PD-00149-2025

1/7  Expediente N.º: EXP202506353 (PD/00149/2025). RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 22 de noviembre de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 22 de noviembre de 2024, A.A.A. (en adelante, la parte reclamante), presentó, a través del Registro General de la Junta de Extremadura, escrito de reclamación dirigido a esta Agencia, contra la entidad TELEFÓNICA DE ESPAÑA, S.A.U. (en adelante, la parte reclamada). La parte reclamante manifiesta que sin ser siquiera cliente del operador de telecomunicaciones reclamado le ha pasado dos recibos en su cuenta bancaria a nombre de una tercera persona que no conoce. Que ha solicitado el acceso a sus datos que posee la operadora sin haber tenido respuesta alguna. Junto al escrito de reclamación aporta la siguiente documentación: - Fechado el 06/08/24, reclamación/denuncia firmada por la reclamante, en materia de consumo presentada en la Consejería de Salud y Asuntos Sociales de la Junta de Extremadura contra la entidad O2 FIBRA; TELEFÓNICA ESPAÑA SAU, donde expone que le han pasado al cobro dos recibos a nombre de otra persona en su cuenta bancaria a la cual no conoce y solicita: o - Fechado el 08/08/24, correo electrónico enviado desde la dirección 02 Ayuda ayuda@020nline.es a la dirección CMC - Tentudía cmc.tentudia@saludjuntaex.es donde se puede leer, entre otras cuestiones, lo siguiente: o - “Información sobre los datos de su cuenta, cancelación de dichos datos y baja de cualquier listado que se tenga y que aparezca”. “Te confirmamos que hemos recibido tu consulta, cuyo número de referencia es O2-900771 . El equipo de atención al cliente de 02 revisará tu caso para responderte cuanto antes…”. Fechado el 08/08/24, correo electrónico enviado desde la dirección 02 Ayuda ayuda@020nline.es a la dirección CMC - Tentudía cmc.tentudia@saludjuntaex.es donde, entre otras cuestione, se puede leer lo siguiente: o C/ Jorge Juan, 6 28001 – Madrid “Hola. Te agradecemos que hayas contactado con nuestro departamento de atención al cliente de 02 España. Hemos recibido correctamente la denuncia que nos has enviado. Para que podamos resolver este problema cuanto antes. el titular de la cuenta de banco debe de ponerse en contacto directamente con nosotros. para ello debe www.aepd.es sedeaepd.gob.es 2/7 también adjuntar el certificado de su cuenta bancaria junto con la denuncia por la suplantación”. - Fechado el 19/08/24 correo electrónico enviado desde la dirección CMC Tentudia cmc.tentudia@salud-juntaex.es a la dirección ayuda@020nline.es conteniendo dos archivos adjuntos y donde, entre otras cuestiones, se puede leer, lo siguiente: o - “ Buenas tardes: Le adjuntamos documentación requerida para su tramitación, un saludo”.  Certificado de titularidad bancaria emitido por Ibercaja a nombre de A.A.A., emitido el 08/08/24  Copia de la denuncia presentada el día 19/08/24 ante la Comisaría de Policía de Monesterio (Badajoz), donde la reclamante manifiesta, entre otras cuestiones, que le han realizado el cobro en su cuenta bancaria de 65 euros en concepto de línea telefónica de la compañía O2 fibra. Que según ha podido comprobar, la cuenta bancaria que posee la compañía está a nombre de otra persona. Fechado el 29/08/24, correo electrónico enviado desde la dirección CMC Tentudia cmc.tentudia@salud-juntaex.es a la dirección te_datos@telefonica.com conteniendo 4 archivos adjuntos indicando en el mismo, entre otras cuestiones, los siguiente: o “Ha tenido entrada en este Departamento reclamación registrada con el nº de demanda reflejado en la parte superior de este escrito, presentada por A.A.A.. con DNI: ***NIF.1 por los hechos detallados en la documentación que se adjunta y que se resume en lo siguiente: “La reclamante alega que le han cobrado en su cuenta bancaria cargos de su empresa sin tener relación comercial alguna con ustedes, a nombre de Sara Contreras Díez, a la cual tampoco conoce. Dado que se trata de una vulneración de sus datos personales, se solicita nos hagan llegar información sobre cualquier tipo de contratación donde aparezcan los datos bancarios de A.A.A., ya que debemos poner este asunto en manos dela AEPD. Con este escrito iniciamos con ustedes la mediación oportuna para intentar buscar una solución al desacuerdo comercial surgido en materia de consumo. Consecuencia de lo expuesto, se le solicita, nos remita en un plazo máximo de diez días hábiles desde la recepción de la presente su versión delos hechos motivo dela Reclamación, aportando además cuantos documentos y/o grabaciones obren en su poder sobre el asunto. Si finalizado el plazo no hubiéramos tenido respuesta, se le informa que continuaríamos con los oportunos trámites administrativos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 Nos ponemos en contacto con este buzón tras haber sido derivados al mismo por parte de ayuda@020nline.es”  Fechado el 29/08/24, formulario del “Ejercicio de Derecho de Acceso” a nombre de la reclamante cuyo destinatario es O2Telefónica (Nota: redactado a mano se puede leer “email a Telefónica 29/08). SEGUNDO: Con fecha 22 de febrero de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de fecha 23 de abril de 2025, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de quince días presentase las alegaciones que estimara convenientes. En respuesta, la reclamada, mediante escrito de 8 de mayo de 2025, manifestó, en síntesis, lo siguiente: - Sobre el ejercicio de derechos: Se afirma que no consta en los registros de la empresa el ejercicio de derechos por parte de la reclamante conforme al RGPD, ni en los canales habilitados a tal efecto. - Sobre la respuesta a dichos derechos: En coherencia con lo anterior, no se ha proporcionado respuesta a ninguna solicitud de derechos, dado que no consta que se haya presentado ninguna. - Sobre las decisiones adoptadas tras la reclamación: La entidad reconoce que, tras recibir una reclamación por vía comercial (no mediante ejercicio formal de derechos), y tras la intervención de una organización de consumo, se devolvieron 128 € correspondientes a servicios contratados a nombre de un tercero (S.C.D.), y se procedió a eliminar la cuenta bancaria utilizada. Se destaca que dicho tercero no es cliente desde el 26/12/

1. - Sobre la respuesta al traslado de la AEPD: Se reconoce expresamente que no se ha respondido al reclamante tras el traslado de su reclamación por parte de la Agencia. - Sobre la causa de la incidencia: Se atribuye a un tercero que facilitó una cuenta bancaria que pertenece a la reclamante, pero sin que conste tratamiento de sus datos personales por parte de la empresa. Se defiende que no hay identificación ni uso de datos personales del reclamante por parte de Telefónica. - Sobre las medidas adoptadas: Se afirma que, una vez conocida la incidencia, se restableció la situación, reintegrando las cantidades cobradas erróneamente. Asimismo, se expone que la empresa dispone de protocolos internos para corregir errores derivados de contrataciones erróneas, bloqueando facturas indebidas, anulando cargos, y evitando que la información se traslade a ficheros de morosos o empresas de recobro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. Con fecha 16 de abril de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y ss. del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los “datos o actividades de tratamiento a los que se refiere la solicitud”. El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo
2. Del RGPD). El ejercicio de este derecho se podrá considerar repetitivo en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. IV Conclusión En el supuesto aquí analizado, la parte reclamante manifiesta que ejerció su derecho de Acceso regulado en el artículo 15 del RGPD frente a la entidad TELEFONICA DE ESPAÑA SAU., y que trascurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. No obstante, en la documentación aportada sólo se dispone de la reclamación presentada ante el Consorcio Extremeño de Información al Consumidor, las gestiones realizadas por éste en su labor de mediación en materia de consumidor- dirigidas al correo electrónico ayuda@o2online.es y la denuncia ante la Guardia Civil; todo ello en el ámbito de los hechos denunciados por la reclamante relativos a un cobro indebido. De igual forma, consta un documento de ejercicio de derechos firmado de forma manuscrita el 29/08/24 y en el que, también de forma manuscrita, se indica “email a Telefónica 29/08”. Dicho email es el que viene referido en el último punto del antecedente de hecho primero y en el que el Consorcio Extremeño de Información al Consumidor – cmc.tentudia@salud-juntaex.es - se dirige a te_datos@telefonica.es adjuntándole cuatro documentos. No obstante, de la documentación aportada no puede extraerse ni que el documento de ejercicio de derechos haya sido efectivamente remitido en el email indicado ni que el Consorcio Extremeño de Información al Consumidor disponga de la representación requerida para el ejercicio de los derechos en materia de protección de datos de la reclamante. Por otra parte, en el traslado que se hizo a la reclamada, ésta admite que no contestó al traslado pues, según su declaración no recibió la solicitud de acceso. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación formulada por A.A.A. frente a TELEFÓNICA DE ESPAÑA, S.A.U. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a TELEFÓNICA DE ESPAÑA, S.A.U. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-100425 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es