E-09976-2020

1/8  Procedimiento Nº: E/09976/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14/09/2020, A.A.A. (en adelante, el reclamante) interpuso reclamación ante esta AEPD contra VODAFONE ESPAÑA, S.A.U., con NIF A80907397 (en adelante, el reclamado), por la recepción de llamadas comerciales no consentidas del reclamado. El reclamante manifiesta lo siguiente: No haber sido cliente del reclamado y haber solicitado al reclamado el cese de las llamadas comerciales. El número de teléfono en el que manifiesta haber recibido las llamadas, ***TELEFONO.1, figura incluido en el sistema de exclusión publicitaria responsabilidad de la Asociación Española de la Economía Digital (Adigital), lista Robinson, desde el 7 de enero de 2020. Refiere concretamente las siguientes llamadas con origen en el número ***TELEFONO.2: El día 9/09/2020, a las 15:54 y a las 19:55 horas. El día 1/09/2020, a las 14:45 horas. Documentación relevante aportada por el reclamante: Certificado emitido con fecha de 14/09/2020 por Adigital en el que se hace constar que el número de teléfono del reclamante, ***TELEFONO.1, figura incluido en la lista Robinson de Adigital desde el 7/01/2020. Contrato de servicios de telecomunicaciones suscrito por el reclamante con fecha de 20/01/2020 que incluye el número de teléfono ***TELEFONO.1. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Además del reclamado, durante las presentes actuaciones se han investigado las siguientes entidades: - GLOBAL SALES SOLUTIONS LINE S.L. (en adelante Global) con NIF B82311861 y domicilio en AV. DE LA ALBUFERA, Nº 319, 1ª y 2ª planta 28031 MADRID. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 En el marco de esta investigación se ha obtenido la siguiente información: - El sistema de exclusión publicitaria de Adigital figura en la sede electrónica de la AEPD de acuerdo con la previsión efectuada en el artículo 23 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). - - El reclamado informa, con fecha de 14/12/2020 (escrito con número de registro de entrada en la AEPD O00007128e2000014757) de los siguientes hechos en relación con las presentes actuaciones: - Que le consta que el número de teléfono del reclamante, ***TELEFONO.1, consta en la lista Robinson de Adigital desde el 7/01/2020. - Que no le consta que el número de teléfono del reclamante, ***TELEFONO.1, se encontrara incluido en su lista Robinson interna. Manifiesta que procede a su incorporación, “a raíz del presente requerimiento”, el día 15/10/2020. - Que el número de teléfono ***TELEFONO.2 consta en la base de datos de números telefónicos que usan sus colaboradores para realizar llamadas de captación asignado a un colaborador de la plataforma de televenta: “912 079 492_GSS_PYME_PERU”. - Que “para las campañas realizadas por la plataforma de televenta es Vodafone quien facilita la base de datos objeto de la campaña y es la plataforma de televenta la encargada de filtrarla previamente por la Lista Robinson de ADigital y por la propia de Vodafone”. Global informa, con fecha de 15 de febrero de 2021 (escrito con número de registro de entrada en la AEPD O00007128e2100006171), de los siguientes hechos en relación con las presentes actuaciones: - C/ Jorge Juan, 6 28001 – Madrid Afirma haber realizado las siguientes llamadas desde el número ***TELEFONO.2 al ***TELEFONO.1 al objeto de ofrecer servicios del reclamado para microempresas y autónomos en virtud del contrato de prestación de servicios de telemarketing de fecha 18/02/2016 y el anexo RGPD de fecha 7/02/2018 suscrito entre Global y el reclamado: - El día 9/09/2020, a las 13:32 y a las 17:53 horas. - El día 10/09/2020, a las 12:39 horas. - El día 11/09/2020, a las 12:45, a las 15:38 (llamada sin duración -no contestada-), y a las 18:18 horas. www.aepd.es sedeagpd.gob.es 3/8 - Adjunta al escrito el acuerdo de tratamiento de datos personales de Vodafone (“VODAFONE STANDARD DATA PROCESSING AGREEMENT”) y el contrato de prestación de servicios de telemarketing (“VODAFONE PROCUREMENT AGREEMENT FOR THE PROVISION OF TELESALES SERVICES”) suscritos entre el reclamado el Global. Manifiesta no haber realizado ninguna llamada adicional al teléfono ***TELEFONO.1. Facilita, como parte del escrito, el registro de las llamadas realizadas al número ***TELEFONO.1 desde el 9/09/2020 hasta febrero de 2021. - Manifiesta no disponer de ningún dato personal asociado al número de teléfono ***TELEFONO.1. A tal efecto señala que si “interlocutor hubiera manifestado interés y hubiera dado su consentimiento para incorporar sus datos personales a una base de datos de Vodafone, entonces GSS hubiera registrado sus datos de carácter personal del ***TELEFONO.1 para ponerlos a disposición de Vodafone”. - En relación con el origen del número de teléfono ***TELEFONO.1, expresa que para la campaña de marketing en la que se ofrecían servicios para microempresas y autónomos de Vodafone se utilizaron las siguientes fuentes: - Dos bases de datos recibidas de Vodafone los días 23/07 y 4/08/2020 en las que figuraban únicamente números de teléfono. Según señala, habiendo finalizado la campaña, no dispone de dichos datos (habrían sido devueltos al reclamado). - Una base de datos creada internamente para la campaña “con rangos de numeración a través de una tabla excel, que mediante el uso de consultas SQL generaba aleatoriamente una serie de números telefónicos a llamar”. Añade que las bases de datos de las campañas “se cargan en InConcert y una vez finalizada la campaña, cumplido el plazo marcado, se procede a su eliminación a través de un proceso automatizado.”. Apunta además que, antes de proceder a su carga se filtran los datos con la lista Robinson de Adigital y del reclamado. - En el mismo escrito (número de registro de entrada en la AEPD O00007128e2100006171), Global manifiesta que el proceso de consulta de la lista Robinson de Adigital cambió el 14/02/2020. A este respecto detalla lo siguiente: - C/ Jorge Juan, 6 28001 – Madrid Antes del 14/02/2020 Global se descargaba cada dos meses la lista Robinson actualizada contenedora de todos los números registrados en ella. www.aepd.es sedeagpd.gob.es 4/8 - A partir del 14/02/2020 se realiza una petición en tiempo real por cada número que se quiere consultar. Según manifiesta, para adaptar sus sistemas a este nuevo proceso Global tuvo que realizar una serie de modificaciones de carácter “complejo”. Así, expresa que “este nuevo proceso ha sido complejo, no solo por la dificultad de implantar el cambio en la empresa al tiempo que se prestaba el servicio, sino porque también se ha visto dificultado en su ejecución por el confinamiento Covid 19 el 16/3/2020 y tenerlo que ejecutarlo a través del teletrabajo de una empresa, que como la mayoría todo el trabajo se hacía de forma presencial.” Añade que, como parte del procedimiento de adaptación al nuevo proceso de consulta, se implantó transitoriamente una solución intermedia en la que las consultas a la API (Application Programming Interface) de Adigital se hacían desde un servidor principal que posteriormente distribuía los resultados al resto de servidores “satélites” de Global. Al respecto concluye que actualmente ya se ha completado el proceso de adaptación de los sistemas al nuevo proceso de forma que todos los servidores de la empresa realizan las consultas al servicio dispuesto a tal efecto por Adigital. - En relación con el caso referido en las presentes actuaciones de investigación, Global, en el citado escrito (número de registro de entrada en la AEPD O00007128e2100006171), manifiesta que: “Se informa y se reconoce que se ha producido un fallo puntual, no sistemico [sic] que permitió llamar al número ***TELEFONO.1 entre los días [sic] 9 y 11 de septiembre de 2020 ambos inclusive estando de alta en lista Robinson, al producirse en el proceso transitorio un fallo en la distribución del servidor principal de los resultados de las listas Robinson al servidor satélite, desde el que se realizaron las llamadas a las que se refiere el requerimiento de información. Este fallo se ha producido dentro del proceso transitorio de adaptación al nuevo proceso de consulta de listas Robinson, que implicó un cambio y la necesidad de adaptar todos los procesos de carga de la compañía para hacer una consulta activa de los teléfonos de forma previa a la emisión, en lugar de un simple cruce contra una base histórica. Este proceso de cambio se vio afectado en su complejidad y en el tiempo de ejecución, por el confinamiento de los empleados de una empresa que hasta el 16/3/2020 su trabajo se hacía exclusivamente de forma presencial.” En cuanto a las medidas tomadas al objeto de que este tipo de errores no se vuelva a producir, expresa lo siguiente: “El fallo detectado, no se podrá volver a producir, porque el proceso interno transitorio de comunicación desde el servidor principal a los servidores satélites fue subsanado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Además [sic] en la actualidad todos los servidores realizan directamente las consultas a través de la API de Adigital, por lo que nunca más se podrá producir este fallo.” En línea [sic] con la política corporativa y proyectos del año 2021, esta [sic] planificado a solicitud del Delegado de Protección de Datos de GSS y pendiente de realizar en el primer trimestre de 2021 una auditoria [sic] externa sobre todo el nuevo proceso de consulta de listas Robinson que se inició el 14/2/2020 y que ya esta [sic] operativo en todos los servidores de la empresa, para validar y verificar que el nuevo proceso funciona correctamente.” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. De conformidad con lo establecido en el artículo 84.3) de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo, LGT), la competencia para resolver estas actuaciones de investigación corresponde a la Directora de la Agencia Española de Protección de Datos. II Los hechos detallados en los antecedentes podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 48.1.

1. b)de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo, LGT), incluido en su Título III, que señala: <<Artículo 48. Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados. 1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones electrónicas tendrán los siguientes derechos: (…)
2. b)A oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a ser informado de este derecho.>>. El art. 23 de la LOPDGDD, dispone lo siguiente: <<Artículo 23. Sistemas de exclusión publicitaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 1. Será lícito el tratamiento de datos personales que tenga por objeto evitar el envío de comunicaciones comerciales a quienes hubiesen manifestado su negativa u oposición a recibirlas. A tal efecto, podrán crearse sistemas de información, generales o sectoriales, en los que solo se incluirán los datos imprescindibles para identificar a los afectados. Estos sistemas también podrán incluir servicios de preferencia, mediante los cuales los afectados limiten la recepción de comunicaciones comerciales a las procedentes de determinadas empresas. 2. Las entidades responsables de los sistemas de exclusión publicitaria comunicarán a la autoridad de control competente su creación, su carácter general o sectorial, así como el modo en que los afectados pueden incorporarse a los mismos y, en su caso, hacer valer sus preferencias. La autoridad de control competente hará pública en su sede electrónica una relación de los sistemas de esta naturaleza que le fueran comunicados, incorporando la información mencionada en el párrafo anterior. A tal efecto, la autoridad de control competente a la que se haya comunicado la creación del sistema lo pondrá en conocimiento de las restantes autoridades de control para su publicación por todas ellas. 3. Cuando un afectado manifieste a un responsable su deseo de que sus datos no sean tratados para la remisión de comunicaciones comerciales, este deberá informarle de los sistemas de exclusión publicitaria existentes, pudiendo remitirse a la información publicada por la autoridad de control competente. 4. Quienes pretendan realizar comunicaciones de mercadotecnia directa, deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuación, excluyendo del tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa al mismo. A estos efectos, para considerar cumplida la obligación anterior será suficiente la consulta de los sistemas de exclusión incluidos en la relación publicada por la autoridad de control competente. No será necesario realizar la consulta a la que se refiere el párrafo anterior cuando el afectado hubiera prestado, conforme a lo dispuesto en esta ley orgánica, su consentimiento para recibir la comunicación a quien pretenda realizarla>>. El citado artículo 48.1.
3. b)de la LGT no configura el derecho de oposición, por lo que debemos acudir a las normas de protección de datos en las que se regula el derecho de oposición: artículo 21 del RGPD, (Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos) y artículo 23 de la LOPDGDD (Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales). No obstante, de las investigaciones practicadas, se deben aceptar las manifestaciones formuladas por Global respecto de que la supuesta infracción relativa la art 48.1.
4. b)de la LGT se debió a un error puntual del sistema de filtrado de numeraciones con el listado róbinson de Adigital no existiendo culpabilidad en su conducta, toda vez que se debió a un cambio en el sistema de filtrado de numeraciones róbinson de Adigital durante el periodo comprendido entre el año 2020 y febrero de 2021 ajeno a su voluntad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En este sentido, consta que la inclusión de la línea del reclamante en el listado róbinson de Adigital es de fecha 7/01/2020 por lo que el registro róbinson de Adigital de exclusión de llamadas publicitarias, según su propia normativa, no quedó actualizado con la línea del reclamante hasta el 7/03/2020 (dos meses desde la inclusión según el antiguo sistema de acceso al listado robinson de ADigital). Consta que con motivo de los cambios que fueron impuestos por la propia ADigital en relación al sistema de consultas del listado Robinson oficial -que pasó de un sistema de descargas de la bases de datos completa a un sistema de consultas de bases de datos- las entidades han tenido que desarrollar específicamente bajo los requisitos impuestos por Adigital una API y, una vez detectado que la SQL aplicada a la base de datos en cuestión no estaba actualizando correctamente todos los Robinson, se identificó la incidencia con el fin de actualizar la SQL aplicada, subsanando por completo la incidencia y actualizando las bases de datos diariamente (nuevo sistema de acceso al listado robinson de Adigital). Una vez corregida el origen de la incidencia puntual y no sistémica, no es posible su repetición. En consecuencia, antes de conocer la incidencia en las descargas del listado róbinson de Adigital, procedió a corregir diligentemente el error detectado, tal como se deduce de la cronología de los hechos y del contenido del expediente administrativo, motivo por el que la conducta inicialmente imputada a la reclamada carece de elemento volitivo de culpabilidad al resultar como consecuencia de un error ajeno y, en consecuencia, la ahora investigada carece de responsabilidad en los hechos inicialmente imputados. En este sentido se pronuncia la SAN de fecha 26/02/2021: < TERCERO.- Pasamos a analizar seguidamente, la cuestión referente a la existencia de culpabilidad, invocada su ausencia por la parte actora. Se dice por la sociedad recurrente que para que pueda ser atribuida la responsabilidad prevista por el ordenamiento jurídico por la comisión de una infracción administrativa, se requiere un doble título de imputación: (
5. i)la imputación objetiva, esto es, que pueda ser atribuido desde el punto de vista de la acusación material, y (
6. ii)la imputación subjetiva, es decir, la atribuibilidad volitiva. No es suficiente, pues, con el puro desvalor del resultado ni con la lesión objetiva de un bien jurídico protegido, se requiere también el desvalor de la acción por la comisión dolosa o culposa de la conducta. La simple inobservancia puede entenderse referida a una norma, pero la inobservancia objetiva de la norma no justifica por sí sola la imposición de la sanción. Así las cosas, es sabido que se puede incurrir en responsabilidad por la infracción que estamos examinando tanto de manera intencionada o dolosa o culposa (art. 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público-). Y procede ahora recordar que, como señala el Tribunal Supremo en la Sentencia de 23 de enero de 1998, "... aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".>. En el presente caso, consta que la reclamada, una vez tuvo conocimiento de los errores que se estaban produciendo en el cruce de datos con el listado Róbinson de Adigital, actuó con la diligencia debida corrigiendo el error detectado y cesando en lo sucesivo las llamadas al reclamante. En consecuencia, en los hechos descritos no se aprecia elemento volitivo de culpabilidad en la conducta investigada. III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
7. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es