PD-00052-2023

1/9  Expediente Nº: EXP202300841 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: D. A.A.A. (en adelante, la parte reclamante) ejerció el derecho de acceso frente a VODAFONE ESPAÑA, S.A.U. (en adelante, la parte reclamada) sin que su solicitud haya recibido la contestación legalmente establecida. La parte reclamante manifiesta que solicitó el acceso a la grabación de una contratación ante la parte reclamada en fecha 7 de diciembre de 2022 sin obtener respuesta. Junto a la reclamación se aporta copia de la solicitud de acceso remitida a la parte reclamada en fecha 7 de diciembre de 2022 al correo electrónico facilitado al efecto en su política de privacidad. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La parte reclamada contesta que: "En relación con esta solicitud de ejercicio de derechos presuntamente trasladada por parte del Sr. A.A.A., es necesario indicar que Vodafone no tiene constancia en sus sistemas de la recepción del correo electrónico que menciona el Sr. A.A.A. en su reclamación, solicitando el acceso a la grabación referida, ni de ninguna otra comunicación por parte del reclamante en relación con esta petición de ejercicio de derechos. Tras la recepción del presente requerimiento de información por parte de esta Agencia, momento en el que, tal y como se ha indicado en la manifestación anterior, mi representada ha tenido conocimiento de la petición de acceso referida por el reclamante, Vodafone ha podido verificar que no ha recibido el correo electrónico que menciona el Sr. A.A.A. en su reclamación solicitando el acceso a la grabación que refiere. Asimismo, tras las investigaciones practicadas, mi representada ha podido comprobar que no consta en sus sistemas internos ningún registro relativo a la contratación de servicios vinculada a los datos identificativos y de contacto facilitados por el Sr. A.A.A. en su reclamación. Por lo tanto, con los datos proporcionados por el reclamante, mi representada no ha podido acreditar que el reclamante tenga o haya tenido servicios vinculados a Vodafone, ello sin perjuicio de que los servicios que el reclamante refiere y que motivan su petición puedan estar vinculados a nombre de un tercero ajeno al Sr. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 A.A.A.. No obstante, una vez recibido el presente requerimiento de información remitido por esta Agencia, mi representada procedió a dar respuesta al reclamante, dando traslado de una comunicación en relación con su solicitud de ejercicio del derecho de acceso. A tal efecto, se adjunta como Documento número 1 copia de la respuesta remitida al Sr. A.A.A., informándole de las gestiones realizadas por mi representada y comunicándole la imposibilidad de remitirle la grabación al no constar el reclamante, como cliente de Vodafone". TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 8 de marzo de 2023, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes, señalando, en síntesis, que no tenía constancia de haber recibido la solicitud de la parte reclamante. “Posteriormente, una vez Vodafone tuvo constancia de dicha solicitud, respondió al reclamante, informándole de la imposibilidad de remitir la grabación solicitada al no constar en sus sistemas internos ningún registro relativo al trámite de contratación de servicios vinculada a los datos facilitados por el Sr. A.A.A. en su reclamación. Tras las alegaciones trasladadas con motivo del requerimiento de información remitido por parte de esta Agencia, Vodafone ha procedido a investigar nuevamente los hechos y la petición de acceso solicitada por el Sr. A.A.A. en su reclamación, relacionada con el trámite de contratación realizado ante mi representada. En este sentido, Vodafone ha localizado en sus sistemas internos una grabación telefónica relacionada con el referido trámite y que no había podido ser localizada con la información aportada inicialmente por el reclamante. A raíz de la reclamación presentada y el traslado de información realizado por esta Agencia, se aportaron nuevos datos identificativos, lo que ha permitido a Vodafone localizar la grabación de la llamada telefónica requerida inicialmente.” “(…) En consecuencia, con los datos proporcionados por el reclamante, Vodafone ha procedido a remitir al reclamante una nueva comunicación en la que se da traslado de las actuaciones realizadas y se aporta una copia de la grabación de la conversación telefónica mantenida por el Sr. A.A.A. con el servicio de Atención al Cliente de Vodafone, en fecha 6 de diciembre de 2022 (…)”, aportando copia de la comunicación remitida. CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de quince días hábiles formule las alegaciones que considere oportunas, manifestando, en síntesis, que “(…) he recibido el audio y queda constancia en el minuto 39, segundo 45 del uso indebido de una base de datos que ha sido transferida desde ONO a Vodafone sin solicitar mi consentimiento y luego, de Vodafone a Lowi incumpliendo el requisito del consentimiento exigido en la vigente normativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 (…) Que Vodafone y su filial Lowi, han utilizado una base de datos procedente de una empresa sin haber informado a los clientes de sus datos y usando una información que se refiere a una deuda prescrita, generada por un desacuerdo puntual por un giro indebido que realizó ONO en su momento, por lo que en ningún otro momento se volvió a reclamar.” QUINTO: Otorgada audiencia a la parte reclamada, ésta señala que “(…) , desde finales del año de 2022, Lowi (antigua Vodafone Enabler) se fusionó con Vodafone España, tal y como fue informado mediante distintos medios a los clientes, por lo que en la actualidad es parte de una misma entidad, y es tratada como una de las marcas con las que cuenta Vodafone. Por lo que, en ningún caso se podría producir una cesión de datos de datos personales, ya que son la misma empresa.” “(…) Tras las investigaciones efectuadas en los sistemas internos de mi representada, se ha comprado que la deuda a la cual se refiere el reclamante no tiene origen en una deuda contraída con ONO, sino con Vodafone. En este sentido, el Sr. A.A.A. interpuso, en paralelo a la reclamación ante la AEPD, en fecha 16 de mayo de 2023, una reclamación en el buzón de derechosprotecciondatos@vodafone.es en la que informaba de que la deuda con ONO estaba prescrita. A raíz de esta reclamación se le informa de que mantiene una deuda con mi representada, Vodafone, no con ONO. Ante esta información, el Sr. A.A.A. indica, el 25 de mayo de 2023, que no reconoce dicha deuda como propia, por lo que se escala este incidente al departamento de Fraude de Vodafone. Tras el análisis correspondiente, la contratación que había generado la deuda con Vodafone fue clasificada como fraudulenta el 25 de mayo de 2023, el mismo día que el reclamante nos informa de que no reconoce esta contratación. Una vez constado este hecho, se procedió a la cancelación de las cantidades adeudadas y se clasificó al reclamante como víctima de fraude. Asimismo, se remitió una comunicación informándole de estas medidas. Estos hechos no eran conocidos de forma previa a las interacciones que se mantuvieron con el reclamante en mayo de 2023, pues la contratación que generó la deuda tenía apariencia de legítima. Únicamente cuando el Sr. A.A.A. informa a mi representada de que no reconoce la deuda, se analiza desde el equipo de Fraude el caso y se toman las medidas correspondientes. En este sentido, el reclamante actualmente no mantiene deuda con mi representada y se han tomado las medidas correspondientes para reforzar su información y que no sea empleada para futuros fraudes. Sobre estos extremos se ha remitido una carta al Sr. A.A.A., que se adjunta, como Documento número 1, a las presentes alegaciones. Por último, aunque este hecho no haya sido finalmente el que haya acaecido en este caso, es relevante destacar que Vodafone conserva las deudas contraídas con esta entidad, únicamente durante los plazos establecidos legalmente, y nunca sin superarlos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 “Una vez recibida la presente solicitud de supresión de los datos personales, ejercido por parte del Sr. A.A.A., se ha procedido a la eliminación de todos sus datos personales, y los cuales constan en los sistemas internos de Vodafone, atendiendo así en tiempo y forma sus pretensiones. Sobre todo ello, se ha procedido a remitir comunicación al reclamante, donde se le informa de las gestiones llevadas a cabo por mi representada, confirmándole que a día de hoy no consta deuda alguna en los sistemas internos de mi presentada, y sobre la correcta tramitación de la supresión de sus datos personales en los sistemas internos de Vodafone. Asimismo, se le solicitan disculpas de las molestias que Vodafone haya podido ocasionarle. Se aporta evidencia de la misma como Documento número 1.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, con carácter previo a la admisión a trámite de la reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 8 de marzo de 2023, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. Dicho acuerdo de admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente. Es competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, considerando que con el presente procedimiento quedan debidamente restauradas las garantías y derechos del reclamante. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 negativamente a los derechos y libertados de otros, es decir, el derecho de acceso se otorgará de modo que no afecte a datos de terceros. V Conclusión El artículo 4 del RGPD, Definiciones, dispone en sus apartados 1 y 2: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; Antes de entrar en el fondo de las cuestiones planteadas, hay que señalar que el presente procedimiento se instruye como consecuencia de la denegación de alguno de los derechos regulados por la normativa de protección de datos (acceso, rectificación, supresión, limitación, portabilidad y oposición) y tiene por objeto que se adopten las medidas correspondientes para que las garantías y derechos del afectado queden debidamente restauradas. Por ello, en el presente caso, sólo serán analizadas y valoradas aquellas cuestiones planteadas por la parte reclamante que queden incluidas dentro del objeto del citado procedimiento de reclamaciones en materia de protección de datos. Con respecto a si procede o no el acceso solicitado, hay que señalar que, conforme a lo establecido en los apartados 1 y 2 del art. 4 del RGPD anteriormente trascrito, la voz se considera como dato personal. Por ello, en principio, la parte reclamante tendría derecho a que se le facilitasen esas grabaciones, al amparo de la normativa de protección de datos. En este sentido, se ha de considerar que la voz es una característica peculiar e individual de cada persona que la hace identificable, por lo tanto, es un dato de carácter personal. En consecuencia, el derecho de acceso a la grabación de su voz solicitado por la parte reclamante sí está amparado por la normativa vigente en materia de protección de datos, facilitando la copia de la grabación solicitada a la parte reclamante o, en su defecto, transcripción de su contenido. Dicho lo anterior, en el supuesto aquí analizado, la parte reclamante ejercitó su derecho de acceso a la grabación de voz con motivo de la celebración de un contrato y que, trascurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Durante la tramitación del presente procedimiento, la entidad ha manifestado que había trasladado a la parte reclamante la imposibilidad de aportar la referida grabación al no constar en sus sistemas internos ningún registro relativo al trámite de contratación de servicios vinculada a los datos facilitados por la parte reclamante. Tras las alegaciones trasladadas con motivo del requerimiento de información remitido por parte de esta Agencia, Vodafone ha procedido a investigar nuevamente los hechos y ha localizado en sus sistemas internos una grabación telefónica relacionada con el referido trámite y que no había podido ser localizada con la información aportada inicialmente por el reclamante. “(…) En consecuencia, con los datos proporcionados por el reclamante, Vodafone ha procedido a remitir al reclamante una nueva comunicación en la que se da traslado de las actuaciones realizadas y se aporta una copia de la grabación de la conversación telefónica mantenida por el Sr. A.A.A. con el servicio de Atención al Cliente de Vodafone, en fecha 6 de diciembre de 2022 (…)”, aportando copia de la comunicación remitida, que la parte reclamante manifiesta haber recibido. Esta Agencia sólo tiene competencia sobre los datos personales, sin que se pueda valorar la información concerniente a posibles contratos suscritos o incidencias sobre los mismos, ni dirimir cuestiones civiles, tales como las relativas a la validez civil o mercantil del contrato, la correcta prestación de los servicios contratados o la interpretación de cláusulas contractuales con independencia de que otra normativa ampare la obtención de dicha información. La determinación de las condiciones de la prestación contractual o comercial, basada en una interpretación del contrato suscrito entre las partes y de su correcta aplicación, deberá instarse ante los órganos administrativos o judiciales competentes, al exceder del ámbito competencial de la Agencia. La entidad reclamada ha presentado un escrito en el que reconoce que la deuda de la parte reclamante con Vodafone fue clasificada como fraudulenta, por lo que éste actualmente no mantiene ninguna deuda con la entidad, y se ha procedido a suprimir sus datos, remitiendo una comunicación informándole de dichos extremos. Por consiguiente, procede estimar por motivos formales la presente reclamación al haberse atendido el derecho extemporáneamente sin que se requiera la realización de actuaciones adicionales por parte del responsable del fichero. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por D. A.A.A. contra VODAFONE ESPAÑA, S.A.U.. No obstante, no procede la emisión de nueva certificación por parte de la parte reclamada, al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a VODAFONE ESPAÑA, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-140623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es