E-10376-2019

1/8  Procedimiento Nº: E/10376/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por D. A.A.A. (en adelante, el reclamante) tiene entrada con fecha 16 de agosto de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra Digital Online Development, S.L.U., con NIF B85753960, y Telefónica Móviles España, S.A.U., con NIF A

1. El reclamante manifiesta, que en febrero de 2019 constata que le habían facturado dentro de la factura de Movistar a un servicio de SMS de resultados deportivos que no había contratado. Que dichos hechos fueron denunciados ante la policía el 7 de marzo de
2. Por otra parte, manifiesta que desde “Servicios Digitales” en el 1004 le exponen que se puede contratar sin querer interaccionando con ventanas que incluso pongan “cerrar”. Posteriormente, se puso en contacto con Movistar, pero no le aportan justificante de la suscripción que le facturaron. Igualmente, quiere denunciar la cesión de sus datos a un tercero por parte de Telefónica ya que para poder facturar hace falta que se haga contra unos datos personales. Y, entre otra, aporta la siguiente documentación:  Extracto de una factura donde no consta quién emite la factura y donde constan: o Cuatro cargos de fechas desde 24 de diciembre lunes al 14 de enero lunes. o En la columna “Comercio” consta para los cuatro cargos “CScores XXXXX” SEGUNDO: La Agencia Española de Protección de datos, en fecha 30 de septiembre de 2019, acordó inadmitir la reclamación. El 2 de octubre de 2019, el reclamante interpuso recurso de reposición y el día 25 del mismo mes y año se dicta resolución estimatoria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: El reclamante manifiesta con fecha 15 de julio de 2020, lo siguiente:
3. El número de teléfono afectado es el ***TELÉFONO.1
4. Desde el 1004 “Servicios Digitales” le informan que los cargos se activaron el 22 de octubre de 2018 y fue a través de una de las dos plataformas que Movistar tiene habilitadas por defecto, una es “Emoción” y otra es “PagosOnline”.
5. Le explicitan que esta suscripción/compra se puede activar si una web maliciosa simula una ventana de cierre y uno de la da a “ok”.
6. Que recibió un SMS de confirmación, en su teléfono móvil, de confirmación de la baja.
7. La suscripción se notificó solo una vez, ese 22 de octubre de
8. Aporta capturas de pantalla de los SMS recibidos en su teléfono móvil donde consta, entre otros, 1 SMS recibido el lunes 22 de octubre a las 14:43h exclusivamente con el siguiente texto: “Pagos Online info: Se ha suscrito a ClicNScores. 3.50E/semana autorrenovable (IVA inc). Visite ***URL.1” Consta asimismo 1 SMS recibido el lunes 18 de febrero exclusivamente con el siguiente texto: “ClicNScores: Ha dado de baja su suscripcion. Mas info en pagosonline.movistar.es” En las capturas enviadas no constan SMSs con contenido relativo a los resultados deportivos.
9. Que todos los SMS vienen en el marco de SMS de Movistar. No son SMS externos.
10. Que no le han querido facilitar el detalle de la compra/suscripción, ni mucho menos URLs ni IPs. Aporta copia de facturas de Movistar donde constan consumos en el apartado de “Contenidos: Pagos Online Serv Terceros dentro B.Imponible” con fechas desde 22 octubre de 2018 al 11 de febrero de
11. Aporta copia de “Comunicación al denunciante del traslado a la Secretaría de Estado para el Avance Digital y al Ministerio Fiscal de la denuncia por un posible fraude de suscripciones a servicios de pago” de la Comisión Nacional de Mercados y la Competencia fechado a 29 de julio de 2019 donde se manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8  “En el ámbito de sus competencias en materia de numeración, la Dirección de Telecomunicaciones y del Sector Audiovisual de la CNMC llevó a cabo una inspección para comprobar el correcto uso de la posible numeración implicada. Las diligencias previas abiertas concluyeron con el archivo de la denuncia presentada contra Digital Online por la Sala de Supervisión Regulatoria de la CNMC, por no existir elementos de juicio suficientes que determinasen un mal uso de alguna numeración por parte de este operador. TERCERO.- En relación con su escrito de denuncia, se le informa de que se ha dado traslado del mismo a la Secretaría de Estado para el Avance Digital por si tuviera que conocer del comportamiento denunciado por ser éste el órgano competente para la resolución de las controversias entre operadores y usuarios de conformidad con el artículo 55 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones. CUARTO.- Asimismo, pudiendo tratarse de un fraude de suscripciones a servicios de pago, se han puesto estos hechos en conocimiento del Ministerio Fiscal,…” Con fecha 16 de octubre de 2020, Digital Online Development, S.L.U. remite a esta Agencia la siguiente información y manifestaciones:
12. Que el usuario del teléfono móvil ***TELÉFONO.1 accede a una publicidad online del servicio “CScores”. Que el acceso a la publicidad se realiza por el usuario navegando por internet con el teléfono móvil y visitando páginas web de su elección.
13. Que el usuario una vez accede a la publicidad y clickea en la misma, aparece una información sobre el servicio que ofrece Digital Online Development denominado “Clic Scores”.
14. Que una vez el usuario pincha en el botón “confirmar” le aparece otra pantalla de confirmación del servicio (doble checking) enviada por Movistar.
15. Que el dato del número de teléfono móvil lo obtienen directamente de Movistar. Que una vez el usuario se ha suscrito al servicio “CScores” después del doble checking, Movistar facilita el número de teléfono al prestador del servicio.
16. Que no disponen de otros datos del usuario adicionales al teléfono móvil y la fecha de alta y baja asociadas al servicio las cuales son 22/10/2018 para el alta y 18/02/2019 para la baja.
17. Que la relación contractual con el reclamante la detenta Movistar por medio del correspondiente contrato de línea telefónica que el primero debe suscribir para el alta de línea, número de teléfono móvil y servicios objeto de contratación. Que Digital Online Development, S.L.U. no dispone de este documento contractual toda vez que se trata de un cliente de Movistar.
18. Que Digital Online Development, S.L.U. es un proveedor de contenidos de Movistar debidamente homologado y los sistemas de conexión cuentan con la debida autorización de Movistar.
19. Que la relación contractual entre Digital Online Development, S.L.U. y el usuario se inicia cuando éste decide aceptar las condiciones del servicio que son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 expuestas en la página web que se indica en la publicidad de “Clicn-scores” mediante acceso a los “Términos y Condiciones y Política de Protección de Datos”. Que estos documentos son fácilmente accesibles por el usuario y descargables por medio del teléfono móvil y son públicos.
20. Que una vez el usuario acepta las condiciones del servicio se inicia la relación contractual y Movistar le cobra el servicio prestado por medio de la factura de teléfono. Caso de que el usuario no acepte las condiciones, Movistar no le cobra el servicio. Que el usuario puede cancelar el servicio en cualquier momento, bien dirigiéndose a Digital Online Development, S.L.U. o a Movistar.
21. Que la relación contractual con el usuario comienza cuando se suscribe el servicio, no antes, y es solo cuando Digital Online Development, S.L.U. tiene acceso al número de teléfono del usuario.
22. Que consta realizado reembolso de cantidad al usuario por medio de la Plataforma de devolución de Movistar. Se aporta certificado de Digital Virgo España, S.A. firmado, sellado y fechado a 13 de octubre de 2020 donde se manifiesta en relación al denunciante:  Que el usuario llegó a través de publicidad online.  “2.El usuario interactúa con la publicidad online y llega a la Landing Page en nuestros servidores el día 22/10/2018, donde se le informa del precio, la periodicidad, el prestador del servicio, número de Atención al Cliente, Condiciones Legales de Movistar, Términos y Condiciones del Servicio, y se le ofrece un enlace para "Cancelar" y un botón de "Aceptar y suscribir". Todo ello según las guías establecidas por su operador móvil para este tipo de negocio. 3.El usuario ha clicado en el botón de "Aceptar y suscribir" el mismo día 22/10/2018 a las 14:43:37 horas, confirmando las condiciones de uso incluidas (Términos y Condiciones del servicio). 4.- Una vez suscrito tras clicar el botón "Aceptar y suscribir", se le redirige a una página de bienvenida con similar información (el precio, la periodicidad, el prestador del servicio, número de Atención al Cliente y se le ofrece un enlace para "Cancelar”), que sólo se accede desde el terminal móvil que ha aceptado las condiciones de uso, y sólo puede ser leído en este terminal móvil. En el mismo aparece claramente el término SUSCRIPCION.”  Se aportan capturas de pantalla de la campaña con los siguientes pasos: o Primer paso con la publicidad donde consta “ULTIMAS NOTICIAS FUTBOL 100%” y un enlace de “Continuar”. o Segundo paso donde constan los textos, entre otros:  “ClicNScores”  “Últimas Noticias”  “SUSCRIPCIÓN periodo: periodo: XX.XX€ (IVA incl.) Autorrenovable cada periodo en la factura del XXXXX”  Constan dos botones; “Cancelar” y “Confirmar”  Consta a pie de página el texto “Al pulsar en Confirmar aceptas los Términos y Condiciones de Pagos Online y Política de Protección de Datos. El importe de la compra llegará a tu próxima factura o se descontará de tu saldo prepago. Más información en pagosonline.movistar.es”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Tercer paso donde constan los textos, entre otros:  “ClicNScores”  “Últimas Noticias”  “SUSCRIPCIÓN semanal: 3,50€ (IVA incl.). Te has suscrito a clicnscores con el número de móvil XXXXXXXXX”  Consta un único botón con el texto “TERMINAR” Con fecha 2 de noviembre de 2020, se comprueba respecto de la web http://home.clicn-scores.com/ :
23. Que en los términos y condiciones consta: o a. “Producto CLICNSCORES Suscripción semanal autorrenovable de 4,5€/semana IVA incl. para usuarios Vodafone*;3,99€/semana IVA incl. para usuarios Orange; 3,99€/semana IVA incl. para usuarios Yoigo. Usuarios Movistar 3,50€/semana IVA Incluido… … Se completará el alta en el servicio del portal clicnscores, cuando el usuario, tras ser informado de las condiciones de suscripción al mismo, acepte expresamente el servicio autorizando el pago de la cuota correspondiente en cada caso y a través de la pasarela de pago ofrecida por el operador.” Con fecha 27 de noviembre de 2020, TELEFÓNICA MÓVILES ESPAÑA, S.A.U. remite a esta Agencia la siguiente información y manifestaciones:
24. Aporta copia de ”ANEXO DE PROTECCIÓN DE DATOS AL/DEL CONTRATO ENTRE TELEFÓNICA MÓVILES ESPAÑA, y DIGITAL ONLINE DEVELOPMENT S.L.U. (ANTIGUO DIGITAL VIRGO TELECOM S.L.)” donde consta que: “DIGITAL ONLINE DEVELOPMENT S.L.U (en adelante, MERCHANT) y TELEFONICA MÓVILES ESPAÑA, S.A., Sociedad Unipersonal (en adelante, TME) declaran que los datos personales entregados por la otra parte o los datos a los que pudieran acceder durante la ejecución del Contrato serán los estrictamente necesarios para su cumplimiento, y única y exclusivamente podrán ser aplicados o utilizados para la consecución de los fines objeto del Acuerdo. Dichos datos de carácter personal incluyen datos identificativos del cliente de TME, concretamente el MSISDN, así como la información de facturación relativa a las operaciones del servicio de MERCHANT, no pudiendo ser cedidos o entregados a terceros bajo título alguno, ni siquiera a efectos de mera conservación. Asimismo, MERCHANT y TME declaran ser responsables de que sus respectivos clientes acepten sus condiciones particulares y política de privacidad. Para la ejecución del objeto de este Acuerdo, las Partes asumirán respecto de los datos que sea necesario intercambiar para ejecutar el presente Acuerdo, la condición de Encargado de Tratamiento y en dicha condición suscriben el presente Anexo, todo ello en virtud de las siguientes” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 “1.4 En particular, MERCHANT deberá cumplir y deberá trasladar en la ejecución del presente Acuerdo las siguientes obligaciones: a) Recabar el consentimiento del cliente a través de la plataforma de pago para que TME pueda facilitar el número de teléfono móvil del cliente a MERCHANT y la información de facturación, así como la aceptación de las Condiciones del Servicio Pagos Movistar, conforme a las medidas e instrucciones indicadas en el presente Acuerdo. Asimismo, incluirá este aspecto en el legal de las condiciones del pago a través del móvil y se encargará de almacenar dichos consentimientos durante el tiempo que sea necesario. b) Asimismo, en el supuesto de que fuese necesario, en el marco del presente Contrato, que TME y MERCHANT intercambiasen los datos de los clientes de los que cada parte es responsable o encargado con una finalidad vinculada a la prestación de los servicios objeto del presente Contrato, y fuera necesario recabar cualquier consentimiento adicional al mencionado anteriormente, la parte originadora de la relación con el titular será responsable, o encargada en nombre de terceros, de tomar todas las medidas necesarias a los efectos de obtener los consentimientos necesarios de los clientes para poder efectuar las cesiones de datos pertinentes y según corresponda.” “1.11 Cada parte será responsable de cuantas sanciones, multas o reclamaciones por daños y perjuicios se deriven del incumplimiento de Io anteriormente expuesto[…]” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III El artículo 6 del RGPD, regula la licitud del tratamiento estableciendo lo siguiente: “
25. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 En el presente caso, el reclamante presenta reclamación contra los reclamados, por una presunta vulneración del artículo 6 del RGPD en relación con la licitud del tratamiento de sus datos personales porque se han utilizado sus datos personales sin su consentimiento para la contratación de un servicio de resultados deportivos prestado por un tercero que, según manifiesta, no ha contratado. De la documentación obrante en el expediente se desprende que la contratación del servicio se hizo desde su número móvil. Cabe además tener en cuenta que consta realizada la devolución de la facturación por medio de la plataforma de devolución de Movistar al conocer que no había contratado. En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el catálogo de infracciones previstas y sancionadas en dicha normativa. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamados. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es