E-07132-2018

1/4 Procedimiento Nº: E/07132/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante VIESGO COMERCIALIZADORA DE REFERENCIA, S.L., en virtud de reclamación presentada por D. A.A.A. (en adelante, el reclamante) y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por el reclamante tiene entrada con fecha 16 de mayo de 2016 en la Agencia Española de Protección de Datos. La reclamación se dirige contra VIESGO COMERCIALIZADORA DE REFERENCIA, S.L., (en adelante Viesgo) Los motivos en que basa su reclamación son en que la citada entidad le ha remitido SMS a su número de teléfono ***TELEFONO.1, los días 4 y 10 de mayo de 2016, donde le dan las gracias por renovar su contrato y se le facilita un enlace, pese a no existir relación contractual previa con la entidad Viesgo. Con fecha 5 de octubre de 2016, la Directora de la Agencia Española de Protección de Datos acordó el archivo de la denuncia nº E/03760/2016 por falta de pruebas, y el 7 de noviembre del mismo año interpone Recurso de Reposición, que se desestimó con fecha 15 de diciembre de

1. Posteriormente, el reclamante interpuso contra la anterior recurso ContenciosoAdministrativo. En cuyo fallo se estima el mismo, declarando la nulidad de las citadas resoluciones por no ser conformes a derecho, acordando en su lugar, que la Agencia Española de Protección de Datos incoe actuaciones inspectoras a fin de llevar a cabo las actuaciones previas de investigaciones necesarias, para determinar si concurren circunstancias que justifiquen la iniciación de un procedimiento sancionador frente a la compañía que resultase responsable de los hechos denunciados por lo que se inician las presentes actuaciones de investigación. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Viesgo ha podido detectar que, entre el 4 y el 10 de mayo de 2016, el número de línea de telefonía móvil ***TELEFONO.1 estaba asociado a 12 puntos de suministro distintos dados de alta en su sistema. No obstante, ninguno de los 12 puntos de suministro mencionados parece tener vinculación directa alguna con el reclamante. Además, dicho reclamante no figura en ninguna base de datos de Viesgo, por lo que no es, ni ha sido en ninguna ocasión, cliente de la compañía. De hecho, los 6 mensajes SMS que fueron enviados al reclamante iban dirigidos a un mismo titular de varios puntos de suministro que habría facilitado el número ***TELEFONO.1 como segundo teléfono de contacto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 Viesgo manifiesta que no es posible determinar si este número de teléfono fue facilitado erróneamente o si dicho titular lo dio de baja posteriormente sin informarle. Es de señalar que en el momento en el que se enviaron los mensajes SMS al reclamante, Viesgo contaba con un manual de uso interno que determinaba el proceso de actuación para distintas actuaciones comerciales, en el que se describe el protocolo seguido por parte de la compañía. Adicionalmente, y con el fin de evitar eventuales errores en el procesamiento de datos personales, Viesgo contrató a la compañía Accenture en diciembre de 2017, un proyecto destinado a incrementar el control y la calidad de los procesos de información relacionados con los datos personales de los clientes de Viesgo. No consta a VIESGO reclamación alguna realizada por parte del reclamante en fecha 5 de mayo de 2016, motivo por el que no se han realizado actuaciones específicas para corregir dicho error No obstante, a raíz de la comunicación de la AEPD con el fin de evitar que el reclamante siga recibiendo en el futuro mensajes SMS como los que han sido objeto de su reclamación, VIESGO ha procedido a bloquear en sus sistemas al número de teléfono ***TELEFONO.1, de manera que el mismo no vuelva a recibir mensajes de VIESGO. Los seis mensajes SMS que el reclamante recibió, todos ellos asociados a distintos puntos de suministro de un mismo cliente y hacían referencia a distintas renovaciones contractuales todos ellos el siguiente idéntico texto: “VIESGO informa: gracias por confiar en nosotros y renovar tu contrato. Encuentra las nuevas condiciones en […]” seguido de un link que, al clicar sobre él, redirigía al usuario a una ventana de seguridad que le requería a indicar un NIF/CIF que debía coincidir con el del titular de los suministros contratados para poder acceder a la información sobre la renovación que se pretendía facilitar. Asimismo, tampoco VIESGO tuvo acceso alguno a ningún otro dato del reclamante, más allá de su número de teléfono, al que envió los distintos mensajes SMS por error, según lo manifestado anteriormente. Las comunicaciones recibidas por el reclamante no incluían ningún contenido comercial o publicitario y que solamente trataban de informar al titular de los 6 suministros sobre las condiciones de la renovación de su contrato, a la que solamente se podía acceder, insistimos, facilitando el número de DNI/NIF del titular. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 II Con carácter previo al análisis de la adecuación la normativa de protección de datos de carácter personal es preciso abordar el elemento temporal en el que suceden los hechos objeto de investigación. Los SMS objeto de la reclamación son de fecha 4 y 10 de mayo de
2. El RGPD establece en su artículo 99 bajo la rúbrica “Entrada en vigor y aplicación “lo siguiente:
3. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
4. Será aplicable a partir del 25 de mayo de
5. Por lo tanto, los hechos que motivan el inicio de las presentes actuaciones de investigación y por tanto el objeto de análisis en el presente procedimiento se producen antes de la plena aplicación del RGPD y por tanto la adecuación a la normativa aplicable debe referenciarse respecto de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD en lo sucesivo). III El artículo 8 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, en su apartado 5: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste. Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento específico para ello. Cuando los datos hubieren sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o cancelación efectuada, siempre que el cesionario sea conocido. En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviere el tratamiento de los datos deberá proceder a la rectificación y cancelación notificada. Esta actualización de los datos de carácter personal no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Lo dispuesto en este apartado se entiende sin perjuicio de las facultades que a los afectados reconoce el título III de este Reglamento.” En el caso que nos ocupa, los 6 mensajes SMS que fueron enviados al reclamante iban dirigidos a un mismo titular de varios puntos de suministro que habría facilitado el número ***TELEFONO.1 como segundo teléfono de contacto. Por otra parte, Viesgo manifiesta que no es posible determinar si este número de teléfono fue facilitado erróneamente o si dicho titular lo dio de baja posteriormente sin informarle. No obstante, a raíz de la comunicación de la AEPD con el fin de evitar que el reclamante siga recibiendo en el futuro mensajes SMS como los que han sido objeto de su reclamación, VIESGO ha procedido a bloquear en sus sistemas al número de teléfono ***TELEFONO.1, de manera que el mismo no vuelva a recibir mensajes de VIESGO. Por último, señalar que las comunicaciones recibidas por el reclamante no incluían ningún contenido comercial o publicitario y que solamente trataban de informar al titular de los 6 suministros sobre las condiciones de la renovación de su contrato, a la que solamente se podía acceder, facilitando el número de DNI/NIF del titular. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
6. PROCEDER AL ARCHIVO de las presentes actuaciones.
7. NOTIFICAR la presente resolución a VIESGO COMERCIALIZADORA DE REFERENCIA, S.L. con CIF B39702436 y A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es