distribuidor en exclusiva de Movistar y dispone de aproximadamente 25 tiendas distribuidas por Extremadura y Andalucía. En el año 2012 también disponían de tiendas en Madrid. b. La tienda con el código SKM SEV FELIPE II corresponde a la situada en Diego de la Barrera S/N de Sevilla y es el lugar donde se realizan las presentes actuaciones de inspección. c. Cuando un cliente deseaba contratar en el año 2012 una línea de telefonía móvil, se generaba un contrato con el sistema de información facilitado por Movistar. Este contrato se rellenaba desde el ordenador con que está dotada cada tienda y tras imprimirse se debía firmar por el cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Además, si se trataba de una portabilidad, se recababa fotocopia del DNI y de documentación acreditativa de la titularidad de la cuenta de pago de los recibos. Seguidamente se hacía entrega al cliente de una copia del contrato, otra copia se quedaba en el fichero de papel del punto de venta, junto con una copia del DNI y de la documentación bancaria. La tercera copia se enviaba a Movistar junto con otra copia del DNI y de la documentación bancaria. d. Cada una de las copias de estos contratos especifica al pie si es el ejemplar para el interesado, para el punto de venta o para Movistar. e. El ejemplar para Movistar, junto con la copia del DNI y de la documentación bancaria se guardaba en un sobre y se enviaba por correo postal a Movistar. En cada sobre se envía documentación de varios contratos, cada uno de ellos con la documentación anexa grapada. Este procedimiento sigue vigente en la actualidad. f. Movistar verifica que la documentación enviada está completa y en caso de no figurar la copia del DNI o información bancaria se pone en contacto con la sede central de Kontacta para que solucionen la incidencia no dando por válida la contratación hasta que la documentación esté completa. g. El ejemplar para el punto de venta se almacena en archivadores clasificados por meses en cada una de las tiendas. Movistar exige que la documentación se conserve durante al menos 12 meses. En la tienda SKM SEV FELIPE II se almacena la documentación en unos archivos cerrados con llave. Por el tamaño de este archivo sólo se pueden conservar la documentación relativa al último año. Una vez verificado que se ha realizado correctamente la facturación con Movistar y que se ha superado el año, se procede a la destrucción de la documentación. La documentación relativa a los contratos realizados en el enero de 2012 fue destruida con posterioridad a junio de
2. Los inspectores actuantes muestran a los representantes de la entidad una copia del contrato suscrito en fecha 11/01/2012 a nombre de Dña. A.A.A. realizando las siguientes puntualizaciones: a. Por el estado de la copia no es posible determinar si este contrato es la copia para el punto de venta o para Movistar b. Cuando un cliente solicita terminales, como en el caso de los contratos suscritos por Dña. A.A.A., se le realiza una factura emitida por Kontacta, aportado copia de las dos facturas generadas a nombre de la afectada en fecha 19/01/
3. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Ante las preguntas de los inspectores, los representantes de la entidad manifiestan que el punto de venta SKM SEV FELIPE II no ha recibido ninguna petición de documentación procedente de Movistar. La representante legal de la entidad realiza una llamada a la sede central para que le facilite un listado con la información solicitada por Movistar relativa a la contratación realizada durante el año 2012, verificando sobre la misma que no figura el punto de venta SKM SEV FELIPE II ni el DNI B.B.B.. 2 En relación al procedimiento establecido por Telefónica Móviles para que los puntos de venta de los distribuidores recaben documentación de identificación de los clientes, los representantes de la entidad manifiestan: a. Cada distribuidor firma un contrato marco que recoge las obligaciones en relación a la documentación que se debe recabar de los clientes. Además se envían periódicamente información complementaria por medio del portal que utiliza el distribuidor (denominado sistema HERMES). Esta información de denomina megafax. Según indican los representantes de la entidad, se han emitido megafaxes relativos al procedimiento para recabar documentación y como conservarla en fechas mayo de 2010, mayo de 2012, en diciembre de 2013 y en junio de
4. En el año 2012 había tres métodos para recoger y remitir la documentación relativa a las contrataciones, en función del equipamiento con el que esté dotado el punto de venta: a. En caso de contar con tableta digitalizadora de firma y escáner para el DNI, el contrato se firma sobre la tableta y se remite telemáticamente por el propio sistema de información. En este caso no es obligatorio enviar ningún tipo de documentación a Telefónica Móviles España. b. Si el distribuidor cuenta sólo con tableta digitalizadora, debe recabar copia del DNI del cliente y lo remite a la entidad PAPYRUM, que en calidad de encargado del tratamiento, realiza el escaneo e incorporación al sistema documental de Telefónica Móviles y se responsabiliza de su custodia. c. En caso que el distribuidor no disponga de ninguno de los medios anteriores se debe remitir por correo postal a PAPYRUM toda la documentación para que la digitalice. La documentación relativa a la comprobación de la cuenta bancaria no se envía permaneciendo en el punto de venta durante el tiempo mínimo estipulado, que según indican los representantes de la entidad en 2012 era mínimo de un año. En relación con el procedimiento establecido para recabar la documentación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 relativa a las contrataciones, cuando se recibe un requerimiento de la Agencia Española de Protección de Datos, los representantes de la entidad realizan las siguientes manifestaciones: El Gabinete Jurídico consulta en primer lugar en gestor documental GDVE y localiza los contratos y en su caso, los documentos de identidad escaneados. En caso de no estar estos últimos, se realiza una petición por correo electrónico al Back Office que lo gestiona la entidad UNITONO. UNITONO realiza las gestiones directamente con el punto de venta o en su caso con el distribuidor, bien llamando por teléfono o bien por correo electrónico. En caso de no conseguir establecer contacto en 48 horas, trasladan por correo electrónico la petición a la Dirección Territorial de Telefónica, que si es preciso de desplaza físicamente al punto de venta al objeto de conseguir la documentación solicitada. La Dirección Territorial es responsable de controlar la actividad de los distribuidores de su zona. Las gestiones realizadas por UNITONO por correo electrónico quedan recogidas en el cliente Outlook en la carpeta “TRAMITADOS”. El responsable de realizar las auditorías del sistema dispone de acceso al buzón de correo electrónico. Los Inspectores actuantes solicitan acceso al buzón de correo electrónico con las gestiones realizadas por UNITONO, realizando sobre éste las siguientes comprobaciones: a. Se verifica que existe un buzón de correo electrónico denominado TE_Recl_Canal_Indirecto que contiene diversas carpetas con mensajes relativos a reclamaciones presentadas ante Telefónica. Dentro de este buzón existe una carpeta denominada TRAMITADOS. b. Se accede a esta carpeta y se recaba copia de todos los correos electrónicos relativos a una reclamación de documentación motivada por un requerimiento de información de la Agencia Española de Protección de Datos. Figurando para este caso un total de 7 mensajes intercambiados entre el 22/12/2014 y el 29/12/
5. c. Se realiza una consulta dentro de la carpeta “TRAMITADOS” de los correos intercambiados en relación al DNI B.B.B., obteniendo una relación de 7 correos intercambiados entre el 10/07/2014 y el 14/07/
6. El primero de ellos realiza una petición de copia del DNI al Back Office, En el segundo se solicita ayuda a la Dirección Territorial porque no ha sido posible contactar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 con el punto de venta, este correo incluye una plantilla rk Oficiales en la que se detalla los datos de la reclamación incluyendo líneas NIF y nombre del afectado, así como los datos del distribuidor además de las incidencias que ha tenido en Back Office. En fecha 11/07/2014 la Dirección Territorial Sur aporta al Back Office tres documentos adjuntos en formato JPG, los dos primeros contienen los contratos de dos líneas de telefonía móvil y el último con una copia del DNI que figuraba en los archivos de papel del distribuidor en Sevilla. Se solicita acceso al sistema de gestión documental realizando una consulta por la información que figura asociada al DNI B.B.B. verificando que constan 5 documentos, entre los que se encuentran dos en formato PDF. Se recaba copia de estos documentos y se comprueba que corresponden a los contratos de las líneas D.D.D. y C.C.C. a nombre de Dña. A.A.A.. No figura en este gestor documental copia del DNI de la cliente FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el presente caso, con fecha 18 de noviembre de 2014 el Director de la Agencia Española de Protección de Datos ordena a la Subdirección General de Inspección iniciar un expediente de investigación al objeto de auditar la operativa de conservación de la documentación recabada por Telefónica Móviles España en la contratación de dos líneas telefónicas de forma fraudulenta a nombre de Dña. A.A.A.. Consta en las actuaciones previas de investigación de esta Agencia que Kontacta Comunicaciones S.A. es distribuidor en exclusiva de Movistar, la tienda con el código SKM SEV FELIPE es el lugar donde formalizó la denunciante la contratación de las dos líneas telefónicas. Por una parte el contrato se rellenaba desde el ordenador con que está dotada cada tienda y tras imprimirse se debía firmar por el cliente, y se recababa fotocopia del DNI y de la documentación acreditativa de la titularidad de la cuenta de pago de los recibos Por otro lado se hacía entrega al cliente de una copia del contrato, otra copia se quedaba en el fichero de papel del punto de venta, junto con una copia del DNI y de la documentación bancaria. La tercera copia se enviaba a Movistar junto con la copia del DNI y de la documentación bancaría. El ejemplar para Movistar, junto con la copia del DNI y de la documentación bancaria se guardaba en un sobre y se enviaba por correo postal a Movistar. Movistar verifica que la documentación enviada está completa y en caso de no figurar la copia del DNI o información bancaria se pone en contacto con la sede central de Kontacta para que solucionen la incidencia no dando por válida la contratación hasta que la documentación esté completa. En fecha 11 de julio de 2014 la Dirección Territorial Sur aporta al Back Office tres C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 documentos adjuntos en formato JPG, los dos primeros contienen los contratos de dos líneas de telefonía móvil y el último con una copia del DNI que figuraba en los archivos de papel del distribuidor en Sevilla. Se solicita acceso al sistema de gestión documental realizando una consulta por la información que figura asociada al DNI B.B.B. verificando que consta de 5 documentos, comprobando que corresponden a los contratos de las líneas D.D.D. y C.C.C. a nombre de Dña. A.A.A.. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de 29/04/2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” De acuerdo a estos criterios, se puede entender que Kontacta Comunicaciones S.A. y Telefónica Móviles España, SAU emplearon una razonable diligencia, ya que adoptaron las medidas necesarias para identificar a la persona que realizaba la contratación. IV Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a Kontacta Comunicaciones S.A. y Telefónica Móviles España, SAU una vulneración de la normativa en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
7. PROCEDER AL ARCHIVO de las presentes actuaciones.
8. NOTIFICAR la presente Resolución a Kontacta Comunicaciones S.A., y a TELEFÓNICA MÓVILES ESPAÑA, SAU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es