E-07892-2012

1/8 Expediente Nº: E/07892/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ESPAÑA, S.A.U.. en virtud de denuncia presentada por Dª B.B.B. y basándose en los siguientes, HECHOS PRIMERO: Con fecha de 18 de octubre de 2012 tiene entrada en esta Agencia un escrito de B.B.B. en el que declara: <<Que desde hace aproximadamente 23 meses la empresa TELECOR, S.A. utiliza mi nombre con mis apellidos y mi número de D.N.I. para entrar en los programas de acceso a los contratos que hace con Vodafone, dicha empresa no tiene mi autorización para utilizar mi nombre en los contratos que la empresa hace entre Clientes , VODAFONE y Ministerio Fiscal. En la tienda TELECOR, Valdemarin hay varios programas de tramitación de contratos o puntos. En los contratos de Vodafone en vez de aparecer en la razón social el nombre de la tienda, aparece mi nombre y apellidos. Se utilizaban dos programas diferentes, para la tramitación de contratos y/o portabilidad de Vodafone, para poder entrar se utilizaba el usuario I.I.I. (la terminación de mi DNI) y al imprimir los contratos (del cual se llevaban una copia los clientes, otra a Vodafone y copia en Telecor), en vez de aparecer en razón social la tienda, (TELECOR, Valdemarin) aparece mi nombre completo. El otro programa es Coto que se utilizaba para la tramitación de canjes de puntos de Vodafone, para poder entrar el usuario es: H.H.H. (mi DNI) y cuando se accedía aparecía mi nombre en vez del nombre de la tienda (TELECOR, Valdemarin). Cuando se abrió la tienda y detecte el problema mandé varios notes (correo interno) a todos los responsables del canal de Ventas, Telecor, Opencor. El día 14 de Junio de 2012 aún no se había modificado. En sentencia de 3 de sept. 2012: párrafo 4°. texto transcrito del testigo y a su vez representante de TELECOR, MINISTERIO FISCAL. DICE: Por error aparecía el nombre de la demandante en el epígrafe razón social de datos del distribuidor en las solicitudes de portabilidad, circunstancia que en diversas ocasiones hizo saber la actora a su jefe inmediato el Sr. C.C.C. quien se lo transmitió a VODAFONE de quien depende la aplicación informática que se emplea para realizar esta solicitudes, corrigiéndose finalmente el problema en el mes de Marzo de 2012 * Conclusión: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 - Quien aporta los datos a VODAFONE, para su aplicación informática es TELECOR, por su puesto VODAFONE no es portadora ni sabedora de mis datos personales y menos del número de mi DNI para adjudicarlos EN SU APLICACIÓN para que aparezcan en los contratos que hace TELECOR con los clientes de Vodafone>> Aporta la denunciante copia de tres documentos de solicitud de portabilidad correspondientes a los DNI E.E.E., D.D.D. y G.G.G. de fechas 23/2/2012, 5/3/2012 y 14/4/2012, al pie de los cuales aparece un apartado dedicado al distribuidor, donde consta el CIF F.F.F., (que corresponde a TELECOR SA), la razón social del distribuidor, en donde aparece el nombre y apellidos de los denunciantes, y un apartado reservado a la persona de contacto, que aparece en blanco. Las tres solicitudes de portabilidad aparecen sin firmar. Aporta igualmente copia de una sentencia del Juzgado de lo Social nº 33 de Madrid en la que entre los hechos probados se reconoce que la denunciante estuvo contratada por TELECOR S.A. entre el 7/6/2010 y el 15/6/2012, consistiendo la actividad empresarial en la venta de productos de VODAFONE. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

1. Respecto de las pantallas en las que, según manifiesta la denunciante aparece su nombre, es práctica habitual que en los sistemas aparezca ya le identificador de usuario, ya el propio nombre de usuario, de forma que se pueda verificar que la identificación del usuario ha sido correcta. Además, en los sistemas de ventas en que parte del salario es por comisión, es particularmente importante que el usuario pueda verificar que la venta le es imputada a él y no a otro, lo que hace particularmente necesario el establecimiento de este mecanismo de verificación.
2. En fecha 23/7/2013 se realizó visita de inspección a VODAFONE durante la cual los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: 2.
3. Vodafone ha establecido un procedimiento para gestionar las altas y bajas de los comerciales que trabajan con sus distribuidores. 2.
4. Cada distribuidor tiene asignado un supervisor en Vodafone que es el encargado de solicitar los usuarios y contraseñas de sus comerciales para que tengan acceso a las aplicaciones necesarias para gestionar los distintos productos que ofrece Vodafone a sus futuros clientes. 2.
5. Por tanto, es el supervisor el encargado de dar de alta y baja a los comerciales en los puntos de venta facilitando a Vodafone el nombre, apellidos, NIE o NIF, teléfono de contacto y dirección de correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 2.
6. El supervisor, cuando recibe del gerente de un distribuidor una petición de alta para un comercial, se genera un usuario y contraseña que se comunica al gerente quien a su vez se la entrega al comercial. Esta contraseña es de un solo uso, en el momento en el que se conecta el comercial a la aplicación, ésta le fuerza al cambio de contraseña. 2.
7. En aquellos casos en los que se bloquea la contraseña el procedimiento es el mismo, se envía de nuevo al gerente una contraseña de un solo uso para que se lo entregue al comercial. 2.
8. Los comerciales tienen acceso a distintas aplicaciones de Vodafone que permiten entre otras, la gestión de altas, portabilidades y fidelizaciones. 2.
9. Cuando un comercial imprime los documentos asociados al alta de un nuevo cliente la información que aparece en las copias impresas tanto de solicitudes como en el contrato son los datos del distribuidor, nunca aparecen los datos personales del comercial. Estos datos se recuperan de los distintos sistemas que intervienen en la gestión concreta.
10. Los inspectores de la Agencia informan a Vodafone que el motivo de la inspección es debido a que en los contratos aportados por la denunciante aparece su nombre y apellidos en lugar de los datos de Telecor, nombre del distribuidor y que es el que debería aparecer.
11. Los inspectores de la Agencia solicitan al representante de VODAFONE ESPAÑA, S.A. que les permita el acceso a los sistemas al objeto de conocer los datos que aparecen en sistemas asociados a tres DNI que han sido facilitados por la denunciante como prueba de los hechos descritos. 4.
12. Se accede por el DNI “ E.E.E.” y se comprueba que actualmente en el contrato no consta información en el campo asociado al distribuidor. 4.
13. Se accede por el DNI “ D.D.D.” y se comprueba que actualmente en el contrato no consta información en el campo asociado al distribuidor. 4.
14. Se accede por el DNI “ G.G.G.” y se comprueba que actualmente en el contrato no consta información en el campo asociado al distribuidor.
15. Los inspectores solicitan información a los representantes de Vodafone sobre el motivo por el cual ahora no consta información asociada al distribuidor a lo que responden que en este momento se generan los contratos con la información disponible en los sistemas y que si la incidencia se solucionó, es lo que motiva el que ahora la información no aparezca.
16. Los inspectores solicitan acceso a la base de datos documental que almacena el contrato original firmado por sus clientes. 6.
17. Se accede por el DNI “ E.E.E.” y se comprueba que entre la documentación que figura en el sistema consta la misma solicitud de portabilidad aportada por la denunciante junto a su denuncia es decir, en el campo asociado al distribuidor consta en nombre de “ B.B.B.” y no el nombre del distribuidor “Telecor” que es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 el que debería figurar. Se comprueba que el documento aparece firmado. 6.
18. Se accede por el DNI “ D.D.D.” y se comprueba que entre la documentación que figura en el sistema no consta la solicitud de portabilidad. 6.
19. Se accede por el DNI “ G.G.G.” y comprueba que entre la documentación que figura en el sistema consta la misma solicitud de portabilidad aportada por la denunciante junto a su denuncia pero con el campo asociado al distribuidor en blanco y no el nombre del distribuidor “Telecor” que es el que debería figurar. Se comprueba que el documento aparece firmado.
20. Los inspectores informan a los representantes de Vodafone que la denunciante en juicio ordinario ha declarado que tal incidencia fue puesta en conocimiento de su gerente, quien a su vez se lo comunicó a Vodafone para que fuese subsanado. Asimismo se informa que la fecha en que se producen los hechos es de febrero, marzo y abril de
21. Asimismo, se solicita acceso al sistema de gestión de incidencias de Vodafone al objeto de conocer la incidencia que debió generarse por el asunto citado. 7.
22. Se realiza una búsqueda que arroja un gran número de resultados lo que ha motivado una imposible localización de la incidencia a pesar de filtrar por distintos parámetros de búsqueda.
23. Mediante escrito con entrada en fecha 2/8/2013 aporta VODAFONE documentación adicional que le fue requerida durante la inspección, de la que se desprende: 8.
24. Respecto a la solicitud a Vodafone de copia de las incidencias informadas por TELECOR respecto de la aparición del nombre del comercial en las solicitudes de portabilidad y fecha de las mismas, la entidad manifiesta: <<… tras analizar todo el listado de incidencias reportados por parte de TELECOR a Vodafone en un marco temporal aproximado a las fechas en las que fueron emitidos los contratos en los que consta el nombre de la comercial de TELECOR, no se ha localizado ninguna incidencia directa y de manera formal reportada en estos términos. Sin embargo y dada la relación continua y directa entre las partes, con total certeza dicha comunicación pudo hacerse de manera verbal entre los comerciales que gestionan la relación TELECOR y Vodafone. Que dicha circunstancia fue reportada por TELECOR a Vodafone en todo caso tuvo lugar ya que como la Agencia ha comprobado a través de la inspección llevada a cabo el pasado día 23 de julio los datos de la Sra. B.B.B. ya no aparecen donde habían aparecido previamente al cargarse los mismos contratos.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 8.
25. Respecto de la solicitud de copia de la información que acredite la solución adoptada por parte de VODAFONE y fecha de la misma, informa la entidad:. <<… no ha sido posible averiguar la fecha exacta en la que se adoptó la solución que supuso que el nombre y apellido de la comercial dejara de aparecer en el contrato emitido, si bien, sí es posible confirmar la solución del mismo en tanto que como se ha podido comprobar por parte de la Agencia ya no aparece esa información en los contratos.>> 8.
26. Desea VODAFONE poner de manifiesto que: <<…el hecho de que los datos (nombre y apellidos) de la Sra. B.B.B. aparecieran en los contratos de VODAFONE gestionados y emitidos por parte de TELECOR era consecuencia de la relación laboral existente entre esta Sra. y TELECOR y en todo caso, actuando en su calidad de comercial y representante, en ese momento, y para ese acto, de TELECOR. Por lo tanto, eran datos, los de la Sra. B.B.B. que aparecía únicamente en su condición de comercial y empleada de la empresa TELECOR en ese momento, y en virtud de la gestión de las contrataciones para las que fueron impresos tales contratos. Que el artículo 2.2 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD, establece que “este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales’ En este caso es público y notorio que los datos (únicamente nombre y apellidos) que aparecían en los contratos constaban en ficheros de la empresa TELECOR y aparecían dado que la Sra. B.B.B. en ese momento estaba prestando sus servicios en TELECOR en su calidad de comercial. Por ello, en el presente caso, se han tratado los datos de la Sra. B.B.B. únicamente en su condición de persona física que prestaba sus servicios en TELECOR y únicamente en el ámbito de sus funciones, esto es, comercial de dicha empresa.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 II El artículo 10 de la Ley Orgánica 15/1999, bajo la rúbrica “Deber de secreto” establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El principio de seguridad de los datos, del que se ocupa el artículo 9 precitado, impone al responsable del fichero al que se incorporan datos personales la obligación de adoptar las medidas de índole técnica y organizativa que la garanticen, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. La vulneración de este principio se encuentra tipificada como infracción grave en el artículo 44.3.h) de la LOPD. El artículo 10 de la LOPD garantiza el deber de secreto, que comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo la obligación “de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Esta obligación es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este principio de protección de datos es esencial en las sociedades actuales, cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales como la intimidad o el derecho a la protección de los datos que proclama el artículo 18.4 de la Constitución Española. La LOPD tipifica como infracción grave en el artículo 44.3.d) la infracción del deber de secreto. III En el caso que nos ocupa la denunciante pone de manifiesto que TELECOR incumple el deber de secreto recogido en el artículo 10 de la LOPD, en la medida en que revela sus datos en las solicitudes de portabilidad que se realizan en dicha entidad, ya que aparece su nombre y apellidos en el apartado de “razón social” en los datos del distribuidor. De las actuaciones de investigación practicadas por esta Agencia ante VODAFONE (de quien depende la aplicación informática que se emplea para realizar las solicitudes de portabilidad) se ha podido comprobar que en dichas solicitudes, como datos del distribuidor se incluyen el CIF, la razón social, persona de contacto, fax y teléfono. Todos los datos están cumplimentados correctamente, haciendo referencia a TELECOR, salvo el de razón social, en que aparece el nombre de la denunciante, y la persona de contacto, que está en blanco. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Las solicitudes de portabilidad aportadas por la denunciante y por VODAFONE en las que aparece el nombre y apellidos de la denunciante son de febrero, marzo y abril de
27. En estas fechas la denunciante era comercial y representante de TELECOR, y prestó sus servicios desde el 7 de julio de 2010 hasta el 15 de julio del 2012 En base a los hechos descritos, podemos determinar que no hubo por parte de TELECOR ni de VODAFONE revelación de datos de la denunciante, en la media en que ésta era trabajadora y persona de contacto de la distribuidora TELECOR en el momento de la gestión de las solicitudes de portabilidad, por lo que, aunque la casilla no era la correspondiente puesto que figuraba en el espacio de “razón social” en lugar de “persona de contacto”, su nombre y apellidos se incluirían igualmente como representante y persona que gestiona las portabilidades (“persona de contacto”). IV Respecto al uso de su nombre y DNI para entrar en los programas de acceso a los contratos que se realizan con VODAFONE, cabe señalar que el Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre establece en su artículo 93, respecto a las medidas de seguridad aplicables a ficheros y tratamientos automatizados: <<1 El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2 El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado.>> El uso del propio DNI como identificador de usuario es una de las posibles formas de cumplir con lo establecido en este artículo. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
28. PROCEDER AL ARCHIVO de las presentes actuaciones.
29. NOTIFICAR la presente Resolución a VODAFONE ESPAÑA, S.A.U.. y a Dª B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción introducida por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es