PD-00133-2023

1/23  Expediente N.º: EXP202306598 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 23 de marzo de 2023 D. A.A.A. (en adelante, la parte reclamante) remitió un correo electrónico a VODAFONE ESPAÑA, S.A.U. (en adelante, la parte reclamada) solicitando “(…) se le faciliten todas las grabaciones de voz con el Servicio de Atención al Cliente, incluyendo las relacionadas con la oferta realizada en octubre de 2019”, “(…) todos los datos personales relacionados con todas las gestiones realizadas con cualquier servicio de atención al cliente de Vodafone, incluyendo los relativos a la avería ***AVERÍA.1” y “(…) a todos los datos que sobre mi persona estén incluidos en sus ficheros, los resultantes de cualquier generación de perfiles, análisis de crédito, elaboración, proceso o tratamiento de los datos, así como el origen de los mismos, los cesionarios y la especificación de los concretos usos y finalidades para los que se almacenaron.” La parte reclamada le contestó, con fecha 24 de marzo de 2023 “(…) Le informamos de que los datos de carácter personal relativos a su persona que constan en los sistemas de Vodafone España son los siguientes (Archivo adjunto). Aclarar que bajo su referencia de cliente y contrato ***CONTRATO.1 se adjunta documento de contratación y archivo de grabación por voz, disponibles registrado en el fichero de datos. Grabaciones: ***NÚMERO.1 del ***FECHA.1 10:41:33, ***NÚMERO.2 del ***FECHA.2 18:00:20, ***NÚMERO.3 del ***FECHA.3 15:58:09 Indicarle que sus datos de carácter personal facilitados a Vodafone España SAU en virtud del contrato formalizado por usted mismo, han sido utilizados de acuerdo con lo establecido en las Condiciones Generales de la prestación del servicio, así como en la legislación aplicable a tal efecto, esto es que Vodafone España SAU lleve a cabo un tratamiento automatizado de dichos datos con las siguientes finalidades (…)” Con fecha 27 de marzo de 2023 la parte reclamante remitió otro correo electrónico a la parte reclamada indicando que sólo le han facilitado 6 copias de contratos, documento pdf con datos generales y 3 grabaciones de voz, y solicita “Que se le facilite la totalidad de datos de carácter personal que se encuentren en todos los ficheros de datos de Vodafone. Expresamente, pero no limitados a ellos, solicito: - Todos los datos relacionados con cualquier contacto con los servicios de atención al cliente de Vodafone (call center, chats, redes sociales, email…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 - incluyendo las grabaciones de esas llamadas y anotaciones relativas a cualquier incidencia o avería. Expresamente solicito los relacionados con las llamadas realizadas a atención al cliente el 8 de marzo de 2023 y chats de 9 de marzo de 2023, así como los relacionados con la avería ***AVERÍA.1. Datos de compromiso de permanencia, incluyendo el período de aplicación, importe y contratos y datos de voz en los que se informa de la misma. Datos relativos a la calidad del servicio suministrado Datos de tráfico, datos de localización, datos sobre el uso del servicio de televisión y datos de navegación y uso de cualquier dispositivo o aplicación digital. Datos por los que se solicita y/o autoriza el uso y facturación de servicios como “rellamada” o “dictaSMS” Datos de perfiles de cualquier tipo, análisis de crédito, información solicitada y/o obtenida de agencias de crédito, ficheros de morosos, agencias de prevención de fraude y cualquier otro proveedor de datos demográficos o socioeconómicos” La parte reclamada le contestó, con fecha 27 de marzo de 2023, “(…) Por medio del presente comunicado le informamos que el ejercicio de acceso en datos realizado anteriormente se ha otorgado acorde a los datos relacionados y registrados en su fichero de datos el cual fue otorgado en su totalidad, aclarar que el derecho se encuentra completado acorde a los parámetros y normativa del reglamento del parlamento europeo en vigencia, se debe tener en cuenta que las conversaciones solicitadas no están registradas en su fichero de datos, ya que estas se guardan de manera aleatoria por temas de calidad y se le ha realizado envío de documento de contratación como respaldo de las mismas, por lo que no es posible el envío de las grabaciones al no constar en sistema. Por otra parte, ha tenido las siguientes averías registradas (***AVERÍA.1) del día 21 de marzo de 2023 con fecha de cierre el día 22 de marzo de 2023 y la avería (***AVERÍA.2) del día 27 de marzo de 2023 con fecha de cierre el mismo día de inicio, de acuerdo a la política de seguridad la transcripción o contenido de las mismas no se puede brindar por este medio. Por último tiene dos compromisos de permanencia que iniciaron el día 22 de octubre de 2021 y que estos finalizan el día 01 de noviembre de 2023, donde están asociados al descuento de fidelización que tiene aplicado actualmente en su paquete, dichos compromisos relacionados en documentos de contratación anexados anteriormente.” Disconforme con la respuesta recibida, la parte reclamante presentó reclamación ante esta Agencia por no haber sido debidamente atendido su derecho de acceso, y solicita a la AEPD que “(…) requiera a Vodafone para que me facilite la totalidad de datos solicitados, incluyendo, pero no limitados, todos los datos relacionados con cualquier contacto con los servicios de atención al cliente de Vodafone (call center, chats, redes sociales, email…), las grabaciones de esas llamadas si existen y anotaciones relativas a cualquier incidencia o avería. Expresamente solicito los relacionados con las llamadas realizadas a atención al cliente el 8 de marzo de 2023 y chats el 9 y 27 de marzo de 2023, así como los relacionados con la avería ***AVERÍA.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos, sin que conste que se haya presentado ninguna respuesta. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 28 de junio de 2023, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes, señalando, en síntesis, que, una vez recibido el derecho de acceso de la parte reclamante, fue atendida dándose contestación en tiempo y forma el día 24 de marzo trasladando al reclamante un archivo en el que se incluían los ficheros y datos de carácter personal que constaban en sus sistemas internos, incluyendo los contratos formalizados con Vodafone, las grabaciones de voz correspondientes a las interacciones con los servicios de atención al cliente de la entidad, así como la relación de averías registradas en su ID de cliente, junto con la información relativa a los compromisos de permanencia asociados a las contrataciones efectuadas con la parte reclamada. “(…) Sin embargo, pese a la respuesta trasladada por mi mandante, el reclamante reiteró esta petición de acceso en fecha 26 de marzo de 2023, solicitando la “totalidad de datos de carácter personal que se encuentren en todos los ficheros de datos de Vodafone” y citando, asimismo, una serie de información y consideraciones que el reclamante entendía le debía ser remitida “expresamente, pero no limitados a ellos”. Entre la cual, se citaban “datos de tráfico”, “datos de localización”, “datos sobre el uso del servicio de televisión”, “datos de navegación y uso de cualquier dispositivo o aplicación digital”, “datos por los que se solicita y/o autoriza el uso y facturación de servicios como "rellamada" o "dictaSMS" o “datos de perfiles de cualquier tipo, análisis de crédito, información solicitada y/o obtenida de agencias de crédito, ficheros de morosos, agencias de prevención de fraude y cualquier otro proveedor de datos demográficos y socioeconómicos”. Dicha nueva petición, a pesar de considerarse excesiva y desproporcionada al ámbito de aplicación del derecho de acceso, fue correctamente tramitada por mi mandante y respondida en fecha 27 de marzo -esto es, al día siguiente de la remisión de su solicitud-, facilitando nuevamente la totalidad de información obrante en sus sistemas y bases de datos internas, así como los motivos por los que no era posible satisfacer ciertos aspectos de la petición del reclamante. Se adjunta como Documento número 1 evidencia de las respuestas remitidas al Sr. A.A.A. en relación con su petición de ejercicio del derecho de acceso. (…) Una vez recibido el presente requerimiento de información por parte de esta Agencia y pese a haber atendido en tiempo y forma cada una de las peticiones de acceso del reclamante, trasladando la información y ficheros obrantes en sus sistemas internos, mi representada ha procedido a remitir una nueva comunicación al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 reclamante, respondiendo a las peticiones del reclamante en el ejercicio del derecho de acceso, si bien se le reitera la imposibilidad de remitir la totalidad de la información solicitada, ya sea porque Vodafone simplemente no la ha recopilado ni tratado; porque el reclamante no ha otorgado su consentimiento para su tratamiento y, por lo tanto, no se realizado el mismo; o porque dicha información no forma parte de un fichero estructurado con arreglo a criterios específicos, tal y como recoge el Reglamento General de Protección de Datos (en adelante, “RGPD”) en su considerando número 15, y en el artículo número 4 apartado 6. Se adjunta como Documento número 2 copia de la nueva comunicación que se ha remitido al Sr. A.A.A., donde se detalla los motivos por los que no se ha podido facilitar alguna de esta información. La parte reclamada señala que ha facilitado a la parte reclamante • Copia de las 8 grabaciones de las llamadas que han podido identificar con el servicio de Atención al Cliente de Vodafone en las que realiza diferentes trámites. “Es relevante remarcar, como la presente Agencia ya conoce, que Vodafone, debido al gran volumen de interacciones que recibe en su servicio de Atención al Cliente, solamente graba alguna de las llamadas de manera aleatoria y con fines de calidad. Si durante la llamada se produce una contratación, la cual se perfecciona a través de grabación de voz, dicha interacción se grabará en todo caso como prueba del consentimiento del cliente.” • En la última respuesta facilitada al reclamante copia de las interacciones registradas en los sistemas internos de Vodafone con su servicio de Atención al Cliente, así como las anotaciones de los agentes de Vodafone que gestionaron las múltiples solicitudes del Sr. A.A.A.. Los servicios de Atención al Cliente de Vodafone recaban la información de la petición trasladada, el motivo de la misma y el código identificativo de la interacción. En dichas interacciones, se hace mención específica de los detalles registrados de la avería ***AVERÍA.1, tal y como solicita. También, se aporta las interacciones registradas en fechas 8 y 9 de marzo de ese mismo año. • Copias de la totalidad de la documentación contractual generada donde se menciona la información relativa a los compromisos de permanencia, y el importe acordado. Esta información había sido trasladada previamente en sus solicitudes anteriores, tal y como menciona en su reclamación. • En lo relativo a los datos de calidad del servicio y del uso de la app de Vodafone a la cual se solicita acceso, “(…) es relevante destacar que la recopilación de estos datos por parte de Vodafone resulta en reportes agregados, por lo que, la información solicita por el Sr. A.A.A. no sería posible aportarla.” • “Con respecto a los datos generados como consecuencia de la navegación, tráfico, facturación y localización, se trata de datos que se generan de manera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 inherente a la prestación del servicio, sin tratarse para ninguna otra finalidad que no sea habilitar la transmisión de las comunicaciones generadas durante la prestación del servicio por parte Vodafone. En el caso de que el Sr. A.A.A., hubiese otorgado su consentimiento para el tratamiento de estos datos con fines comerciales, Vodafone, podría haber generado un perfil del reclamante con el fin de proporcionarle información comercial relevante adaptada a sus intereses. Sin embargo, al no haber otorgado el Sr. A.A.A. el consentimiento para estas finalidades, dichos tratamientos de datos no se han llevado a cabo.” Se debe enfatizar que esta tipología de datos, entre los que se incluyen lo generados como consecuencia del uso de los servicios contratados, incluidos los de televisión, se originan como consecuencia de la mera prestación del servicio, no almacenándose en un fichero estructurado de datos que pueda aportarse al reclamante. La única finalidad para la que Vodafone trata esta información es para la pura prestación del servicio y facturación de los mismos. Sólo en el caso de que el cliente hubiera dado su consentimiento para el tratamiento de estos datos con fines comerciales, Vodafone podría haber creado un perfil del mismo para impactarle con comunicaciones comerciales personalizadas. Sin embargo, el reclamante no ha prestado consentimiento a Vodafone para la creación de estos perfiles, ni tampoco ha sido impactado con comunicaciones personalizadas. Se adjunta captura de pantalla de los consentimientos otorgados por parte del Sr. A.A.A. en materia de protección de datos. • Respecto a la solicitud de acceso a los datos recogidos en redes sociales, señala que no lleva a cabo la recogida de la información del cliente generada en redes sociales, ni ha realizado ningún tratamiento que permita vincular el perfil o perfiles del reclamante en redes sociales u otras plataformas con su ID de cliente, “(…) más allá de aquellas peticiones, quejas o comunicaciones que el Sr. A.A.A. pueda dirigir a los perfiles de mi mandante en redes sociales cuyas solicitudes son redirigidas en el servicio de Atención al Cliente de Vodafone, encontrándose el registro de las interacciones gestionadas por este servicio en el Documento número 4.” • “En cuanto a las restantes peticiones, como datos relativos a “datos por los que se solicita y/o autoriza el uso y facturación de servicios como "rellamada" o "dictaSMS", se debe mencionar que ambos servicios se activan si el receptor de la llamada los tiene habilitados y la persona llamante acepta su ejecución. (…) El llamante también debe otorgar su consentimiento al servicio y, si accede, se le repercute el coste. Dicha información se refleja en las facturas que se generan para la facturación de los servicios pues, si se cumplen con los pasos que se detallan en este párrafo, se generará un coste que se informará en las facturas. Por lo que se ha dado acceso a esta información en el momento el que se han facilitado las facturas al reclamante.” • “La información solicitada sobre el “análisis del crédito, agencia crediticia, ficheros de solvencia patrimonial negativa, de prevención al fraude o de cualquier otro tipo de proveedor similar”, Vodafone, en los casos en los que el cliente solicita la adquisición de un terminal con pago fraccionado, verifica si consta deuda alguna con esta entidad, o si figura en ficheros de solvencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 patrimonial negativa. Previamente a dicha consulta, el agente de Vodafone que gestiona la contratación informa al cliente de dicho procedimiento, y pide su consentimiento y DNI para realizarlo. (…). En el caso del Sr. A.A.A., se ha identificado dos contracciones de terminales con pago fraccionado durante el año 2020, las cuales fueron tramitadas. Mi representada, sin embargo, no puede aportar la información requerida, ya que no almacena dicha información, sino que se trata de una verificación momentánea de la posible existencia de una deuda por parte de un cliente con productos ofrecidos por terceros y que arroja un resultado positivo o negativo y solo en caso de que el resultado de la consulta sea positivo se autoriza la compra de un terminal, por lo que Vodafone no accede a más información que a un resultado de operación “autorizada” o no autorizada para la solicitud de compra de terminal que se el cliente quiera tramitar. Por lo que en lo que respecta al Sr. A.A.A., los datos que se derivan son positivos para la venta del terminal. (…) “(…) se debe concluir que Vodafone ha atenido debidamente la petición del Sr. A.A.A., contestando adecuadamente al derecho de acceso ejercitado por éste y facilitando la totalidad de la información disponible en sus sistemas internos y bases de datos en relación con el Sr. A.A.A. y los servicios contratados por este. (…)” “Sirva como evidencia de ello, las respuestas ofrecidas a todas y cada una de las peticiones efectuadas por el reclamante, ello pese a que este tipo de peticiones exceden claramente del marco de lo regulado en el derecho de acceso, siendo, además, una solicitud realizada por el reclamante tras un desacuerdo en la calidad del servicio suministrado, tal y como ha manifestado el reclamante al servicio de Reclamaciones de Vodafone a través de llamada telefónica. Se adjunta pantallazo de la interacción registrada en los sistemas internos de Vodafone en el que el reclamante, durante una llamada realizada por el equipo de reclamaciones para concretar la solicitud del reclamante, éste manifiesta que la solicitud de acceso a toda esta información y de manera general se debe a su mero descontento con el trato recibido por Vodafone durante el tiempo que ha sido cliente, por lo que el ánimo de su reclamación es utilizar a esta Agencia como medio para resarcir dicho malestar.” CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas, señalando, en síntesis, y por lo que al presente procedimiento interesa, que la parte reclamada le ha facilitado “(…) 6 copias de contratos, documento pdf con datos generales y 3 grabaciones de voz. En esta contestación no está ”la relación de averías registradas en su ID de cliente” que menciona Vodafone en la contestación a la AEPD.” “(…) En el escrito a la AEPD, Vodafone insiste: “… facilitando nuevamente la totalidad de información obrante en sus sistemas y bases de datos internas, así como los motivos por los que no era posible satisfacer ciertos aspectos de la petición del reclamante.” Sin embargo, en ese email no se aporta ningún otro archivo y sólo se añade la siguiente información: “Por otra parte, ha tenido las siguientes averías registradas (***AVERÍA.1) del día 21 de marzo del 2023 con fecha de cierre el día 22 de marzo del 2023 y la avería (***AVERÍA.2) del día 27 de marzo del 2023 con fecha de cierre el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 mismo día de inicio, de acuerdo a la política de seguridad la trascripción o contenido de las mismas no se puede brindar por este medio. Por último tiene dos compromisos de permanencia que iniciaron el día 22 de octubre del 2021 y que estos finalizan el día 01 de noviembre del 2023, donde están asociados al descuento de fidelización que tiene aplicado actualmente en su paquete, dichos compromisos relacionados en documentos de contratación anexados anteriormente.” “(…) Vodafone, en su escrito a la AEPD, considera desproporcionada o excesiva mi solicitud. Sin embargo, en ninguna de las 2 primeras contestaciones que me remite ésta expone este hecho ni siquiera solicita que especifique de nuevo si me refiero a todos los datos o una parte de ellos. De hecho, da por satisfecha mi solitud con el envío de 6 copias de contratos, documento pdf con datos generales y 3 grabaciones de voz, aparte de dos párrafos en la segunda contestación con datos generales de 2 averías y las permanencias, lo cual no parece excesivo ni desproporcionado. (…)” La parte reclamante solicita a esta Agencia que “1. Se requiera a Vodafone a facilitar el fichero de interacciones efectuadas en el ID del reclamante por los agentes del servicio de Atención al Cliente de forma completa. Legible e inteligible. 2. Se requiera a Vodafone para que explique cuando y de qué manera se me informó sobre la consulta de ficheros de solvencia patrimonial negativa y aporte el consentimiento que afirma en su escrito que se solicita al cliente en estos casos. 3. Se requiera a Vodafone para que aporte mi consentimiento para la prestación y tratamiento de datos del servicio dictaSMS. 4. Que la AEPD valore la apertura de Procedimiento Sancionador a Vodafone por no atender de manera reiterada el derecho de acceso de los datos de carácter personal, así como por la consulta de fichero de solvencia patrimonial sin información escrita de esta consulta ni mi consentimiento, así como del posible tratamiento de datos del servicio dictaSMS sin consentimiento” “(…) 2. Considero que Vodafone sigue sin facilitar el acceso completo a los datos de carácter personal. En su respuesta a mi segunda petición, afirmaba haber otorgado el ejercicio a mi derecho de acceso en su totalidad. Sin embargo, tras mi reclamación a la AEPD, vuelve a aportar nuevos ficheros que previamente no habían sido facilitados. En el escrito que me remite Vodafone con fecha 8 de agosto, a mi solicitud de acceso a los datos de tráfico, localización, uso de dispositivos de tv y datos de navegación y uso de cualquier dispositivo o aplicación digital, afirma: “Se debe enfatizar que esta tipología de datos, entre los que se incluyen lo generados como consecuencia del uso de los servicios contratados, incluidos los de televisión, se originan como consecuencia de la mera prestación del servicio, no almacenándose en un fichero estructurado de datos que pueda aportarse al reclamante.” Sin embargo, la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, obliga a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 conservación de los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación. (…)” QUINTO: Otorgada audiencia a la parte reclamada, ésta señala, en cuanto al presente procedimiento interesa, que “(…) El histórico de dichas interacciones se trasladó en formato PDF con el objetivo de que fueran fácilmente descargables y accesibles por parte del reclamante. A pesar de ello, el Sr. A.A.A. ha puesto de manifiesto que hay cierta información de un número reducido de interacciones que no se puede apreciar en su totalidad. Es por ello, por lo que mi representada ha procedido a remitir de nuevo al Sr. A.A.A. el registro de todas las interacciones obrantes en sus sistemas internos entre su persona y el servicio de Atención al Cliente de Vodafone en formato EXCEL al correo electrónico facilitado en su reclamación ante la presente Agencia. (…) CUARTO.- Emisión de nueva comunicación al reclamante a raíz de las alegaciones presentadas ante esta Agencia. Mi representada ha remitido nueva comunicación al Sr. A.A.A., trasladándole contestación a las cuestiones planteadas en su escrito de 21 de agosto de 2023. Asimismo, se le ha remitido la totalidad de las interacciones con el servicio de Atención al Cliente registradas en los sistemas internos de Vodafone. (…)” “(…) Con respecto a los datos de los datos de tráfico, localización, uso de dispositivos de TV y datos de navegación y uso de cualquier dispositivo o aplicación digital, (…), se debe tener en cuenta que para poder acceder al sistema en el que se archiva esta información para el cumplimiento de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones (en adelante, “Ley de Conservación”), se necesita de una autorización judicial o policial en virtud de lo establecido en su artículo 1, el deber de cesión de dichos datos de tráfico, así como de localización sobre personas físicas y jurídicas, opera únicamente en caso de realizarse por agentes facultados, y siempre que sean requeridos a través de la correspondiente autorización judicial. Asimismo, el artículo 6.2 de la Ley de Conservación, enumera cuáles son los agentes facultados, en concreto:

1. a)“Los miembros de las Fuerzas y Cuerpos de Seguridad, cuando desempeñen funciones de policía judicial, de acuerdo con lo previsto en el artículo 547 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial.
2. b)Los funcionarios de la Dirección Adjunta de Vigilancia Aduanera, en el desarrollo de sus competencias como policía judicial, de acuerdo con el apartado 1 del artículo 283 de la Ley de Enjuiciamiento Criminal.
3. c)El personal del Centro Nacional de Inteligencia en el curso de las investigaciones de seguridad sobre personas o entidades, de acuerdo con lo previsto en la Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, y en la Ley Orgánica 2/2002, de 6 de mayo, reguladora del control judicial previo del Centro Nacional de Inteligencia.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 En definitiva, Vodafone no podría facilitar los datos de tráfico solicitados, sin contar con la debida autorización judicial. Asimismo, haciendo referencia a lo indicado en su momento en las alegaciones presentadas por mi representada el 8 de agosto de 2023, “los datos generados como consecuencia de la navegación, tráfico, facturación y localización, se tratan de datos que se generan de manera inherente a la prestación del servicio, sin tratarse para ninguna otra finalidad que no sea habilitar la transmisión de las comunicaciones generadas durante la prestación del servicio por parte Vodafone”. En el caso del Sr. A.A.A., dado que no otorgó su consentimiento para tratar dichos datos con fines comerciales no se procedió a elaborar un perfil del reclamante con el fin de proporcionarle información comercial relevante adaptada a sus intereses. Del mismo modo, tal y como se detalló en dichas alegaciones, los datos “generados como consecuencia del uso de los servicios contratados, incluidos los de televisión, se originan como consecuencia de la mera prestación del servicio, no almacenándose en un fichero estructurado de datos que pueda aportarse al reclamante”. La finalidad del tratamiento de esos datos es la prestación y facturación de los servicios, y como se ha referido, sólo en el caso de que el reclamante hubiera dado su consentimiento para el tratamiento de dicha información con dines comerciales, se hubiera procedido a elaborar un perfil de su persona con el objetivo de remitirle comunicaciones comerciales, circunstancia que no ha tenido al no haber otorgado el Sr. A.A.A. su consentimiento para ello.” “(…) Por todo ello, y tras las distintas solicitudes de información por parte del reclamante, donde a pesar de que mi representada ha proporcionado la totalidad de la información obrante en sus sistemas internos y bases de datos en relación con el Sr. A.A.A. en tiempo y forma, el reclamante, debido a su disconformidad con el servicio prestado por parte de Vodafone, no ha quedado satisfecho, decidiendo de nuevo reiterarlas pese a que mi representada ha facilitado en todo momento la información requerida, actuando así con la debida diligencia exigida por la norma. A este respecto, nos remitimos de nuevo a lo manifestado por el Tribunal Supremo, en su sentencia 3549/2002 de 20 de mayo indica que “(…) el abuso del derecho o el ejercicio antisocial del mismo que la ley no ampara (art. 7.2 del CC), supone que aun respetando los límites formales con la actuación desarrollada por los que son titulares de los derechos se produce una vulneración de los valores o de la idea axiológica que forma parte del contenido del derecho subjetivo o de la norma cuyo objetivo se trata”. Así como a lo indicado en el artículo 57 del RGPD, que recoge que “cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo”. A pesar de ello, mi mandante ha dado contestación en tiempo y forma a esta petición, así como a las anteriormente remitidas por parte del Sr. A.A.A..” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 28 de junio de 2023, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión El procedimiento de derechos se instruye como consecuencia de la denegación de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso, sólo se analizarán y valorarán los hechos relacionados con el derecho de acceso solicitado, quedando fuera el resto de cuestiones, como el consentimiento o falta del mismo. Las Directrices 1/2022, en su versión de 28 de marzo de 2023, del Comité Europeo de Protección de Datos, señalan que
4. e)¿Los interesados desean acceder a la totalidad o parte de la información procesada sobre ellos? 51 Además, el responsable del tratamiento debe evaluar si las solicitudes realizadas por las personas solicitantes se refieren a la totalidad o parte de la información procesada sobre ellas. Cualquier limitación del alcance de una solicitud a una disposición específica del artículo 15 del RGPD, hecha por los interesados, debe ser clara e inequívoca. Por ejemplo, si los interesados requieren literalmente «información sobre los datos tratados en relación con ellos», el responsable del tratamiento debe asumir que los interesados tienen la intención de ejercer plenamente su derecho en virtud del artículo 15, apartados 1 a 2, del RGPD. Dicha solicitud no debe interpretarse en el sentido de que los interesados desean recibir únicamente las categorías de datos personales que se están tratando y renunciar a su derecho a recibir la información enumerada en el artículo 15, apartado 1, letras
5. a)a h). Esto sería diferente, por ejemplo, cuando los interesados desean, en lo que respecta a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 datos que especifican, tener acceso a la fuente u origen de los datos personales o al período de almacenamiento especificado. En tal caso, el responsable del tratamiento podrá limitar su respuesta a la información específica solicitada. 6.1. Observaciones generales 165. El derecho de acceso está sujeto a los límites que resultan del artículo 15, apartado 4, del RGPD (derechos y libertades de los demás) y del artículo 12, apartado 5, del RGPD (solicitudes manifiestamente infundadas o excesivas). Además, la legislación de la Unión o de los Estados miembros puede restringir el derecho de acceso de conformidad con el artículo 23 del RGPD. Las excepciones relativas al tratamiento de datos personales con fines científicos, históricos o estadísticos o fines de archivo en interés público pueden basarse en el artículo 89, apartado 2, y en el artículo 89, apartado 3, del RGPD, y las excepciones para el tratamiento realizado con fines periodísticos o con fines de expresión académica, artística o literaria pueden basarse en el artículo 85, apartado 2, del RGPD. 166. Es importante señalar que, aparte de los límites, excepciones y posibles restricciones antes mencionados, el RGPD no permite otras exenciones o excepciones al derecho de acceso. Esto significa, entre otras cosas, que el derecho de acceso no tiene ninguna reserva general a la proporcionalidad con respecto a los esfuerzos que el responsable del tratamiento debe realizar para cumplir con la solicitud de los interesados con arreglo al artículo 15 del RGPD. Además, no está permitido limitar o restringir el derecho de acceso en un contrato entre el responsable del tratamiento y el interesado.” Por ello, Vodafone ha facilitado al reclamante los datos de sus sistemas internos; las grabaciones registradas; los documentos de contratación; Información sobre las averías y sobre los compromisos de permanencia, por lo que ha de considerarse atendido el derecho de acceso respecto de estas solicitudes de datos. En cuanto a la solicitud de acceso relativa al uso de dispositivos de TV, Vodafone ha manifestado que los datos generados como consecuencia del uso de los servicios contratados, incluidos los de televisión, se originan como consecuencia de la mera prestación del servicio, no almacenándose en un fichero estructurado de datos que pueda aportarse al reclamante. El artículo 12.5 del RGPD establece que: (…) Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
6. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
7. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 Para dilucidar el presente caso resulta necesario tener presente lo recogido en la Guía del derecho de acceso del Comité Europeo de Protección de Datos (CEPD) (https://edpb.europa.eu/system/files/202304/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf). Ésta dispone que, en aplicación del artículo 12.5 del RGPD las solicitudes de acceso manifiestamente infundadas o excesivas, incluyendo el concepto de repetición, deben interpretarse restrictivamente. Ahora bien, alude también al concepto de “excesivo” para tratar de clarificar el alcance de dicho adjetivo en estos supuestos: “6.3.2 What does excessive mean? 181. There is no definition of the term “excessive” in the GDPR. On the one hand, the wording “in particular because of their repetitive character” in Art. 12