E-08118-2015

1/8 Expediente Nº: E/08118/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas [de oficio] por la Agencia Española de Protección de Datos ante la entidad VODAFONE ONO, S.A.U. en virtud de denuncia presentada por Don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 3 de noviembre de 2015, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) contra la entidad VODAFONE ONO, S.A.U. en lo sucesivo la denunciada) en el que denuncia de manera sucinta lo siguiente: “El día 13 de octubre del año 2015 compré un móvil en el área de clientes de ONO (…) pagando con tarjeta de crédito 199,00 después al no tener confirmación del pedido llamé al servicio de atención al cliente de ONO y me redactaron una reclamación (…). A finales del día 15/10/2015 y también el día 21 me llegaron correos supuestamente de ONO en el cual parece una comunicación de un intento de fraude (…)”—folio nº 1--. Mediante correo electrónico de fecha 10/3/2016 aporta nueva documentación. Aporta copia de la siguiente documentación: - Correo electrónico de fecha 15/10/2015 remitido desde Vodafone Ono (.........@hotmail.com) con destino a la cuenta ........1@hotmail.com en que se le da una serie de información personal y se le solicita una fotocopia de la tarjeta de crédito o todos los datos de la misma (incluido CVS). Aporta igualmente las cabeceras del correo electrónico. - Correo electrónico de fecha 16/10/2015 remitido desde la cuenta ........1@hotmail.com en que el denunciante retransmite a ONO (protecciondatos@ono.

1. es)el correo electrónico del 15. - Correo electrónico de fecha 20/10/2015 remitido desde Ono (.........@hotmail.com) con destino a ........1@hotmail.com en que se reitera la solicitud de información del día 15. Aporta las cabeceras del correo electrónico. - Escrito de fecha 10/11/2015 de la Junta Arbitral de Consumo de Terrasa en que el denunciante comparece ante la misma y presenta solicitud de arbitraje por los mismos hechos. - Documento fechado el 23/10/2015 titulado “EXTRACTO GLOBAL” de la cuenta del denunciante en SFC donde consta una operación de fecha 13/10/2015 por importe de 199,00 € en concepto de “VODAFONE ONO SAU”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 1. Del análisis del correo electrónico de fecha 15/10/2015 recibido por el denunciante así como de sus cabeceras, se desprende: a. El correo fue remitido en fecha 22/10/2015 (23:06) desde la dirección de correo .........@hotmail.com con destino a la dirección del denunciante ........1@hotmail.com con el asunto Verificación de Pagos Vodafone – ONO. En el cuerpo del mensajes se informa: <<Este comunicado es para informarle que hemos recibido su pago por intermedio de tarjeta de crédito para la compra de un terminal movil IPHONE 6S COLOR ROSA, pero por seguridad debemos tomar unas medidas para hacer efectivo dicho pago, a continuación le enviamos una información la cual deseamos que nos confirme por este mismo medio. -DATOS DEL CLIENTE: DNI: ***DNI.1 DIRECCIÓN: (C/...1) CÓDIGO POSTAL: ***CP.1 LOCALIDAD: TERRASSA PROVINCIA: BARCELONA NUMERO MOVIL: ***TEL.1 EMAIL: ....@yahoo.es -DATOS DEL PAGO REALIZADO: MOTIVO: PAGO INICIAL DE FINANCIACIÓN DE TERMINAL MOVIL IPHONE 6S FECHA DE PAGO: 13 DE OCTUBRE DE 2015 INFORMACIÓN DE FORMA DE PAGO: PAGO REALIZADO VERIFICAR) POR TARJETA DE CRÉDITO (PENDIENTE DE NOMBRE DEL TITULAR DE LA TARJETA: (COMO APARECE EN LA TARJETA) TIPO DE TARJETA: (VISA, MASTERDARD, ETC) NUMERO DE TARJETA: (NUMERO DE 16 DÍGITOS) XXXX XXXX XXXX XXXX FECHA DE VENCIMIENTO DE LA TARJETA: (ES UN MES Y AÑO UBICADO BAJO EL NUMERO DE LA TARJETA) CÓDIGO CVC: (NUMERO DE 3 DÍGITOS UBICADO EN LA PARTE DE ATRÁS DE LA TARJETA) Estimado cliente, lo que necesitamos es que por favor verifique esta información y compruebe si los datos son correctos, por otro lado respecto a la INFORMACIÓN DE FORMA DE PAGO, necesitamos que nos complete esa información, para de esa forma validar el pago realizado por usted, cumplimente el formulario con cada dato que se le solicita tal y como aparece en su tarjeta de crédito y reenviemos esa información a este correo electrónico, una vez C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 recibamos esta información confirmaremos todos los datos y si están correctos en un término máximo de 9 días recibirá su pedido a su domicilio, de lo contrario le estaremos pidiendo información adicional, por lo tanto le pedimos estar pendiente de este medio en caso de necesitar más información de su parte. De antemano le pedimos disculpas por las molestias ocasionadas. NOTA: SI POR ALGÚN MOTIVO NO SABE CUMPLIMENTAR LOS DATOS DE LA TARJETA DE CRÉDITO, LO ÚNICO QUE DEBE HACER ES TOMAR UNA FOTO CON SU TELÉFONO MÓVIL POR AMBOS LADOS DE LA TARJETA DE CRÉDITO Y ENVIARNOS LAS IMÁGENES A ESTE MISMO CORREO ELECTRÓNICO. .........@hotmail.com LE INFORMAMOS QUE SI TIENE ALGUNA DUDA RESPECTO A ESTE PROCESO DEBE COMUNICARLA POR ESTE MISMO MEDIO, PUES SOMOS DE UN ÁREA ESPECIALIZADA LA CUAL NO SE TIENE ACCESO POR LAS LINEAS DE ATENCIÓN AL CLIENTE. gracias por su atención, esperamos que nos envié la información solicitada lo mas pronto posible. B.B.B. Asesor Área de Verificación de Pagos .........@hotmail.com VODAFONE - ONO>> b. Del análisis de las cabeceras del correo electrónico se obtiene que el origen del mismo fue la IP ***IP.1, ubicada en EEUU, y correspondiente a los servidores de Hotmail, cuya titularidad corresponde a Microsoft Corp. 2. Solicitada información a SERVICIOS FINANCIEROS CARREFOUR EFC SA, (en adelante SFC) de la respuesta recibida se desprende: a. Aporta la entidad el documento de solicitud de operación no autorizada o retroceso de fecha 22 de octubre de 2015, por el que el denunciante, solicitó el retroceso de la operación realizada con su Tarjeta PASS Carrefour en el comercio online de Vodafone ONO S.A.U., en fecha 13 de octubre de 2015 por importe de 199,00 €. El documento coincide con el aportado por el denunciante. b. Informa SFC que solicitó el retroceso de la operación en fecha 27 de octubre de 2015, siendo anulada directamente por el comercio en fecha 11 de noviembre de 2015. 3. En fecha 29 de septiembre de 2016 se realizó visita de inspección a ONO, durante la cual los inspectores de la Agencia solicitaron al representante de la entidad que les permita el acceso a sus sistemas de información donde se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 realizan las siguientes comprobaciones: a. Se realiza una consulta respecto del DNI ***DNI.1 encontrándose que está asociado a D. A.A.A. del que consta que se ha dado de baja de los servicios de ONO en los servicios de telefonía fija el 5/11/2015 y en los servicios de telefonía móvil el 29/10/2015. Se aprecia que el cliente tiene asociados los identificadores de cliente ***DNI.2 y ***DNI.3. b. Se realiza una búsqueda en las interacciones realizadas por D. A.A.A. encontrándose múltiples interacciones, de las que se consideran relevantes: - En fecha 15/10/2015 figura una llamada entrante con identificador ***DNI.4 en la que únicamente consta el número de teléfono del afectado. - En fecha 16/10/2015 figura una llamada entrante en la que el cliente afirma que hizo una compra de un terminal por área de cliente, pero no aparece reflejado en el sistema. Informa igualmente que le están pidiendo fotocopia de la tarjeta bancaria por correo electrónico, que el cliente indica que parece fraudulento. - En fecha 16/10/2015 se recibe un fax en el que se reclama el pago de 199 € de pago inicial por terminal iPhone. Consta que se verifica que el cliente no tiene orden en el sistema y no consta el pago. - En fechas 17, 19, 21 y 23 existen más incidencias en que se insiste en lo mismo. - Finalmente, el día 23 el cliente pide la baja. - En fechas 23, 27 se le intenta retener y contactar con motivo de la portabilidad. - Consta el abono realizado el 11/11/2015 de 199 € por el comercio “CABLEUROPA SAU-ONO” y código de comercio ********. - En fecha 15/12/2015 se registra que el cliente reclama la devolución de 199 € por la compra de un terminal. Se registra igualmente la entrada de una reclamación a través de la Junta Arbitral del Consumo. - Consta en fecha 17/12/2015 una anotación según la cual se ha verificado que no consta en sistemas el registro del pago por importe de 199 €, pese a que el cliente aporta comprobante del pago y que se comprueba que en fecha 11/11/2015 se realizó la devolución. c. Se realiza una consulta en el sistema de gestión de compras a través de la web respecto de los identificadores de cliente, encontrándose información únicamente respecto del identificador ***DNI.2, en que aparece una única venta de fecha 20/8/2014 de un terminal Nokia Lumia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 4. Los representantes de ONO realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. El cliente presentó una reclamación a través de la Junta Arbitral de Consumo, con salida de la misma el día 17/11/2015, recibido el 14/12/201. Se dio respuesta a Consumo no aceptando el arbitraje por ser la reclamación de fecha anterior a la fecha de adhesión a la Sistema Arbitral de Consumo, por lo que fue archivada por Consumo. b. Pese a ello, la reclamación se gestionó directamente con el cliente, y se remitió una carta por medio de la cual se le informaba que se le había realizado el abono. c. Respecto de lo que ha ocurrido en el presente caso, no consta a la entidad ningún pedido en octubre 2015 del denunciante. d. Respecto de la cuenta de correo electrónico .........@hotmail.com no la reconocen como propia de ONO, pues disponen de dominio propio ono.es que es el que utilizan para las cuentas de correo electrónico de la entidad. Respecto del nombre que aparece en el correo electrónico aportado por el denunciante, B.B.B., no les consta como trabajador de la entidad y desconocen si existe dicha persona en alguna de las muchas plataformas externas con las que se contratan servicios. e. El departamento de Seguridad de ONO informa que no les consta que en octubre de 2015 se estuviese sufriendo un ataque de phising a la entidad. f. Se realizó la devolución de 199 € al cliente sin constarle que se realizase el pago, por atención comercial. 5. Información a tener en cuenta, en su caso, para la graduación de la sanción: - Carácter continuado de los hechos constatados: se trata de un caso aislado. - Volumen de los tratamientos efectuados: un solo caso. - Beneficios obtenidos como consecuencia de la comisión de los hechos investigados: al contrario, la entidad ha tenido un perjuicio. - El grado de intencionalidad: no la hay. - Naturaleza de los perjuicios causados a las personas interesadas o a terceras personas: molestias recibidas por el denunciante. - Regularización de la situación irregular de forma diligente: el importe fue devuelto al denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso, se procede a examinar la DENUNCIA con fecha de entrada en esta Agencia—03/11/2015—en dónde el epigrafiado traslada los siguientes hechos: “El día 13 de octubre del año 2015 compré un móvil en el área de clientes de ONO (…) pagando con tarjeta de crédito 199,00 después al no tener confirmación del pedido llamé al servicio de atención al cliente de ONO y me redactaron una reclamación (…). A finales del día 15/10/2015 y también el día 21 me llegaron correos supuestamente de ONO en el cual parece una comunicación de un intento de fraude (…)”—folio nº 1--. Los “hechos” se concretan en la sospecha del denunciante de una cesión sin su consentimiento de sus datos de carácter personal a terceros, afectando a su derecho a la protección de sus datos de carácter personal. Con relación a la falta de respuesta de la entidad denunciada frente a las reclamaciones del afectado, cabe indicar que el mismo ostenta derechos como usuario (RDL 1/2007, 16 de noviembre) pudiendo trasladar estos mismos hechos a la autoridad pública competente en la materia (vgr. OMIC de su Ayuntamiento, etc), sin perjuicio de las responsabilidades penales y/o civiles que pudieran derivarse. Desde el punto de vista de protección de datos, la entidad denunciada alega en escrito de fecha 01/07/2016 lo siguiente: “A este respecto, se adjunta como Anexo nº 2, el documento de solicitud de operación no autorizada o retroceso de fecha 22 de octubre de 2015, por el que el interesado cliente de esta Entidad, solicitó el retroceso de la operación realizada con su Tarjeta PASS Carrefour en el comercio on line de Vodafone ONO S.A.U en fecha 13/10/2015, por importe de 199,00€”. “Esta entidad solicitó el retroceso de la operación en fecha 27 de octubre de 2015, siendo anuladas directamente por el comercio en fecha 11 de noviembre de 2015”. El artículo 9 LOPD (LO 15/99) establece que: “El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”. En el correo recibido a la dirección mail del denunciante no consta la referencia “ono.es” asociada a la entidad denunciada, sino una dirección asociada a la cuenta “hotmail.com” sin relación alguna con la entidad denunciada, lo que muestra un supuesto intento fraudulento por hacerse con datos asociados al denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Item, la persona que aparece en el mail—Don B.B.B.—no ha sido reconocido como personal al servicio de la entidad denunciada, sin que conste vinculación jurídica al respecto. De manera que se puede deducir de los “hechos” expuestos que la propia entidad denunciada ha podido ser víctima de la actuación fraudulenta de un tercero de mala fe, sin que conste acreditado que los sistema de seguridad en materia de protección de datos implementados hayan sido ineficaces, por lo que no se puede considerar que la misma haya actuado con dolo y/o negligencia culposa (elemento subjetivo de la culpabilidad) en el tratamientos de los datos de carácter personal del denunciante. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). De acuerdo con los “hechos” expuestos no consta acreditada la comisión de infracción administrativa alguna en el marco de la LOPD, motivo por el que procede ordenar el ARCHIVO del presente procedimiento, sin perjuicio de la valoración de los mismos por los órganos del orden jurisdiccional penal. Finalmente, recordar que el denunciante puede ejercitar el derecho de cancelación (art. 16 LOPD) de sus datos de carácter personal a la entidad denunciada, mediante solicitud en legal forma, una vez haya cesado cualquier tipo de relación contractual con la misma. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a VODAFONE ONO, S.A.U. y a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid Don www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal.” Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es