E-10273-2018

1/5 Expediente Nº: E/10273/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ONO, S.A.U., con NIF 62186556 (en adelante, la reclamada) en virtud de la reclamación presentada por D. A.A.A. (en adelante el reclamante) y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12/09/2018 tiene entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito del reclamante en el que expone que el 11/09/2018 ha recibido un SMS publicitario de la reclamada, lo que vulnera su derecho a la protección de datos toda vez que en el año 2014 comunicó a la entidad ONO su negativa a recibir comunicaciones publicitarias y ésta le confirmó entonces la recepción de su solicitud y que su petición sería atendida. El reclamante anexa los documentos siguientes: - Copia del “Formulario de Autorización y Tratamiento de Datos” de ONO, firmado por él en fecha 11/06/2014, y en cuyo apartado “Publicidad/Venta Directa” están cumplimentados de forma manuscrita sus cinco subapartados. El subapartado 4, marcado con un aspa, dice así: “No deseo que ONO trate mis datos personales para la promoción comercial de los productos y servicios de empresas del Grupo Ono (www.ono.es), mediante el envío de ofertas adaptadas a mi perfil a través de cualquier medio (dirección postal: correo electrónico: SMS o llamadas publicitarias a teléfono fijo o móvil). - Carta, sin fecha, que le remite el responsable del fichero, Cableuropa, S.A.U., proteccióndatos@ono.es , en la que le informa de que “en cumplimiento de su solicitud relativa al tratamiento de sus datos personales, ONO ha procedido conforme a lo solicitado, de manera que sus datos no serán usados para las finalidades para las que usted no nos ha dado su consentimiento” SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 17/10/2018 se traslada a la reclamada, reiterándolo en fecha 30/11/2018, el escrito de la reclamación presentada para que proceda a su análisis y comunique al reclamante la decisión que adopte al respecto. La reclamada responde en fecha 12/12/2018 y hace estas manifestaciones: Que ha procedido a marcar al reclamante en una lista interna como Robinson con el fin de asegurarse de que no recibe comunicaciones comerciales de esa operadora pues, según explica, el número de teléfono del reclamante no les consta en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 la base de datos de ADIGITAL ni tampoco figura en las bases de datos que alquilan a terceras entidades. Aporta una copia de la carta enviada al reclamante, con acuse de recibo, en la que le informa de las gestiones que ha realizado para atender su reclamación, en particular, la inclusión en su propia lista Robinson con el fin de que por su parte no reciba comunicaciones comerciales. Explica también cuáles son las medidas adoptadas respecto a sus distribuidores y colaboradores en materia de tratamiento de los datos personales con ocasión de las campañas publicitarias. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI), en relación con la Disposición Adicional cuarta de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD) y con el artículo 57 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) II El artículo 21 de la LSSI dispone: “Prohibición de comunicaciones comerciales realizadas a través de correos electrónicos o medios de comunicación electrónica equivalente”. “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, di medio deberá consistir necesariamente en la inclusión de una dirección de correo u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 III La LOPDGDD regula en su Título VIII los procedimientos a seguir en caso de posible vulneración de la normativa de protección de datos; disposiciones que resultan de aplicación al presente caso en virtud de la previsión de la Disposición Adicional Cuarta de la Ley Orgánica 3/2018. Así, el artículo 65 de la LOPDGDD contempla un mecanismo “previo a la admisión a trámite” de las reclamaciones que se formulen ante la AEPD, que consiste en dar traslado de dichas reclamaciones a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, para que procedan a su análisis, expliquen el origen de los hechos y comuniquen las medidas adoptadas en relación con ellos. La disposición precitada, bajo el título “Admisión a trámite de las reclamaciones”, dice: “1. Cuando se presentase ante la Agencia Española de Protección de Datos una reclamación, esta deberá evaluar su admisibilidad a trámite, de conformidad con las previsiones de este artículo. 2. La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción. 3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:

1. a)Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 74 de esta ley orgánica.
2. b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas. 4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes. 5. La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 que se estime competente deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos”. (El subrayado es de la AEPD) De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite de la presente reclamación, la AEPD dio traslado de ella a la reclamada para que procediese a su análisis y diera respuesta al reclamante y a esta Agencia. Asimismo, se solicitó a la reclamada una copia de la comunicación que hubiera remitido al reclamante; un informe sobre las causas que motivaron la incidencia producida y el detalle de las medidas adoptadas para evitar situaciones similares. Paralelamente, se acusó recibo del escrito de reclamación presentado por el reclamante, se le informó de que había sido trasladado a la reclamada y del requerimiento efectuado para que informase a esta Agencia de las acciones llevadas a cabo a fin de adecuar su actuación a la normativa de protección de datos. Pues bien, la respuesta de la reclamada tuvo entrada en el Registro de esta Agencia antes de que se dictara el acuerdo de admisión a trámite de la reclamación, lo que aconteció en fecha 14/12/2018. La repuesta entró en este organismo, exactamente, el 12/12/2018, dos días antes de la fecha de firma del acuerdo de admisión a trámite. Sin embargo, por meras razones de organización interna no se accedió al citado documento con carácter previo al acuerdo de admisión a trámite de la reclamación. Analizada la respuesta al requerimiento informativo que la reclamada ha facilitado en la que manifiesta que los datos personales del reclamante no se encontraban incluidos en la lista de ADIGITAL y que ha procedido a marcar al reclamante como Robinson, que ha adoptado determinadas medidas en relación a sus Distribuidores y colaboradores y aporta una copia de la carta que envió al reclamante, se estima procedente acordar el archivo de las presentes actuaciones al considerar resuelta la reclamación formulada. Todo ello sin perjuicio de las posibles actuaciones que la AEPD pudiera llevar a cabo ante el responsable del tratamiento en caso de producirse una reiteración en la conducta puesta de manifiesto en la presente reclamación o de que no se apliquen de manera efectiva medidas apropiadas para garantizar un nivel adecuado de seguridad que no comprometa la confidencialidad integridad y disponibilidad de los datos de carácter personal, al no considerarse necesario por la entidad adoptar medidas adicionales al no haber causado incidencia alguna, y evitar situaciones futuras similares. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la reclamante y a la reclamada. Frente a esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es