1/19 Expediente Nº: E/09147/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, reclamante), con fecha 29 de julio de 2020, interpuso reclamación ante la Agencia Española de Protección de Datos (número de registro de entrada 026921/2020) por la recepción de llamadas comerciales no deseadas en nombre del VODAFONE ESPAÑA, S.A.U. (en adelante, reclamado), en los siguientes términos: El número de teléfono en el que recibe las llamadas, ***TELÉFONO.1, se encuentra registrado en el sistema de exclusión publicitaria responsabilidad de la Asociación Española de la Economía Digital (en adelante lista Robinson). El día 19 de junio de 2020 recibió dos llamadas, a las 13:53 y a las 15:21 horas, procedentes del número de teléfono ***TELÉFONO.
(30)días. La autorización de VODAFONE quedará automáticamente revocada en relación con aquel/aquellos subencargado/os que el COLABORADOR no incluya en la citada certificación o declaración responsable. Para la incorporación de nuevos subencargados de tratamiento durante la vigencia del contrato, será requisito indispensable que el COLABORADOR entregue a VODAFONE la certificación o declaración responsable referida en el mismo momento de solicitar la autorización C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 para que éste pueda autorizar expresamente y por escrito, en su caso, la subcontratación de los servicios a terceros colaboradores para el desarrollo de los servicios objeto del presente contrato.” “VODAFONE aceptará cuantas altas de Clientes en Servicios que se hayan realizado a través del COLABORADOR de conformidad con el procedimiento de validación de Clientes, cuyos mínimos se describen en el presente contrato. En cualquier caso, el COLABORADOR deberá comprobar y cumplimentar en el contrato los datos del Cliente para proceder a la contratación de los Servicios, sin que quepa duda razonable sobre su personalidad, capacidad y acreditación para contratar.” “El COLABORADOR deberá informar a VODAFONE en todo momento de todos aquellos números de teléfono que tanto el COLABORADOR como sus terceros colaboradores utilicen para contactar con Clientes o posibles Clientes de VODAFONE en el desarrollo de la actividad objeto del presente contrato. En este sentido, la utilización de números de teléfono no informados previamente a VODAFONE será entendido como un incumplimiento del contrato. VODAFONE se reserva el derecho a comprobar que las ventas efectuadas se realicen a través de sistemas de marcación que garanticen el cumplimiento de la normativa de protección de datos de todas las llamadas efectuadas por el COLABORADOR a sus bases de datos, excluyendo aquellas que no se hayan hecho a través de estos sistemas del derecho a obtener el correspondiente incentivo económico tal y como se establece en las condiciones económicas pactadas entre las Partes.” “En todo caso el COLABORADOR se obliga a la observancia de cuantas disposiciones sean de aplicación a la actividad que desarrolla y a los recursos que emplea para la misma, y en concreto se obliga a cumplir, como obligación esencial, la normativa, las políticas de VODAFONE y demás procedimientos que se detallan en la cláusula 6.1, Anexos III y Anexo IV del presente contrato, comprometiéndose al estricto cumplimiento de la política anticorrupción de VODAFONE como de la normativa vigente en materia de protección de datos y de consumidores que le obliga a él mismo, así como a todos sus empleados, colaboradores y/o subcontratistas, en su caso, a cumplir los más altos estándares legales y de ética en la realización del objeto del presente contrato.” “Sin perjuicio de lo dispuesto en la cláusula 5.1. del presente contrato y, como consecuencia de la prestación de los servicios que constituyen el objeto del presente contrato, el COLABORADOR en el momento en el que efectúe las contrataciones de los Servicios de VODAFONE, procederá a recabar ciertos datos de carácter personal de las personas que, a través suya o de sus colaboradores, de conformidad con la cláusula 6.1 del presente contrato, contraten los Servicios de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 VODAFONE. Para ello, podrá acceder a los sistemas de VODAFONE con el fin de gestionar las altas de Clientes efectuadas. Por este motivo y de conformidad con la normativa vigente, el COLABORADOR tendrá la consideración de encargado del tratamiento para la gestión de las altas de Clientes en los sistemas de VODAFONE, debiendo formalizar para tal fin el Acuerdo estándar de tratamiento de datos que se adjunta como Anexo IV, a través del cual se recogen sus obligaciones en esta materia. En el caso de que el COLABORADOR subcontrate los servicios a subcolaboradores de cualquier tipo que deban acceder a datos personales de Clientes de VODAFONE o a sistemas de VODAFONE, los mismos deberán ser autorizados previamente por VODAFONE debiendo cumplir el COLABORADOR estrictamente con lo establecido en la cláusula 6.1 y el Anexo IV de este contrato.” “EL COLABORADOR mantendrá indemne a VODAFONE de cualquier perjuicio derivado del incumplimiento por parte del COLABORADOR o de sus terceros colaboradores, de cualquiera de las obligaciones previstas en la presente cláusula o en los anexos del presente contrato, y en particular por cualquier sanción impuesta por la Agencia Española de Protección de Datos.” El anexo II del contrato, titulado “TERCEROS COLABORADORES”, no contempla ningún colaborador (“Sin colaboradores”). El anexo IV refiere el “ACUERDO DE TRATAMIENTO DE DATOS PERSONALES DE VODAFONE” entre el reclamado y ThreeQ de aplicación al tratamiento de datos personales cuya finalidad es el Alta de productos y servicios Vodafone. ThreeQ realiza, con fecha de 24 de mayo de 2021 (escrito con número de registro de entrada en la AEPD O00007128e2100023277), las siguientes manifestaciones con relación a este caso: “A raíz del procedimiento con número de E/08519/2019, Vodafone implantó las siguientes medidas: Expediente Nº: Obligar a todos los colaboradores a que emitan llamadas desde numeraciones de VODAFONE, para poder filtrar con las listas Robinson las bases de datos de destinatarios de la campaña. Realizar un desarrollo para que el proveedor pueda cotejar antes de la carga de la venta en los sistemas, que ha habido una llamada de un número autorizado de la agencia al cliente potencial. De esta manera, no puede darse el caso de que lleguen a cargarse ventas que provengan de llamadas que no se han hecho desde las numeraciones de VODAFONE. Así se puede asegurar que todo el tráfico está controlado y que cumple con los requisitos dictados por VODAFONE. Para ello, VODAFONE nos obligó a suscribir un contrato con la empresa OASIP SERVICIO INTEGRAL DE COMUNICACIONES S.L, se adjunta como Anexo I (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 adelante OASIP) que es la suministradora de la [sic] soluciones de Voz Ip y filtrado a través de los ficheros de exclusión publicitaria. Sin dicho contrato la compañía telefónica no autoriza la subcontratación de los tratamientos de televenta. Por otra parte, la propia VODAFONE estableció un mecanismo añadido al descrito anteriormente de consulta de numeraciones a las que no se debe realizar una llamada denominada “DrTool” la cual empezó a funcionar en octubre de 2020. Dicha herramienta obliga a todo colaborador a subir de forma previa el listado de potenciales llamadas a realizar para excluir aquellos números que la propia compañía tiene anotados en una lista de exclusión publicitaria. Cuando la información ya se ha consultado, se devuelve un listado con los números aceptados para realizar la llamada a través del sistema de voz ip proporcionado por la empresa OASIP. A través de este procedimiento VODAFONE asegura que las llamadas que se realizan son lícitas y no se realizan a ningún número [sic] que se encuentre en listas de exclusión publicitaria ni a números que han manifestado directamente a VODAFONE que no desean recibir más publicidad. Se aportan como Anexo II copia de los correos electrónicos donde se detalla el inicio de los procedimientos descritos, así como diferentes instrucciones indicadas por VODAFONE para la utilización de los mismos. Por otra parte, se adjunta como Anexo III copia del contrato con RYV CALL CONECTION, EIRL donde se actualizó sus obligaciones como encargados del tratamiento. […] Destacar que nuestra entidad tiene resuelto el contrato de prestación de servicios con VODAFONE por lo que a día de hoy no tiene ninguna subcontratación vigente. No obstante, a pesar de lo anterior, se remite el último listado completo de colaboradores remitidos a VODAFONE como anexo IV. Destacar que el interlocutor de VODAFONE, B.B.B., es quien nos solicitaba copia de los contratos de los colaboradores con los que trabajamos y en ningún caso nunca manifestó que debiéramos dejar de trabajar con alguno de los colaboradores. Además, desde OASIP, VODAFONE tiene acceso a los números de llamada asignados a cada uno de los colaboradores. Por tanto, la autorización siempre fue tácita, ya que a pesar de que VODAFONE tenía constancia de nuestra red de colaboración nunca manifestó oposición alguna.” C/ Jorge Juan, 6 28001 – Madrid Adjunta, documento anexo I, copia del contrato suscrito el 14 de noviembre de 2019 entre Oasip y ThreeQ. En el mismo no se menciona la responsabilidad sobre la aplicación sobre el filtrado de numeraciones en base a las listas Robinson facilitadas por Vodafone. Como objeto del contrato consigna el siguiente (entiéndase a estos efectos ThreeQ por “EL CLIENTE”): www.aepd.es sedeagpd.gob.es 14/19 “Por el presente contrato, EL CLIENTE, podrá acceder a los servicios que comercializa OASIP que permite cursar todo su tráfico telefónico, así como los servicios de centralita virtual descritos en el Anexo I. Así mismo, en la medida que se vayan implantando, el usuario podrá acceder a otros servicios adicionales en las condiciones y precios que en su caso se fijen.” Adjunta, documento Anexo II, un conjunto de correos electrónicos intercambiados en relación con la puesta en marcha de las medidas que habría establecido Vodafone. Se resumen brevemente a continuación: o o o Correo electrónico del 23 de octubre de 2019 enviado desde la dirección ***EMAIL.1 en el que solicita que, “como máximo el día 15 de noviembre, toda la estructura comercial que realice llamadas lo haga a través de troncales que dispongan del filtro de listas robinson de Vodafone”. Correos electrónicos del 24 de octubre y 18 de noviembre de 2019 enviados desde la dirección ***EMAIL.2 con el asunto “Calendario filtrado robinson” en los que se planifica la puesta en marcha de las medidas dictadas por Vodafone. Correo electrónico del 20 de enero de 2020 enviado por C.C.C. en el que se señala que la nueva operativa de Vodafone entraría en vigor el 27 de enero de 2020. Añade que “Los que no estéis dentro de esta nueva operativa no podréis gestionar ventas en el canal de Vodafone, ni aquí ni en ningún otro distribuidor.” Adjunta, documento anexo III, copia del “ANEXO I – ACUERDO PARA EL TRATAMIENTO DE DATOS PERSONALES” suscrito el 29 de octubre de 2019 entre ThreeQ y Ryv (referido en el documento como “EL COLABORADOR”). Este documento incorpora, entre otra, la siguiente información: “(A) Que de conformidad con lo establecido en la cláusula 13 del Contrato de Prestación de Servicios del que este anexo trae causa, en relación con la clausula 13 del Contrato entre THREEQ y Vodafone, el Encargado de tratamiento deberá cumplir con las obligaciones que se recogen en el presente Anexo. (B) Que EL COLABORADOR para el desempeño de sus servicios actuará bajo la condición de Encargado de Tratamiento, puesto que tratará Datos Personales, en nombre y por cuenta de THREEQ y/o Vodafone.” “1.4. EL COLABORADOR realizará su actividad comprometiéndose a: 1.4.1. Utilizar los datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
- a)Figuren en alguna de las fuentes accesibles al público consideradas en la normativa y el interesado no haya manifestado su negativa u C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado. Debe entenderse como Fuentes accesibles al público las guías de servicios de comunicaciones electrónicas, en los términos previstos por su normativa específica; y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicación de su pertenencia al grupo. La dirección profesional podrá incluir los datos del domicilio postal completo, número telefónico, número de fax y dirección electrónica.
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.
- c)No estén incluidos en servicios de exclusión publicitaria de consumidores como la Lista Robinson u otros servicios o listas análogos.” “1.4.4. Para poder ejecutar los servicios descritos en el presente contrato, el Colaborador deberá realizar todas las llamadas a través de servicios de Voz Ip facilitadas por la empresa OASIP.” “7.1. En el caso de que el tratamiento de datos efectuados por EL COLABORADOR se realice fuera del territorio de la Unión Europea, éste deberá formalizar las cláusulas tipo de transferencia internacional de datos recogidas en el “Apéndice 3”.” Adjunta, documento anexo IV, correo electrónico del 28 de mayo de 2020 en el que se listan los colaboradores de ThreeQ con inclusión de Ryv. Con fecha de 6 de mayo de 2021 se remite solicitud de información a Ryv en relación con las llamadas objeto de investigación en el presente informe sin que se haya obtenido respuesta. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el artículo 84.3) de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo, LGT), la competencia para resolver el presente Procedimiento corresponde a la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 II De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. III La LGT se ocupa en el Título III, Capítulo V, de los “Derechos de los usuarios finales” y les otorga, entre otros, el derecho a oponerse a las llamadas no deseadas con fines comerciales. Así, el artículo 48 de la LGT, bajo la rúbrica “Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas”, dispone, en su apartado 1, lo siguiente: “1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones electrónicas tendrán los siguientes derechos:
- a)A no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de comunicación comercial sin haber prestado su consentimiento previo e informado para ello.
- b)A oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a ser informado de este derecho.” IV En relación con las llamadas telefónicas, se regula el ejercicio del derecho de oposición en el artículo 21 del RGPD, donde se establece que: “1. El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras
- e)o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones. 2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. 3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas. 6. Cuando los datos personales se traten con fines de investigación científica o histórica o fines estadísticos de conformidad con el artículo 89, apartado 1, el interesado tendrá derecho, por motivos relacionados con su situación particular, a oponerse al tratamiento de datos personales que le conciernan, salvo que sea necesario para el cumplimiento de una misión realizada por razones de interés público.” En relación con los sistemas de exclusión publicitaria, el artículo 23 de la LOPDGDD señala lo siguiente: “Artículo 23. Sistemas de exclusión publicitaria. 1. Será lícito el tratamiento de datos personales que tenga por objeto evitar el envío de comunicaciones comerciales a quienes hubiesen manifestado su negativa u oposición a recibirlas. A tal efecto, podrán crearse sistemas de información, generales o sectoriales, en los que solo se incluirán los datos imprescindibles para identificar a los afectados. Estos sistemas también podrán incluir servicios de preferencia, mediante los cuales los afectados limiten la recepción de comunicaciones comerciales a las procedentes de determinadas empresas. 2. Las entidades responsables de los sistemas de exclusión publicitaria comunicarán a la autoridad de control competente su creación, su carácter general o sectorial, así como el modo en que los afectados pueden incorporarse a los mismos y, en su caso, hacer valer sus preferencias. La autoridad de control competente hará pública en su sede electrónica una relación de los sistemas de esta naturaleza que le fueran comunicados, incorporando la información mencionada en el párrafo anterior. A tal efecto, la autoridad de control competente a la que se haya comunicado la creación del sistema lo pondrá en conocimiento de las restantes autoridades de control para su publicación por todas ellas. 3. Cuando un afectado manifieste a un responsable su deseo de que sus datos no sean tratados para la remisión de comunicaciones comerciales, este deberá informarle de los sistemas de exclusión publicitaria existentes, pudiendo remitirse a la información publicada por la autoridad de control competente. 4. Quienes pretendan realizar comunicaciones de mercadotecnia directa, deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuación, excluyendo del tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa al mismo. A estos efectos, para considerar cumplida la obligación anterior será suficiente la consulta de los sistemas de exclusión incluidos en la relación publicada por la autoridad de control competente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 No será necesario realizar la consulta a la que se refiere el párrafo anterior cuando el afectado hubiera prestado, conforme a lo dispuesto en esta ley orgánica, su consentimiento para recibir la comunicación a quien pretenda realizarla.” V A través de las actuaciones realizadas por esta Agencia se constató, en las alegaciones de la reclamada, que los números llamantes que la reclamante indica en su denuncia constan en su base de datos de números telefónicos que usan sus colaboradores para realizar llamadas de captación y han verificado que se encuentran asociados un encargado del tratamiento de la entidad reclamada (***TELÉFONO.2 y ***TELÉFONO.3). En relación con la reclamación ahora presentada y admitida a trámite por esta Agencia, le informamos de la incoación del procedimiento sancionador de referencia nº PS/00059/2020 contra la reclamada. Asimismo, le comunicamos que con fecha 11 de febrero de 2021 se ha dictado la resolución del procedimiento, que ha sido publicada en la página web de la Agencia http://www.aepd.es. En la citada resolución se hace constar que “…Los hechos expuestos, suponen la comisión por parte de VDF, de una infracción del artículo 48.1.
- b)de la Ley LGT, recogido en su Título III, que señala del derecho: (…)
- b)A oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a ser informado de este derecho”. Si bien, el citado artículo no configura de forma explícita tal derecho, se debe acudir a las normas de protección de datos ya indicadas en los Fundamentos anteriores en las que se regula el derecho de oposición: artículo 21 del RGPD, y artículo 23 de la LOPDGDD. Esta Infracción se encuentra tipificada como “grave”, en el artículo 77.37) de dicha norma, que considera como tal: “37. La vulneración grave de los derechos de los consumidores y usuarios finales, según lo establecido en el título III de la Ley y su normativa de desarrollo”. pudiendo ser sancionada con multa de hasta 2.000.000 €, de acuerdo con el artículo 79.1.
- c)de la citada LGT.” De esta forma, se da cumplimiento a lo establecido en el art. 77.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos), que establece que la autoridad de control ante la que se haya presentado la reclamación informará al reclamante sobre el curso y el resultado de la reclamación. Finalmente, el artículo 31 de la Ley 40/2015, de Régimen Jurídico del Sector Público, sobre la concurrencia de sanciones, establece: “1. No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y fundamento.” A la vista de lo expuesto, consta acreditado por la reclamada que “…los números llamantes (…) constan en nuestra base de datos de números telefónicos que usan nuestros colaboradores para realizar llamadas de captación…” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 Por tanto, conforme a lo señalado, la Directora de la Agencia Española de Protección de Datos, ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente Resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 897-150719 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es