1/8 Procedimiento Nº: PS/00014/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 14 de octubre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra TELEFONICA MOVILES ESPAÑA, S.A.U. Los motivos en que basa la reclamación son la portabilidad, de la línea de teléfono ***TELÉFONO.1 de la que es titular, a la empresa TELEFÓNICA MÓVILES ESPAÑA, S.A.U. sin su consentimiento. El servicio de telefonía hasta ese día era prestado por YOIGO que es quien según la reclamante cede sus datos personales sin su autorización a la empresa TELEFÓNICA MÓVILES ESPAÑA, S.A.U. y esta ejecuta la acción cambiando la titularidad de la línea produciéndose la pérdida de dicha línea. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante / de los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constatan los siguientes hechos: En el seno del expediente E/10113/2018, se da traslado de la reclamación a TELEFÓNICA MÓVILES ESPAÑA, S.A.U. y XFERA MÓVILES, S.A. (YOIGO) con fecha de notificación de 17 de diciembre de 2018 y 27 de diciembre de 2018 respectivamente, solicitando remita un informe sobre las causas que han motivado la incidencia que ha originado la reclamación, y sobre las medidas adoptadas para evitar que se produzcan incidencias similares. TELEFÓNICA MÓVILES ESPAÑA, S.A.U. (en adelante la reclamada) presenta escrito de alegaciones manifestando que el número ***TELÉFONO.1 fue importado a la reclamada desde YOIGO el 05/11/2018 a las 02:00h. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Señala que en los casos de portabilidad de líneas, el agente debe transferir la llamada a la entidad verificadora de la portabilidad móvil con carácter previo a la inserción de la solicitud de portabilidad que desencadena la Especificación Técnica aprobada por la Comisión Nacional de los Mercados y la Competencia (en adelante CNMC) para el cambio de operador, pero debido a un fallo puntual del agente que tramitó el alta en el servicio, se realizó la inserción de la portabilidad con anterioridad a la verificación por parte de tercero de forma contraria a lo dictado en la norma. La reclamada aporta las grabaciones de solicitud de alta por portabilidad y la llamada de verificación de consentimiento verbal por tercero. La reclamada añade que el solicitante del alta solicitó que se realizara la llamada de verificación con posterioridad a la solicitud y que una vez realizada la verificación, se enviaron tres SMS al titular de la línea con objeto de informar y ofrecer la posibilidad de cancelar dicha operación. La operativa de portabilidad móvil implementada en dicha operadora contempla en el procedimiento general de portabilidad el envío de una serie de SMS informativos al número de teléfono que va a ser portado en los que se informa de los distintos pasos por los que pasa la solicitud realizada, pero no aporta acreditación de los envíos realizados a esta línea. La reclamada alega también que no tenía constancia de ninguna reclamación hasta el 18 de septiembre de 2019; fecha en la que la Junta Arbitral de ***LOCALIDAD.1 hace llegar a esta Compañía una reclamación presentada en relación con este proceso a finales de noviembre de 2018, prácticamente un año después de que tuvieran lugar los hechos reclamados. La vista arbitral se ha celebrado el pasado día 10 de octubre de 2019 y la reclamada está pendiente de recibir la notificación del laudo arbitral que se dicte al objeto de dar cumplimiento a su contenido. La operadora reclamada concluye sus alegaciones manifestando que en la actualidad la titularidad de la línea es del solicitante de la portabilidad, no de la reclamante. Y, entre otros, adjuntan los siguientes documentos. - Grabación de la conversación telefónica del alta de fecha 31 de octubre de 2018 - Grabación de llamada verificación de consentimiento verbal de la portabilidad de fecha 1 de noviembre de 2018. - Copia de la citación a la vista arbitral - Traslado de la reclamación TERCERO: Con fecha 4 de febrero de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones el 24 de febrero de 2020, en el que, en síntesis, manifestaba que pese a haber realizado la inserción de solicitud de portabilidad el día 31 de octubre de 2018, ésta no se produce de forma efectiva hasta el día 5 de noviembre de 2019, habiendo tenido la reclamante un plazo de seis
(6)días para ponerse en contacto con el reclamado. Sin embargo, la reclamante no presenta ninguna reclamación, ni solicitud de cancelación del proceso de portabilidad, no constando ninguna incidencia reportada por la reclamante ante dicha operadora en relación con esta solicitud hasta el 18 de septiembre de 2019, esto es, casi un año después de que tuviesen lugar los hechos denunciados, objeto de la presente reclamación y en el transcurso de ese tiempo la línea estuvo funcionando en todo momento de forma correcta y sin ningún tipo de incidencia. adicionalmente, la reclamada cuenta con la grabación del consentimiento de la reclamante para portar su línea de fecha 2 de noviembre de
- QUINTO: Con fecha 3 de marzo de 2020 el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/02655/
- SEXTO: Con fecha 4 de marzo de 2020 se formuló propuesta de resolución, proponiendo que se sancione a TELEFONICA MOVILES ESPAÑA, S.A.U. con NIF A78923125, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 75.000€ (setenta y cinco mil euros) SEPTIMO: Con fecha 8 de junio de 2020, el reclamado remite escrito expresando las siguientes manifestaciones “Reiteramos que nos encontramos ante un error humano puntual que no afectaría al procedimiento general establecido por TME para estos casos. Asimismo, ponemos en conocimiento de la AEPD que a pesar de que el proceso de portabilidad se había iniciado, posteriormente se contactó con la RECLAMANTE para solicitar su consentimiento. Por lo que se refiere a la presunta ausencia del consentimiento para la contratación, regulado en el artículo 6.1 del Reglamento (UE) 2016/679 General de Protección de Datos (en adelante, “RGPD”), debemos decir que el citado precepto de la RGPD no requiere que el consentimiento se presente por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”, correspondiendo en este caso a mi representada acreditar que se cuenta con el consentimiento de la RECLAMANTE. A tales efectos, nos remitimos a la grabación de fecha 2 de noviembre de 2018 que ya obra en poder de la AEPD como prueba concluyente de la otorgación de dicho consentimiento. Por todo lo anterior y teniendo en cuenta que nuestro agente hubiese cometido el error humano puntual de comenzar el proceso de portabilidad de forma previa a la verificación, desde TME consideramos que la RECLAMANTE habría prestado su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 consentimiento para realizar la portabilidad de su línea de forma inequívoca días antes de la portabilidad efectiva de la línea. Por lo expuesto, insistimos que no se ha producido una infracción del artículo 6.1 de la RGPD para el tratamiento de los datos en materia de protección de datos.” HECHOS PROBADOS PRIMERO: Se ha llevado a cabo la portabilidad, de la línea de teléfono ***TELÉFONO.1 de la que es titular el reclamante, sin su consentimiento. El servicio de telefonía hasta ese día era prestado por YOIGO que es quien según la reclamante cede sus datos personales sin su autorización a la empresa reclamada y esta ejecuta la acción cambiando la titularidad de la línea produciéndose la pérdida de dicha línea. SEGUNDO: La entidad reclamada alega que aunque la solicitud de portabilidad se realiza el día 31 de octubre de 2018, ésta no se produce de forma efectiva hasta el día 5 de noviembre de 2019, por lo que la reclamante ha tenido seis
(6)días para ponerse en contacto con el reclamado. Sin embargo, la reclamante no presenta ninguna reclamación, ni solicitud de cancelación del proceso de portabilidad, hasta el 18 de septiembre de 2019, casi un año después, y durante todo este tiempo la línea estuvo funcionando en todo momento de forma correcta y sin ningún tipo de incidencia. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 4.11 del RGPD define el «consentimiento del interesado» como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. Por su parte el artículo 6.1 del RGPD establece que “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.” III En el presente caso se denuncia la portabilidad de la línea de teléfono ***TELÉFONO.1 de la que es titular la reclamante, a la operadora reclamada porque esta se produce sin su consentimiento. Dicha operadora reconoce un error humano en el protocolo seguido para llevar a cabo la portabilidad de la línea objeto de esta reclamación, ya que el agente debe transferir la llamada a la entidad verificadora de la portabilidad móvil con carácter previo a la inserción de la solicitud de portabilidad que desencadena la Especificación Técnica aprobada por la Comisión Nacional de los Mercados y la Competencia (en adelante CNMC) para el cambio de operador, pero debido a un fallo puntual del agente que tramitó el alta en el servicio, se realizó la inserción de la portabilidad con anterioridad a la verificación por parte de tercero de forma contraria a lo dictado en la norma. De las locuciones aportadas a esta Agencia por la reclamada, se desprende que en la grabación de alta de la portabilidad mantenida entre el titular de la llamada y el agente de la reclamada, se comprueba que los datos de identificación del interlocutor con el agente de la operadora no coinciden con los de la reclamante y titular de la línea. Destacar en este punto que aunque la reclamada es conocedora de que los datos del solicitante del alta-portabilidad, son diferentes a los de la titular de la línea y reclamante, se escucha en la grabación de la verificación por tercero que este verificador pregunta al agente de la operadora reclamada, si el solicitante corresponde con el nombre y apellidos de la reclamante que el verificador le proporciona y a lo que dicho agente responde “SI”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 De este hecho se desprende que la reclamada permite que la verificación continúe pese a conocer que los datos del solicitante de portabilidad no coinciden con los datos del titular de la línea aportados por el verificador. Así las cosas, de conformidad con las evidencias de las que se dispone, se considera que la operadora reclamada ha utilizado los datos de la reclamante, para llevar a cabo la portabilidad, de la línea de teléfono ***TELÉFONO.1 de la que es titular, sin su consentimiento para la contratación, ni ninguna otra causa que legitimase el tratamiento de sus datos. La reclamada en respuesta al traslado de la presente reclamación aporta grabaciones de las que se desprende que se realizó la portabilidad de una línea con el conocimiento de que los intervinientes, es decir solicitante de la portabilidad y titular de la línea, tenían nombre y apellidos diferentes, lo que desencadenó una portabilidad no solicitada por el titular de la línea, es decir la reclamante, y la perdida de la correspondiente línea telefónica, contraviniendo con ello lo establecido en la Circular 1/2009 de la Comisión Nacional para los Mercados y la Competencia en su Anexo I, apartado “Tramitación de solicitudes de portabilidad móvil” punto 4, que indica que el verificador solicitará al cliente que aporte o confirme los datos personales del titular y los datos relativos a la línea y operadores. Por lo tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por una presunta vulneración del artículo 6 del RGPD, indicado en el fundamento II. IV El artículo 72.1.
- b)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- c)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento en el artículo 6 del Reglamento (UE) 2016/679.” V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 VI Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes: En el presente caso estamos ante acción negligente no intencional, pero significativos identificados (artículo 83.2
- b) Se encuentran afectados identificadores personales básicos (nombre, un número de identificación, el identificador de línea), según el artículo 83.2
- g)Por lo tanto, a tenor de lo anteriormente expuesto, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: IMPONER a TELEFONICA MOVILES ESPAÑA, S.A.U. con NIF A78923125, por una infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 75.000 € (Setenta y cinco mil euros). SEGUNDO: NOTIFICAR la presente resolución a TELEFONICA MOVILES ESPAÑA, S.A.U. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es