PS-00059-2020

1/97  Procedimiento Nº: PS/00059/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO. Desde el segundo trimestre del año 2018 se han recibido en esta Agencia 191 reclamaciones a la fecha del acuerdo de inicio 26/02/2020 (23 de las cuales entre el 1 de octubre de 2019 y febrero de 2020) contra la entidad VODAFONE ESPAÑA, S.A.U. (en lo sucesivo VODAFONE o VDF), con NIF A80907397, en las que se denuncia la realización de acciones de mercadotecnia y prospección comercial en nombre y por cuenta de VDF a través de llamadas telefónicas y mediante envío de comunicaciones comerciales electrónicas (mensajes SMS y correos electrónicos). Tales acciones podrían vulnerar tanto la normativa Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en adelante LGT), la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSICE), como la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantías de Derechos Digitales (en adelante LOPDGD). Lo anterior, porque estas comunicaciones electrónicas denunciadas se producen, por un lado y en lo que respecta a la LSSICE, sin que hayan sido solicitadas o expresamente autorizadas y/o sin atender el ejercicio del derecho a oponerse al envío de nuevas notificaciones; por otro, en cuanto a la LGT, sin facilitar la posibilidad de ejercer el derecho de oposición o bien, una vez que el afectado ha ejercido previamente su derecho de oposición a través de su inclusión en el fichero de exclusión publicitaria interno de las entidades indicadas (en adelante Listado Robinson Interno -LRI-), o a través del sistema general común de exclusión publicitaria denominado Listado Robinson Adigital -LRAD-; y, finalmente, por lo que respecta a la LOPDGDD sin adecuar los procedimientos y garantías establecidas para la ejecución de acciones de mercadotecnia en el contenido de los contratos con los encargados de los tratamientos que actúan en nombre y por cuenta del responsable (VDF) y sin ofrecer al interesado los medios necesarios, suficientes y apropiados que le garanticen la protección de sus derechos y libertades. Asimismo, debe ponerse de manifiesto que del análisis de las contestaciones a los requerimientos de información de esta Agencia evacuados por la entidad reclamada se desprende, en resumen, lo siguiente:  No explican la razón por la que suceden y continúan sucediendo los hechos objeto de reclamación.  No se indica el origen de los datos relativos al número de línea telefónica o dirección electrónica de los destinatarios.  No se responde el motivo por el que hay reclamantes que han ejercido el derecho de oposición a recibir acciones de mercadotecnia y/o figuran en su LRI o LRAD y, sin embargo, se hayan realizado nuevamente acciones comerciales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/97  No explican los motivos por los que no se atienden los derechos ejercidos por los reclamantes ni proponen actuaciones eficaces tendentes a evitar en el futuro este tipo de conducta.  Continúan las acciones de mercadotecnia tras resoluciones de la AEPD en tutela de los derechos ejercidos y previas resoluciones de procedimientos sancionadores instando la cancelación de acciones comerciales y sancionando los mismos hechos ahora analizados.  Del trámite de admisión de reclamaciones previsto en el artículo 65 de la LOPDGDD se desprende que si bien se ha obtenido una respuesta satisfactoria para el reclamante en determinadas reclamaciones al haber manifestado la entidad reclamada que los datos del reclamante se incorporaban a los ficheros de exclusión de acciones publicitarias de las entidades (LRI) (a pesar de ya encontrarse incorporados en el LRAD), se pone de manifiesto que el procedimiento llevado a cabo no es resolutivo. Las acciones de mercadotecnia continúan, pudiendo suponer una conducta regular y permanente de posible vulneración de los derechos y libertades de los interesados en el ámbito de las acciones de mercadotecnia directa, de atención de los derechos reconocidos en las citadas normas (LGT, LSSICE y LOPDGDD) y ausencia de medidas técnicas y organizativas apropiadas para la aplicación de forma efectiva de los principios y garantías de los interesados conforme señala la normativa vigente arriba indicada.  A lo que hay que añadir, a los efectos de falta de colaboración, que las ultimas reclamaciones ante esta Agencia durante el trámite de admisión a trámite no han sido atendidas por la entidad, o lo han sido con posterioridad al vencimiento del plazo de 3 meses, lo que ha dado origen a su admisión a trámite por imperativo del art 65.5 de la LOPDGDD. Consta de la documentación recibida de VDF en fecha 26/04/2019 (en pendrive dado el gran volumen de información, con número de registro de entrada 021640/2019) que el volumen de actuaciones comerciales realizadas en nombre y por cuenta de VDF desde mayo de 2018 a marzo de 2019 es de 200.000.000 (doscientos millones). Consta también del balance de cuentas anuales (marzo 2018-marzo 2019) presentado por VDF que el importe neto de la cifra de negocios supera los 1.600 millones de euros y dispone de 4.000 empleados. En consecuencia, se estimó necesario iniciar actuaciones de investigación por la Subdirección General de Inspección de Datos tendentes a clarificar las responsabilidades que en materia de protección de datos (RGPD y LOPDGDD) pudiera haber incurrido el responsable de los tratamientos objeto de las reclamaciones en sus actuaciones de mercadotecnia y atención del ejercicio de derechos establecidos en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante RGPD). También se estimó necesario investigar los hechos denunciados al objeto de dirimir las responsabilidades en que pudiera haber incurrido el responsable de las acciones de mercadotecnia en relación con lo dispuesto en el artículo 48 de la Ley 9/2014, de 9 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/97 mayo, General de Telecomunicaciones (LGT) y artículo 21 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSICE). SEGUNDO: A la vista de lo anterior, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos a que procediera a realizar actuaciones de investigación necesarias para el esclarecimiento de los hechos en denunciados, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos : En fecha de 26/02/2019, se acordó el inicio de actuaciones de investigación a fin de acreditar la posible existencia de una conducta regular y continuada de vulneración de la normativa de protección de datos (RGPD y LOPDGDD), LGT y LSSICE en el ámbito de las acciones de mercadotécnica directa por parte de la entidad ahora investigada (VDF). El objeto de las actuaciones de investigación a realizar se enmarca en el análisis de los procedimientos diseñados internamente para los tratamientos de datos realizado en el ámbito de la mercadotecnia directa en nombre y por cuenta de VDF, desde que el dato se incorpora a los sistemas de información de los que es responsable hasta que deja de ser utilizado para estos fines. Esto implica que se clarifique el origen de los datos tratados, el tratamiento posterior de estos y la relación con los encargados de los tratamientos, la comprobación previa de inclusión en el sistema de exclusión publicitaria interno o general de los afectados (listados Robinson interno y General de Adigital), la gestión de los derechos de oposición y supresión, así como las medidas técnicas y organizativas implementadas y su grado de cumplimiento para la protección de los derechos y libertades de los interesados. ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han realizado investigaciones a las siguientes entidades:  VODAFONE ONO, S.A.U.  VODAFONE ESPAÑA, S.A.U.  VODAFONE ENABLER ESPAÑA, S.L.  TELEFONICA DE ESPAÑA, S.A.U  TELEFONICA MOVILES ESPAÑA, S.A.U.  LYCA MOBILE, S.L.  XTRA TELECOM  DIALOGA SERVICIOS INTERACTIVOS  FLASH MEDIA EUROPA, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/97  ORANGE ESPAÑA, S.A.U.  GLOBALIA CALL CENTER, S.A.  MARKTEL GLOBAL SERVICES, S.A.  ENGINYERIA INFORMATICA OLOT, S.L.  CASMAR TELECOM, S.L. (en adelante Casmar)  THREE-QUARTERS FULL, S.L. (en adelante TQF) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1. Desde el inicio de las actuaciones de investigación que obran en el expediente de referencia E/01615/2019 se han incorporado 191 reclamaciones a través del expediente de referencia E/09541/2018, de las cuales 23 recibidas desde octubre de 2019 a febrero de 2020. En fechas de 27/02/2019, 08/03/2019, 18/03/2019, 07/06/2019 se realizan requerimientos de información a VODAFONE ESPAÑA, S.A.U. y en fechas de 18/09/2019 y 30/09/2019 se realiza inspección presencial (cuya Acta y documentación se incorpora al expediente) en la sede de VDF a fin de poder contrastar con la normativa vigente el procedimiento general de gestión del tratamiento de datos relativo a las acciones de mercadotecnia directa a través de llamadas telefónicas, SMS y correos electrónicos, teniendo conocimiento de lo siguiente: 1.1. Con carácter general las acciones de mercadotecnia se pueden clasificar atendiendo a varios criterios. 1.1.1.Campañas gestionadas directamente por VDF y Campañas gestionadas por otras entidades por cuenta y nombre de VDF. La diferencia entre campañas gestionadas directamente por VDF de las que son gestionadas por otras entidades por cuenta y nombre de VDF es la siguiente: Que en las primeras (VDF), las bases de datos de los destinatarios de las acciones comerciales son proporcionadas por VDF y las acciones comerciales las realiza, o bien el Departamento interno de Marketing o bien el Departamento interno de Televenta (TVTA en lo sucesivo), estás últimas a través de entidades contratadas por VDF que conforman lo que denominan la Plataforma de TVTA. Y las segundas (entidades que actúan por cuenta y nombre de VDF) son realizadas en su totalidad por los llamados Distribuidores/Colaboradores/Agentes (que en ocasiones, subcontratan a su vez la gestión y los tratamientos de datos de afectados para la realización efectiva de las acciones de mercadotecnia en nombre y por cuenta de VDF) pudiendo, en este caso, utilizar las bases de datos proporcionadas por la propia VDF o bien sus propias bases de datos encargándose, según manifiesta VDF, dichos distribuidores/colaboradores/agentes de los filtrados de los datos con ambas Listas Robinson (internas, LRI y Adigital, LRAD). Sobre las “campañas gestionadas otras entidades por cuenta y nombre de VDF”, no consta que VDF disponga del control técnico y organizativo sobre los tratamientos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/97 bases de datos que utilizan estas entidades, pues ni cuando el “distribuidor/colaborador/agente” utiliza sus propias bases de datos ni cuando utiliza las facilitadas por la propia VDF, VDF no tiene implantado métodos ni medios técnicos y organizativos que verifiquen la licitud, el origen de estas ni su efectivo filtrado previo con los LRI o LRAD, ni tampoco durante cuánto tiempo se utilizan. Tampoco consta que VDF tenga control real sobre las acciones comerciales en sí mismas (llamadas, SMS y emails), sino que sólo tiene un control formal basado en las obligaciones contractuales que los distribuidores/colaboradores/agentes adquieren con VDF y referidas solamente a comunicaciones informativas internas, que no de autorizaciones previas para llevar a cabo las acciones de mercadotecnia, en el caso de que utilicen bases de datos propias de los distribuidores/colaboradores/agentes y por tanto ajenas a VDF. En este sentido, señalar que de la documentación requerida a VDF y a estas entidades se infiere que el control sobre las acciones de mercadotecnia es a posteriori, es decir, una vez detectada la deficiencia o presentada reclamación ante la AEPD, se procede a informar a las entidades actuantes e indicar, en su caso, las acciones correctoras. El departamento interno de VDF que contrata con las entidades distribuidoras/colaboradoras/agentes que conforman este segundo conjunto de es el denominado “Distribución/agentes” que está divido en varios canales de venta, entre otros: <<Canal Door to Door>> (D2D en lo sucesivo), <<canal online>>, <<córneres físicos en centros comerciales y establecimientos>>. 1.1.2.Clasificación atendiendo a quien realiza materialmente las acciones comerciales: Estas podrán ser las realizadas por: (A) Departamento de Marketing interno de VDF a través de los medios propios de VDF. (B) Departamento de Televenta interno de VDF a través de las entidades que conforman la Plataforma de TVTA. (C) Departamento de Distribuidores/Colaboradores/Agentes a través de su red de distribuidores/agentes/colaboradores. A.- El Departamento de Marketing interno de VDF realiza sus propias acciones de publicidad desde sus propias bases de datos, sin perjuicio de tener competencias y funciones que se proyectan sobre el departamento de TVTA. B.- El Departamento de TVTA de VDF, está formado por las siguientes plataformas subcontratadas: Para LOWI las plataformas de televenta son: Global Sales Solutions Line, S.L. (GSS) Emergia Contact Center, S.L. (Emergia) Konecta Bto, S.L. (Konecta) Para VDF y ONO las plataformas de televenta son: Global Sales Solutions Line, S.L. (GSS) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/97 Emergia Contact Center, S.L. (Emergia) Konecta Bto, S.L. (Konecta) Telecyl, S.A. (Madison) Atento Teleservicios España Sucursal en Marruecos/Atento Teleservicios España, S.L. (Atento) Marktel Servicios de Marketing Telefónico, S.A. (Marktel) Unísono Soluciones de Negocio, S.A. (Unísono) VDF manifiesta que para cada una de las plataformas que conforman el Departamento interno de TVTA, existe <<un acuerdo marco de protección de datos>> adaptado al RGPD y, como mínimo, un contrato de prestación de servicios donde se regulan los derechos y obligaciones, aunque sólo desde el ámbito mercantil. Todos estos contratos son negociados por la central de compras del Grupo Vodafone que se ubica en Luxemburgo (Vodafone Procurement, S.a.r.l.). Por su parte, todas las citadas entidades que conforman la plataforma del Departamento de TVTA, previamente a ser contratados, deben pasar un proceso de <<homologación de proveedores>> que se gestiona desde Vodafone Grupo ubicado en Budapest, Hungría. Para ello se les remite un checklist donde se les solicita cierta información con el fin de validar si es posible contratar con dicho proveedor. El citado checklist se limita a contestar a determinadas cuestiones con un “SI” o “NO”, sin que se especifique acreditación o contenido de las respuestas y gestión de procedimientos a seguir. El contenido del formulario/checklist es en siguiente: <<POLÍTICAS DE GOBIERNO A.1 ¿Dónde se encuentra establecida su sede? A.2 ¿Disponen de un responsable de la privacidad de los datos personales? SI NO A.3 En caso afirmativo, ¿cuál es su dirección? A.4 ¿Tienen un responsable para GDPR? SI NO A.5 En caso afirmativo, ¿cuál es su dirección? A.6 ¿Tienen definidos y documentadas políticas y procedimientos para la gestión de datos personales? SI NO A.7 ¿Las políticas y procedimientos incluyen una declaración sobre el compromiso hacia la protección de los datos y la privacidad? SI NO A.8 ¿Las políticas y procedimientos tienen reglas transversales, perfiles establecidos y responsabilidades definidas sobre la protección de datos y la privacidad? SI NO A.9 ¿Las políticas y procedimientos contemplan procesos disciplinarios en el supuesto de brechas de seguridad incluyendo un apropiado escalado para informar a la dirección? SI NO A.10 ¿Se informan a la dirección los eventuales cambios de la política de protección de datos? SI NO A.11 ¿Se informa a la dirección de la política de privacidad y de los procedimientos de protección de datos de una manera regular, ej anualmente? SI NO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/97 A.12 ¿Si se le solicita tener un registro del proceso de datos personales, sería válido y estaría actualizado? SI NO EVALUACIÓN Y MODIFICACIONES DEL PROCESAMINETO DE DATOS PERSONALES B.1 ¿Existe un procedimiento para evaluar si un requerimiento o instrucción de Vodafone relativa al procesamiento de datos personales de Vodafone es legítimo? SI NO B.2 ¿Está preparado para notificar a Vodafone si su evaluación de la instrucción o el requerimiento sobre el procesamiento de datos personales recibido desde Vodafone es ilegítimo o podría derivar en un incumplimiento normativo de la ley sobre protección de datos y privacidad? SI NO B.3 ¿Ha definido un proceso para asegurar que si hay cambios significativos en la manera en que se tratan los datos personales de Vodafone, se comunique a Vodafone para obtener la aprobación preliminar cuando proceda? SI NO B.4 ¿Estaría dispuesto a obtener el consentimiento previo por escrito de Vodafone antes de tratar los datos personales de Vodafone con un tercero subcontratado? SI NO B.5 ¿Estaría dispuesto a ayudar a Vodafone a llevar a cabo la evaluación de los impactos sobre la privacidad de los datos personales para aquellos procesos que Vodafone ha catalogado como de Alto Riesgo según lo expuesto en la normativa GDPR? SI NO B.6.1 ¿Permitirá a Vodafone llevar a cabo auditorías de sus Políticas y procedimientos de protección de datos, seguridad y privacidad? SI NO B.6.2 ¿Permitirá a Vodafone llevar a cabo auditorías de los sistemas usados para procesar los datos personales de Vodafone? SI NO B.6.3 ¿Permitirá a Vodafone llevar a cabo auditorías de las ubicaciones físicas en las cuales se procesan dichos datos personales de Vodafone? SI NO B.7 ¿Dispone de procesos definidos para documentar el tratamiento de datos personales que lleva a cabo en nombre de Vodafone? SI NO B.8 ¿Tiene definidos procedimientos para el borrado de los datos personales de Vodafone en concordancia con la política de retención de la información o instrucciones proporcionadas por Vodafone? SI NO B.9 En ausencia de directrices de retención de datos establecidas por Vodafone, ¿Hay una política estandar de retención y borrado de datos? SI NO B.10 ¿Hay establecidos procesos para asegurar que una vez que el contrato con Vodafone ha expirado, todos los datos personales de Vodafone son recuperados de todos los sistemas y devueltos a Vodafone y eliminados de todos los sistemas? SI NO B.11 ¿Se ha establecido un procedimiento por el cual se identifique y se comunique a Vodafone cualquier reglamento u obligación regulatoria a la que esté sujeto y que le obligue a retener los datos personales posteriormente a la finalización del contrato con Vodafone? SI NO CONOCIMIENTO SOBRE LA PROTECCIÓN DE DATOS O LA PRIVACIDAD Y PREPARACIÓN DE LOS DIRECTIVOS INVOLUCRADOS EN EL TRATAMIENTO DE DATOS PERSONALES C.1 Los contratos firmados por su dirección ¿les obligan a la protección y el manejo adecuado de los datos personales? SI NO C.2 Los contratos firmados por su dirección ¿les obligan a extender las responsabilidades sobre los datos personales más allá de la jornada laboral y después de acabar la relación laboral con su empresa? SI NO C.3 Los contratos firmados por sus empleados ¿contemplan medidas disciplinarias como resultado de un fallo en sus responsabilidades con respecto de los datos personales? SI NO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/97 C.4 ¿Ha comunicado a su dirección y al personal de sistemas de información que están manejando datos personales (mediante el canal adecuado) la política y los procedimientos de protección de datos y privacidad? SI NO C.5 ¿Se comunica la política de privacidad y protección de datos a todos aquellos nuevos trabajadores y a la dirección cuando hay un cambio de perfil profesional que produjera a su vez nuevas responsabilidades respecto al tratamiento de datos personales? SI NO C.6 ¿Se dispone del entrenamiento y la formación definida e implementada sobre protección de datos y privacidad para todo el personal involucrado en el procesamiento de datos personales de Vodafone con objeto de asegurar que todo el personal y la dirección disponen de un adecuado conocimiento de los requerimientos para el tratamiento de datos personales? SI NO C.7 ¿Puede demostrar que se ha impartido formación a todos los nuevos trabajadores y a la dirección existente cuando se producen cambios en las responsabilidades sobre el manejo de datos personales? SI NO C.8 ¿El programa de formación y concienciación se desarrolla de forma regular, ej anualmente? SI NO DERECHOS DE LOS INDIVIDUOS D.1 En el supuesto de un requerimiento de acceso de un individuo, o cualquier otro requerimiento sobre los datos personales (incluyendo cualquier Entidad Supervisora), ¿dispone de un procedimiento para dar cobertura a Vodafone o, si fuera requerido por Vodafone, atender directamente al requerimiento? SI NO D.2 ¿Hay establecido un procedimiento para ayudar a Vodafone en la corrección de los datos personales procesados en los sistemas de los cuales usted es responsable? SI NO D.3 ¿El procedimiento tiene procesos de escalado en la comunicación de información a los responsables con límites temporales y mecanismos de rectificación locales? SI NO D.4 ¿Tiene definidos procedimientos que permitan a Vodafone extraer los datos personales de Vodafone de los sistemas de los cuales es usted responsable para que Vodafone pueda cumplir con las obligaciones sobre la portabilidad de la información de un cliente o un empleado? SI NO D.5 ¿Dispone de un procedimiento que permitiría a Vodafone bloquear el acceso de un individuo a sus datos personales? SI NO D.6 ¿Podría Vodafone bloquear con carácter permanente el acceso a un sujeto a los datos personales individuales? SI NO D.7 ¿Podría Vodafone ser capaz de bloquear el acceso a los datos personales de un individuo de manera temporal? SI NO D.8 ¿Estaría en disposición de atender a los requerimientos que Vodafone pudiera tener sobre pseudoanonimización y anonimización de datos personales? SI NO BRECHA DE SEGURIDAD DE DATOS-GESTIÓN DE INCIDENTES Y NOTIFICACIONES E.1 ¿Tiene definidos procesos para el seguimiento de logs (actividad) y de reporte a Vodafone de incidentes de seguridad en relación con los datos personales de Vodafone? SI NO E.2 ¿Los procesos de reporte de incidentes de seguridad y seguimiento de logs sobre datos personales de Vodafone se comunican en su organización? SI NO E.3 ¿Se investigan internamente de manera regular los informes de incidentes de seguridad y brechas de seguridad sobre datos personales, incluyendo la revisión de lecciones aprendidas e identificando cuantos incidentes han ocurrido en los últimos 12 meses? SI NO E.4 Si se ha producido algún incidente de seguridad en los últimos 12 meses que haya impactado en los datos personales de Vodafone ¿Se ha notificado a Vodafone? SI NO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/97 E.5 ¿Alguna persona de su organización tiene la responsabilidad de gestionar los incidentes e informar de los mismos a Vodafone? SI NO E.6 ¿El proceso incluye la obligación de notificar en 24h a los clientes afectados como pudiera ser Vodafone para permitir a los clientes investigar y realizar las correspondientes notificaciones a los reguladores antes de las 72h establecidas por GDPR? SI NO SUBPROCESOS F.1 ¿Existe evidencia de los procesos de due diligence para la selección de subcontratas que incluyan una revisión de los controles técnicos, administrativos físicos concernientes a la protección de datos personales? SI NO F.2 ¿Asegura tener los acuerdos y contratos con sus subcontratas con las mismas o equivalentes obligaciones, tal y como son requeridas en el contrato con Vodafone, en relación con el procesamiento de datos personales? SI NO F.3 ¿Proporcionaría a Vodafone la lista de los subprocesos involucrados o quienes estarían involucrados en el procesamiento de los datos personales de Vodafone? SI NO F.4 ¿Hay un procedimiento para informar a los clientes cuando existe un cambio en un subproceso usado por el proceso principal en el tratamiento de los datos personales? SI NO F.5 ¿Existe una estrategia de retorno de con todos los subcontratos para devolver los datos personales usados por el subproceso? SI NO UBICACIÓN DE LOS DATOS PERSONALES TRATADOS G.1 ¿Los empleados que procesan los datos personales de Vodafone están en la Unión Económica Europea? SI NO G.2 ¿Los empleados que procesan los datos personales de Vodafone están fuera de la Unión Económica Europea? SI NO G.3 ¿Los empleados que procesan los datos personales de Vodafone están tanto en la Unión Económica Europea como fuera de la Unión Económica Europea? SI NO G.4 ¿Procesa los datos personales de Vodafone en centros de datos propios ubicados en Europa? SI NO G.5 ¿Procesa los datos personales de Vodafone en centros de datos propios ubicados fuera de Europa? SI NO G.6 ¿Procesa los datos personales de Vodafone en centros de datos de terceros ubicados en Europa? SI NO G.7 ¿Procesa los datos personales de Vodafone en centros de datos de terceros ubicados fuera de Europa? SI NO G.8 ¿Procesa los datos personales de Vodafone en centros de datos de nube pública tipo Amazon AWS? SI NO G.9 ¿Conoce la ubicación de todos los datos personales de Vodafone y cómo/cuando se usan en todas las jurisdicciones donde opera? SI NO G.10 ¿Asegura que todos los estándares y procedimientos en las ubicaciones/jurisdicciones donde usted o sus subcontratas operan son apropiados y en todo caso son como mínimo equiparables a los estándares y procedimientos que acordó con Vodafone? SI NO G.11 ¿Transfiere datos personales de Vodafone a algún país fuera de la Unión Europea? SI NO G.12 Si se transfieren datos personales de Vodafone a una ubicación tal como: Países no pertenecientes a la Unión Europea o países que no se incluyen en la lista de "Países Seguros" por la Unión Europea, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/97 ¿Está preparado para firmar un acuerdo de transferencia de datos con Vodafone basado en las cláusulas del Modelo de la Unión Europea para exportación e importación? SI NO REVELACIÓN A TERCEROS H.1 ¿Hay definido un procedimiento para evaluar la legitimidad o legalidad de los requerimientos de revelación de datos personales recibidos de terceras partes incluyendo los organismos encargados de velar por el cumplimiento de la Ley? SI NO H.2 ¿Los empleados que reciben y procesan tales requerimientos son conscientes de ese proceso? SI NO H.3 ¿El proceso dispone de todas las garantías para estar registrado con seguridad? SI NO H.4 ¿El proceso necesita que se realice una evaluación para permitir la notificación al cliente del requerimiento de terceros sobre la petición de acceso o sobre la revelación de los datos personales del cliente? SI NO H.5 ¿El proceso establece quien podría notificar al cliente el requerimiento del tercero para acceder o revelar los datos personales del cliente? SI NO CONTRATOS Y RECURSOS I.1 ¿Estaría su empresa dispuesta en firmar con Vodafone un acuerdo de tratamiento de datos en los términos establecidos por Vodafone para regular el proceso? SI NO I.2 ¿Formalizaría su empresa un acuerdo con responsabilidad ilimitada para la ruptura de las obligaciones contractuales en el procesamiento de datos personales? SI NO>> Por tanto, cualquier entidad que solicite adherirse a la plataforma TVTA tiene que realizar esa homologación antes de contratar con VDF e incorporarse a la plataforma de TVTA. Este proceso de homologación consiste en cumplimentar un formulario donde obtiene una respuesta “OK” (válido) o “KO” (no válido). En el caso de que el resultado del formulario sea “OK”, VDF genera un código denominado “SAP” que es el que se atribuye como identificador a la nueva entidad y le permite realizar contratos en nombre de VDF. VDF cuenta con los servicios de una tercera empresa que realiza auditorías de calidad (no específicamente en materia de protección de datos) para verificar el correcto proceder de las entidades contratadas y el cumplimiento de los procesos definidos en los contratos. C.- El Departamento de Distribuidores/Colaboradores/Agentes está dividido en varios canales de venta: Canal “Door to Door” (D2D en lo sucesivo), “canal online”, “córneres físicos en centros comerciales y establecimientos”, entre otros. Existen agentes exclusivos que suscriben con VDF <<contratos de Agencia>>, en donde siempre se incluye un anexo de contenido general relativo al cumplimiento de la normativa de protección de datos, delegando las responsabilidades sobre el cumplimiento de las obligaciones legales a los agentes. También existen entidades que no suscriben contrato de Agencia. En cuanto al canal D2D, se deben distinguir, a su vez, dos escenarios al analizar su actuación, uno referido antes de la adquisición por VDF de ONO (en fecha 10/01/2018), y otro con posterioridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/97 En el primer escenario, los agentes de VDF realizan acciones de captación “a puerta fría” a potenciales clientes en cuyos domicilios existe la posibilidad de instalación de tecnología de fibra óptica de VDF. Tras la aceptación de la oferta por parte del potencial cliente, el agente muestra en su Tablet las condiciones contractuales del servicio a contratar que son aceptadas por el usuario, y con posterioridad se produce una llamada de verificación por la entidad verificadora Marktel. En el segundo escenario, los Distribuidores/Colaboradores/Agentes venden a través de stands en comercios y en la calle, que a su vez también llegan a <<acuerdos con otras agencias de televenta y comerciales>> (subencargados del tratamiento por cuenta de VDF) para la realización efectiva de llamadas telefónicas y que gestionan <<sus propios listados>> de números de teléfono de potenciales clientes. Estas <<otras agencias de televenta y comerciales>> subcontratadas no se someten a un proceso de homologación previo -como hacen las adscritas a la plataforma de TVTA- sino que en la actualidad se sigue trabajando con las que ya prestaban el servicio en ONO antes de la fusión con VDF (en fecha 10/01/2018) y no consta que se hayan verificado los medios técnicos y organizativos de los que disponen. En estos casos, VDF desconoce la identidad de las entidades (otras agencias de televenta y comerciales) subcontratadas por el Distribuidor/Colaborador/Agente y desconoce las garantías de índole técnico u organizativo con las que cuentan. La información relativa a la identidad de estas entidades subcontratadas debe constar en el anexo al contrato (subcontrato) establecido al efecto, pero sólo consta una vez realizada la subcontratación, es decir, VDF desconoce previamente la cualificación técnica y organizativa y la identidad de estas entidades subcontratadas así como su capacidad para el cumplimiento a la normativa vigente. De las cláusulas del contrato tipo denominado “Canal Presencial 2019-2020” (por ejemplo, con CASMAR de 1 de mayo de 2019) suscrito entre VDF y las entidades adscritas a la plataforma de TVTA, figura la obligación de comunicar previamente a VDF la lista de subencargados del tratamiento por cuenta de VDF que van a utilizar los distribuidores/colaboradores/agentes. Esta comunicación se recoge, entre otras, en las cláusulas 5 (recursos) y 6 (características de la actividad) del citado contrato (se incluye en el expediente). Sólo en las cláusulas 13.4 y 13.5 del citado contrato se hace referencia a la obligatoriedad del cumplimiento de la normativa de protección de datos en los siguientes términos: “… sin perjuicio de las obligaciones asumidas por el COLABORADOR en cumplimiento de la legislación de Protección de Datos vigente en cada momento…” (sic). En la cláusula 13.6 se afirma de forma expresa que el “colaborador tendrá la consideración de encargado del tratamiento debiendo formalizar el Acuerdo estándar de tratamiento de datos que se adjunta como anexo IV…”. Sin embargo, esta comunicación a VDF de las entidades subcontratadas tiene un carácter declarativo a posteriori y no está sujeto a aprobación previa por VDF ni consta reflejada la posibilidad del ejercicio de los derechos de los interesados. La finalidad de esta declaración, según manifiesta VDF, es fundamentalmente para disponer de información cuando se detecte una mala praxis. Se han analizado los contratos, alegaciones y comunicaciones entre dos de las entidades distribuidores/Colaboradores/agentes (CASMAR y THE THREE QUARTERS FULL S.L.,) así como el proceso en virtud del cual VDF tiene conocimiento de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/97 entidades a su vez subcontratadas por aquellas, y se concluye que no cumple el requisito de autorización previa por VDF, sino que VDF tiene conocimiento en el momento de la contratación tras cumplimentar el ANEXO informativo establecido al efecto según va siendo necesario dar de <<alta>> a los intervinientes (subencargados del tratamiento por cuenta de VDF). Cumplimentado el citado ANEXO, se solicita el alta a VDF de la entidad a subcontratar y se recaban: nombre y apellidos (o razón social), CIF/NIF y correo electrónico, y es en ese momento cuando VDF tiene conocimiento de la identidad de la entidad subcontratada. No se han encontrado evidencias de que se cumplan las cláusulas 5 y 6 del contrato denominado “Canal Presencial 2019-2020” suscrito entre VDF y las entidades adscritas a la plataforma de TVTA. Se recuerda que dichas cláusulas, (constan en la documentación del expediente) se encuentran en el “contrato de prestación de servicios canal presencial” entre VDF y Casmar de fecha 1/05/2019, y que según manifiesta VDF es un contrato tipo suscrito con las entidades encargadas. A su vez, consta también el contrato entre Casmar y A-Nexo Contact Center SAC, de fecha 1/02/2017, en el que se subcontratan los servicios de venta de productos de VDF a través de ofertas de telemarketing telefónico, según el guion facilitado por Casmar. VDF no aporta la documentación detallada en materia de garantías de protección de datos del contrato que sustenta la relación entre el distribuidor inicial y el subcontratado ni las garantías para el cumplimiento del encargo. Según ha informado VDF, el contrato es similar al que mantienen VDF y los distribuidores iniciales adscritos a la plataforma de TVTA. VDF incluye como obligación contractual genérica que se trasladen las instrucciones a los <<terceros>> (subencargados del tratamiento por cuenta de VDF), para que se realicen las acciones de mercadotecnia en los términos indicados por VDF, pero sin garantías para acreditar su cumplimiento. Se ha accedido a los contratos entre los distribuidores de VDF (CASMAR y THE THREE QUARTER FULL, S.L.) con <<terceros>> (subencargados del tratamiento por cuenta de VDF) y se verifica que no son similares al que tiene VDF con los distribuidores adscritos a la plataforma TVTA. Se pueden diferenciar dos modalidades en relación con la determinación del origen de los datos y la obligación de consulta y filtrado de ficheros de exclusión y ejercicio de derechos (oposición): La primera, en la que VDF contrata con CASMAR y ésta subcontrata con A-NEXO, que a su vez subcontrata con otras personas físicas y jurídicas quienes son las que realizan materialmente las llamadas. En este supuesto los datos utilizados para la realización de llamadas, según afirma CASMAR, los aporta A-NEXO; sin embargo, en el contrato figura que es CASMAR quien proporciona los datos. En este sentido, las acciones de mercadotecnia objeto de este contrato son efectuadas por A-NEXO con un fichero de datos proporcionado por CASMAR y nada se indica sobre consulta previa y filtrado con los ficheros de exclusión ni de ejercicio de derechos. En dicho contrato (cláusula séptima) consta la prohibición expresa se subcontratación con personas físicas o jurídicas sin el previo consentimiento expreso y por escrito de CASMAR. Consta como contestación por CASMAR al requerimiento de información efectuado por la Inspección de esta AEPD en fecha 11/09/2019, que las llamadas desde la numeración ***TELEFONO.2 y 954781254 se realizaron por A-NEXO. En cuanto a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/97 numeraciones destino, CASMAR afirma que son aleatorias. Se aportan al expediente a título de muestra, cuatro correos electrónicos entre la gerencia de CASMAR y A-NEXO sobre denuncias ante la AEPD de llamadas indebidas al estar incluidas las numeraciones en listados de exclusión. Entre otros, desde los números de CASMAR 920211348, 951117277, 958146834, 679905774 y 954781254, a los números ***TELEFONO.1, ***TELEFONO.2. La segunda, en la que VDF contrata con THE THREE QUARTERS FULL, S.L. y esta subcontrata a su vez con otras personas físicas y jurídicas que son las que realizan materialmente las llamadas. En los contratos aportados suscritos entre THE THREE QUARTERS FULL y los subencargados del tratamiento por cuenta de VDF no figura indicación alguna respecto de la obligación de consulta previa y filtrado con los ficheros de exclusión ni con los de ejercicio de derechos. Tampoco consta el origen de los datos para la realización de las llamadas comerciales. 1.2. Origen de los datos utilizados por VDF para las acciones de mercadotecnia y obligación de filtrado con Lista Robinson Interna y con Lista Robinson de Adigital El origen de los datos utilizados por VDF para las acciones de mercadotecnia puede agrupase en cinco grandes grupos: (

1. i)generación de numeraciones aleatorias (
2. ii)bases de datos alquiladas a terceros (iii) registros generados a través del canal online (web`
3. s)(
4. iv)bases de datos ajenas a VDF de los distribuidores/colaboradores y (
5. v)bases de datos de VDF utilizadas por los distribuidores/colaboradores 1.2.1. (
6. i)Generación de numeraciones aleatorias: Se generan numeraciones a partir de diferentes rangos numéricos a criterio de VDF, ya sea para numeraciones fijas o móviles. En estos supuestos puede suceder que un usuario haya ejercido el derecho de supresión/oposición y tras la generación aleatoria los datos relativos al teléfono fijo o móvil vuelvan a ser incluidos en otra campaña. Muchos de estos números llamados no existen o no están asignados a ninguna persona. En cualquier caso, estas bases de datos de numeraciones generadas aleatoriamente, antes de utilizarse para acciones comerciales son cruzadas por VDF tanto con listas Robinson interna y LRAD, siempre y cuando el ejercicio del derecho ante un determinado colaborador haya sido informado a VDF, circunstancia esta última que no consta en los contratos suscritos ni consta acreditada, por lo que en este caso se reiteran las llamadas. 1.2.2. (
7. ii)Bases de datos “alquiladas” a terceros. Se utilizan bases de datos <<alquiladas a terceros>>. En este apartado pueden diferenciarse básicamente dos orígenes: las procedentes de DATACENTRIC PDM, S.A. y las procedentes de MEYDIS S.L. En el primer supuesto, la entidad DATACENTRIC es un intermediario entre VDF y el titular de la base de datos (hay diversos titulares que prestan este servicio a DATACENTRIC, como: WEBPILOT, BELEADER, ADSLASA, EGENTIC, LNVISTO, PRESENTE SERVICE, NETSALES, etc.,). Según informan a VDF, los titulares de los datos que se facilitan en estas bases de datos de potenciales clientes han dado su consentimiento para recibir información comercial. Sin embargo, la circunstancia de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/97 disponer de consentimiento expreso para recibir ofertas comerciales a través de comunicaciones electrónicas (correo electrónico o SMS) no ha sido acreditada, ni siquiera por procedimientos estadísticos como podría ser a través de muestras representativas. En cuanto a la mecánica de trabajo con DATACENTRIC, es la siguiente: Se realiza por VDF un pedido global que se ejecuta mensualmente. El pedido lo realiza vía correo electrónico el Departamento de Marketing interno de VDF indicando la segmentación (por ejemplo, por códigos postales, tipo de tecnología de acceso instalada en el edificio…). Recibida respuesta de DATACENTRIC con el presupuesto, que previamente ha trasladado la petición a sus colaboradores, se informa de, entre otras cuestiones, el tiempo durante el que se puede utilizar la base de datos. Estas bases de datos ya se encuentran filtradas por los Listados Robinson generales (Adigital). En el segundo supuesto, la entidad MEYDIS, proporciona a VDF bases de datos publicados en repertorios de abonados a servicios de telecomunicaciones. Generalmente el plazo durante el que pueden utilizarse los datos es de un año. En este servicio no existe contrato por ser de cuantía inferior al importe determinado por el departamento de compras por lo que se hace un pedido según las condiciones generales de la contratación para este tipo de cuantías. VDF exige a MEYDIS el requisito que los datos sean adecuados para realizar acciones de mercadotecnia. Recibidas por VDF las bases de datos, se procede al cruce con LRI y LRAD. 1.2.3. (iii) Datos obtenidos a través de páginas web, Canal On/Line, generación de “leads”. Desde páginas web de VDF o de terceros (por ejemplo, a través de banners) se obtienen datos de potenciales clientes que se interesan por los servicios de VDF y facilitan sus datos de contacto aceptando una determinada política de privacidad, que puede ser para productos o servicios concretos sobre cuestiones planteadas respecto a la disponibilidad de cobertura de fibra en su domicilio, o para acciones comerciales futuras. También se engloban aquí datos que se obtienen de personas que llaman directamente a VDF solicitando información. Estos datos personales así recabados -llamados “leads”- son incorporados a la <<herramienta lead management>> llamada DELIO, para luego ser contactados de acuerdo con la política de privacidad aceptada en el momento de facilitar los datos en la web de VDF y que puede implicar dos posibilidades, una referida a recibir información concreta y otra para ser receptor de comunicaciones comerciales futuras. Con la herramienta DELIO se puede contestar al usuario automáticamente ya que visualiza directamente al operador la web o el canal en el que el usuario ha realizado la consulta y ha aceptado la política de privacidad. Si finalmente el usuario no contrata el servicio tras recibir la llamada desde DELIO, se crea un registro en el “lead management”, de acuerdo con la política de privacidad aceptada por el usuario al facilitar sus datos de contacto. Puede suceder que los datos se hayan incorporado para recibir información de un producto o servicio concreto y, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/97 cambio, no se haya marcado el check relativo al uso de datos en futuras acciones comerciales. Estos leads son contactados posteriormente a través de distintos medios: llamadas desde la plataforma TVTA, SMS o Email. No obstante, para que un “lead” se incorpore a DELIO, se ha de haber producido al menos la llamada de contacto. Estos leads son contactados en un plazo máximo de 48 horas, y se hacen por petición previa del interesado y, pasado dicho plazo, se le envía un SMS informando que se ha intentado contactar sin éxito facilitando un número donde podrá contactar nuevamente con VDF. Respecto de los datos incorporados tras haberse realizado una consulta de cobertura de fibra, se observa que se ha modificado el proceso de consulta de cobertura respecto del existente en el mes de julio de 2019. En las pruebas realizadas en el mes de julio de 2019 se verifica que se solicitaba, además de la dirección respecto del domicilio donde se pretendía hacer la consulta, el nombre, apellidos y teléfono y se ofrecía una política de privacidad con dos posibilidades: (
8. i)aceptar el tratamiento de los datos para dar respuesta exclusivamente a lo solicitado, en este caso, si había o no cobertura de fibra óptica – los datos de contacto se podían proporcionar a través de la propia web en ese momento, sin necesidad de conocer nombre, apellidos y teléfono; (
9. ii)además del anterior, aceptar el tratamiento para otros fines comerciales. En el mes de septiembre de 2019 se verifica que inicialmente se solicita únicamente datos relativos a la dirección del domicilio donde se pretende hacer la consulta, y si el proceso no puede finalizarse (como por ejemplo, el domicilio no está en la base de datos de cobertura, escrita en otro idioma o de manera incorrecta, sea un numero de vía que no existe, etc.,..), la página web ofrece la opción de un sistema de contacto “click to call”, y es en este momento donde se solicita el nombre y teléfono, poniendo a disposición, unos check de aceptación de la política de privacidad. Con los distintos orígenes de datos indicados (aleatorias, bases de datos alquiladas a terceros y generación de leads) el Departamento de Marketing interno de VDF filtra los datos con LRAD y listados de ejercicios de derechos, y lo remite al Departamento interno de TVTA. El Departamento de TVTA vuelve a filtrar los datos una segunda vez tras segmentarlos para su reparto entre los distintos servicios de <<calls center>> subencargados del tratamiento por cuenta de VDF que realizan materialmente las llamadas. Algunas entidades que conforman la plataforma de TVTA tienen sus propias LRI que también son objeto de confrontación y filtrado previo. A fin de evitar que por el transcurso del tiempo se produzcan variaciones en la base de datos (referidos a personas que han ejercido con posterioridad el derecho de oposición), la plataforma de TVTA utilizará las bases de datos únicamente durante un mes. En definitiva, en los tres supuestos indicados, los titulares de los datos son contactados por el Departamento de Marketing o por el Departamento de TVTA a través de las distintas entidades que conforman la plataforma, utilizando siempre las bases de datos filtradas LRAD y listados de usuarios que han ejercido sus derechos. 1.2.4 (
10. iv)Bases de datos Distribuidores/Colaboradores. C/ Jorge Juan, 6 28001 – Madrid ajenas a VDF utilizadas por los www.aepd.es sedeagpd.gob.es 16/97 Esta posibilidad se da únicamente en las campañas gestionadas por “terceros” usando bases de datos personales no proporcionadas por VDF. VDF desconoce la adecuación a la legalidad de estas bases de datos ajenas y no ha acreditado su licitud ni siquiera de forma indirecta como puede ser por la realización de muestreos al objeto de contrastar el consentimiento de los interesados, pues VDF entiende que “corresponde a los terceros controlar su legalidad en tanto son responsables de las mismas” (origen de los datos, actuaciones para acreditar el consentimiento, filtrado con ambos LR, atención de los derechos ejercidos, etc.,). En relación con las llamadas que realizan estos agentes/distribuidores (y en su caso, otros subencargados del tratamiento por cuenta de VDF) cuando se ejerce un derecho de oposición durante una llamada, no se traslada dicho ejercicio a VDF, sino que incluye en la LRI de los agentes/distribuidores. La obligación de consulta de LRAD por parte de los distribuidores, no está prevista en el contrato suscrito entre VDF y los distribuidores. Si se contrasta o no las listas LRI, LRAD o de ejercicios de derechos, es una circunstancia que VDF no está en disposición de verificar y, además, VDF entiende -pues así lo afirma en diversas ocasiones- que compete exclusivamente a los distribuidores en cumplimiento de la normativa vigente en materia de protección de datos. En los contratos analizados entre los distribuidores y los subencargados del tratamiento por cuenta de VDF no se han hallado cláusulas que determinen esta obligación de consulta previa a listados de exclusión y su filtrado. Consta que los distribuidores no contrastan previamente la base de datos utilizada para las acciones comerciales con la LRI de VDF. Puede suceder que un interesado haya ejercido el derecho de oposición ante VDF y, a pesar de ello, un distribuidor reitere la llamada. Igualmente ha sucedido que se haya tramitado una reclamación contra VDF ante la AEPD y que se haya resuelto instando a VDF a que informe al afectado de que sus datos se han incluido en LRI y, comunicada esta circunstancia al afectado, con posterioridad se reitere la llamada por uno de estos distribuidores. Esto es debido a que no existe comunicación adecuada por parte de VDF con los distribuidores y subencargados del tratamiento por cuenta de VDF. VDF tiene establecido protocolos de comunicaciones a través de correos electrónicos para los distribuidores y subencargados del tratamiento por cuenta de VDF -en caso de que existan- relativas al recordatorio de que crucen las bases de datos a utilizar con la LRAD, que consta que han resultado ineficaces. Respecto de las garantías de legalidad en el uso que hacen los distribuidores/colaboradores de las bases de datos, en el escrito de fecha 26/04/2019 VDF manifestó que estas comunicaciones se realizan con el siguiente contenido: <<(…) si la base de datos utilizada por el colaborador es de su -del colaboradorpropiedad, Vodafone les exige que, en primer lugar, tengan la autorización de Vodafone para usar esa base de datos en una campaña realizada a nombre y por cuenta de Vodafone. En segundo lugar, se les exige que hayan obtenido el consentimiento informado del titular. Y, en tercer lugar, que filtren su base de datos con los listados Robinson oficiales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/97 Asimismo, deberán facilitar un medio sencillo para que los destinatarios de las campañas puedan ejercitar su derecho de oposición a continuar recibiendo llamadas o comunicaciones comerciales. (…)>> En la Inspección realizada en la sede de VDF los días 18 y 30 de septiembre, los representantes de VDF aclaran lo siguiente: << (…) (
11. i)no existe una autorización relativa al uso de base de datos ajenas, es decir, propias de los distribuidores y por tanto no hay un proceso de autorización, sino que se solicita información en el caso de que utilicen estas bases de datos. (
12. ii)VDF no está en condiciones de comprobar que los titulares de las líneas receptoras han prestado su consentimiento o no se han opuesto, pues es una obligación que les corresponde a los agentes colaboradores, (iii) VDF no asegura que en cada llamada se ofrezca un medio efectivo de ejercitar el derecho de oposición. 1.2.5. (
13. v)Bases de datos de VDF utilizadas por los Distribuidores/Colaboradores/. En ocasiones los distribuidores/colaboradores hacen uso de bases de datos facilitadas por VDF. En estos casos, existen comunicados (que más adelante se indican) por parte de VDF referidos a la obligación de utilizar únicamente estas bases de datos (por encontrarse ya filtradas con LRAD y ejercicio de derechos). Sin embargo, no existe ningún procedimiento habilitado ni controlado por VDF tendente a verificar que únicamente sus distribuidores, y no otros, utilizan la base de datos que VDF les ha proporcionado y durante los periodos que se le indique. 2. Medidas adoptadas por VDF en relación con las reclamaciones recibidas y tras el conocimiento de la existencia actuaciones de inspección incoadas por la AEPD. La mayoría de las reclamaciones recibidas son por campañas que no gestiona directamente VDF (las gestionadas directamente por VDF son las realizadas a través de su Departamento de TVTA o el Departamento de Marketing), sino que versan sobre campañas gestionadas por terceros, es decir, distribuidores/colaboradores y en su caso subencargados del tratamiento por cuenta de VDF por estos. En cuanto a la adopción de medidas, pueden distinguirse medidas generales, y otras más concretas en relación con determinadas reclamaciones, consistentes en solicitar a los distribuidores la inclusión de concretas numeraciones en la LRI cuando ya se ha producido la/s llamada/s o tras un requerimiento de la AEPD, y se resumen en las siguientes:  En el mes de noviembre de 2018 y en el mes de julio de 2019 se remitieron COMUNICADOS a las entidades adscritas de la plataforma TVTA, y a los Distribuidores/Colaboradores, respectivamente, a fin de recordarles las obligaciones en materia de protección de datos diferenciando dos supuestos:
14. a)En caso de usar bases de datos de VDF: estas han de usarse durante el tiempo estipulado y exclusivamente para la campaña indicada, ya que están filtradas por LRAD y listado de ejercicio de derechos. Si son utilizadas posteriormente en campañas futuras se les advierte que podrán estar desactualizadas.
15. a)En caso de utilizar bases de datos propias de los distribuidores/colaboradores (ajenas a VDF): deberán asegurarse de que cuentan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/97 con la aprobación previa y expresa de VDF para realizar dichas llamadas; que disponen de los datos de forma licita y obteniendo el consentimiento expreso de los titulares, estando prohibido el uso de bases de datos que no cumplan estos requisitos; filtrar sus bases de datos con LRAD y no utilizar medios de comunicación que no hayan sido consentidos por los destinatarios de la campaña. En la inspección realizada en la sede de VDF en fechas de 18 y 30 de septiembre de 2019, los representantes de VDF manifestaron que no se han realizado comprobaciones sobre el cumplimiento de las medidas que se indican en los anteriores comunicados. En el mes de noviembre de 2018, VDF creó una base de datos de numeraciones llamantes (distribuidores y sus subencargados del tratamiento por cuenta de VDF) a fin de poder identificar quien realiza las llamadas. En el mes de julio de 2019 esta base de datos se ha incrementado notablemente, en la medida que en los contratos firmados con el “Canal Presencial 2019-2020” se ha incluido una cláusula que impone como condición obligatoria la identificación previa de las numeraciones desde las que se van a realizar las llamadas comerciales. Se han aportado al expediente las comunicaciones entre VDF y sus distribuidores solicitando la identificación de los subencargados del tratamiento por cuenta de VDF y las numeraciones que van a utilizar, siendo todas ellas del mes de septiembre de 2019. También se ha aportado al expediente esta base de datos de numeraciones llamantes actualizada a fecha de julio de 2019. Otra de las medidas que están en estudio es la de llevar a cabo para impedir que se realicen llamadas desde numeraciones no identificadas, el enrutamiento de llamadas únicamente a través de la red interna de VDF, integrando asimismo el “cruce” con las numeraciones incluidas en LRAD y listado de ejercicio de derechos, de modo que se tenga un control efectivo de las llamadas realizadas en su nombre, que pasa por la identificación del llamante y por la exclusión de las acciones comerciales a usuarios que hayan manifestado su oposición o bien a través de su inclusión en ficheros de exclusión de acciones publicitarias de carácter interno o externo. Por tanto, en el futuro será condición indispensable para prestar el servicio a VDF utilizar troncales de VDF a fin de poder realizar restricciones determinadas, (líneas llamantes, horario, LRAD, derechos de oposición, etc.,). La web interface se conectará con el sistema de marcación de VDF para validar previamente la llamada. VDF comienza a plantear esta idea a finales de mayo de 2019 y en los meses de junio y julio se comunica a los agentes colaboradores. Se producen reuniones en el mes de septiembre 2019 y en octubre se van a iniciar las pruebas con una entidad para posteriormente implementarlo en las restantes. En este sentido, se aportan comunicaciones entre VDF y colaboradores en el siguiente sentido: <<Asunto: Reunión esta mañana se recogen los compromisos que han adquirido CASMAR, THREE-QUARTER, SOLIVESA en relación con el envío de comunicados a los colaboradores, el aseguramiento de que se filtren las bases de datos con LRAD, y la adopción de medidas para auditar que dichos colaboradores cumplen con los procesos>>. Y también se cita que <<trabajaremos juntos para implantar la plataforma de enrutamiento de llamadas que hemos comentado>>. A la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/97 fecha actual no consta que haya sido implantado este protocolo de enrutamiento desde el troncal de VDF y a fecha del acuerdo de inicio, de las 191 reclamaciones presentadas, 26 reclamaciones datan del mes de septiembre de 2019 a enero de 2020. Existen otras medidas relacionadas con el envío de comunicados por parte de VDF a los distribuidores sobre reclamaciones concretas en relación con las llamadas, para que se excluyan las numeraciones de posteriores acciones comerciales. A título de ejemplo constan aportadas al Acta de Inspección E/01615/2019/I-01 como documento número 21, varias comunicaciones consistentes en solicitar a los distribuidores la inclusión de determinadas numeraciones en listas Robinson (interna y AD), cuando ya se ha producido la/s llamada/s y tras un requerimiento de la AEPD. VDF informa de que no ha interpuesto denuncia ante la Policía respecto a llamadas indebidas en la medida en que VDF no tiene la certeza de la identidad del titular del número llamante que actúa en su nombre. En la relación entre VDF y los distribuidores/colaboradores no es un requisito para el abono de su comisión el verificar el número desde el que se ha realizado la captación del cliente (numeración llamante), sino que las verificaciones se limitan al cumplimiento de los requisitos de la contratación del producto o servicio. 3. Procedimiento de obtención de datos de destinatarios y ejercicio de acciones de mercadotecnia en relación con el envío de comunicaciones comerciales por medios electrónicos (SMS): Las numeraciones destinatarias al envío de SMS se generan de forma aleatoria sin discriminación alguna por lo que se han remitido comunicaciones comerciales electrónicas a potenciales clientes sin la concurrencia de los requisitos previstos en el artículo 21 de la LSSI (expresamente autorizadas). Los envíos de SMS los realiza directamente VDF. 4. Muestreo de evidencias de incumplimiento de la normativa vigente en materia de protección de datos obtenidas en relación con el funcionamiento del proceso descrito en los apartados anteriores. 4.1- Acciones comerciales tras un procedimiento de reclamación resuelto en la AEPD dónde VDF afirma que ha incluido los datos del afectado en la LRI.  En fecha de 3/05/2019, por (…) se presenta escrito en esta agencia en el que indica que “Puse una reclamación ante la Agencia Española de Protección de Datos el 11 de septiembre de 2018 (Nº registro: 193763/2018), la cual adjunto, porque recibíamos llamadas comerciales no solicitadas de Vodafone al teléfono fijo. No éramos ni somos clientes de Vodafone, y estábamos y estamos en la Lista Robinson. La AEPD me respondió (expedientes E/07212/2018 y E/05851/2019) que Vodafone España, S.A.U. les había comunicado "que se ha procedido a su inclusión en su lista Robinson, con el fin de asegurar que al reclamante no se le incluya en futuras campañas comerciales de Vodafone", (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/97 Pues bien, la situación, con las molestias que conlleva, se sigue dando, siguen llamándonos al teléfono fijo teleoperadores de esta empresa para ofrecernos sus servicios comerciales no solicitados, (…)  En fecha de 29/05/2019, por (…) se presenta escrito en esta agencia en el que indica que (expedientes E/10150/2018 y E/07447/2019) VODAFONE, mediante carta de fecha 28/02/2019 le comunicó la inclusión de sus datos en la lista Robinson interna a fin de evitar que su número de teléfono pueda ser incluido en futuras campañas comerciales. Manifiesta que desde el 15/05/2019 hasta el 24/05/2019 se han seguido produciendo llamadas comerciales de VODAFONE. Aporta grabación de dos llamadas recibidas en fecha de 24/05/2019, en la que se verifica lo siguiente: En la primera llamada el teleoperador pregunta por el reclamante, y tras reiteradas preguntas del reclamante, se identifica como (…) de la compañía ONO VODAFONE para ofrecerle descuentos en servicios, el reclamante tras explicar que se encuentra en lista Robinson y que VODAFONE le envió una carta comunicándole tal circunstancia, el teleoperador comunica que seguirán llamándole. En la segunda llamada el teleoperador pregunta por el titular de la línea, y tras reiteradas preguntas del reclamante, se identifica como (…) de la compañía ONO VODAFONE. el reclamante manifiesta que se encuentra en lista Robinson. El teleoperador manifiesta que no consultan el fichero de lista Robinson.  E/03445/2019, cuyo afectado es (…), denuncia la recepción de llamadas desde la línea 912001212 en el mes de febrero de 2019 (expedientes E/09407/2018 E/03445/2019 E/07055/2019) dónde ya identificó, entre otras, como línea llamante la misma numeración que continua realización llamadas, y en cuyo expediente VODAFONE manifestó la inclusión de sus datos en lista Robinson interna y el envío de comunicados a sus distribuidores.  En el expediente E/03367/2018 (y posterior E/03964/2019) se denuncia la recepción de llamadas desde las líneas 911251946 y 955316972, en el que VODAFONE manifestó la inclusión de sus datos en lista Robinson interna, y el envío de comunicados a sus distribuidores, reiterando nuevamente las llamadas en fecha posterior.  E/03978/2019, denuncia la recepción de llamadas desde el número de teléfono 935085190 en fecha 11/03/2019, teniendo como antecedente el procedimiento de reclamación E/07329/2018 y en cuyo expediente VODAFONE manifestó la inclusión de sus datos en lista Robinson, además de conocer su inclusión en Lista Robinson Adigital, y el envío de comunicados a sus distribuidores.  E/03980/2019 y E/07960/2019, cuyo afectado es (…), denuncia la recepción de llamadas desde el número de teléfono 954781254 en fechas de 12/03/2019 y 01/04/2019, teniendo como antecedente el procedimiento de reclamación E/10149/2018 y en cuyo expediente se dio traslado de la reclamación a VODAFONE dónde además de ponerle de manifiesto los hechos se informó de la inclusión en lista Robinson de Adigital. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/97  E/07106/2019, el reclamante recibe llamadas desde las numeraciones 764255362, 953230927, ***TELEFONO.2 y 953241849, la última en fecha de 10/06/2019, estando en LRAD desde 19/03/2019 y en LRI desde 8/04/2019. VDF no ha podido identificar la titularidad de las líneas llamantes, por no figurar en la base de datos creada al efecto. 4.2- Acciones comerciales realizadas desde las numeraciones ***TELEFONO.2 y 954781254 por los distribuidores CASMAR y THREE QUARTERS FULL S.L. Dado el volumen de reclamaciones (191 reclamaciones incorporadas al expediente) que tienen como líneas llamantes las numeraciones indicadas, se han realizado diligencias dirigidas expresamente a analizar la relación de VDF con CASMAR y THREE QUARTERS FULL S.L. (TQTF en lo sucesivo), el procedimiento de obtención de los datos, y el cumplimiento de la obligación de consulta previa con los listados de exclusión. Se han hallado 17 reclamantes que manifiestan acciones comerciales realizadas desde la numeración 954781254, y 19 reclamantes respecto de las realizadas desde la numeración ***TELEFONO.2, a pesar de que los números de los destinatarios estaban incluidos en LRAD, o han ejercido su derecho de oposición frente a VDF y figuran en su LRI. VDF manifiesta e insiste nuevamente que la consulta con LRAD compete a los terceros distribuidores por ser ellos los responsables de las bases de datos y que, si bien no consta esa obligación en el contrato, a través de comunicados han realizado una labor de concienciación en ese sentido. CASMAR manifiesta que es la entidad proveedora “A-NEXO” la que proporciona el listado Robinson y no les ha trasladado ningún derecho de oposición recibido tras la realización de llamadas. Sin embargo, en el contrato suscrito entre ambas entidades figura que los listados Robinson son aportados por Casmar. CASMAR utiliza distintos proveedores, entre los que se encuentra A-NEXO, tanto para aportar la base de datos utilizada como para la realización de las llamadas, que a su vez contrata con comerciales subencargados del tratamiento por cuenta de VDF para la realización efectiva de llamadas. Este esquema de intervinientes dibuja varios niveles de actuación: Nivel I.- VDF es quien contrata con la entidad CASMAR (y ésta, en su caso, con otros colaboradores) la realización de acciones comerciales de captación de clientes. La base de datos a utilizar puede ser proporcionada por VDF o por CASMAR que la obtiene por su cuenta (de otros colaboradores). Nivel II.- CASMAR subcontrata a la entidad A-NEXO (y ésta en su caso a otros colaboradores) la realización de llamadas comerciales. CASMAR informó a la AEPD que los datos utilizados los proporciona A-NEXO y, sin embargo, en el contrato que aportó figura que los datos los proporciona CASMAR. Nivel III.- A-NEXO subcontrata a su vez a comerciales para la realización de llamadas, tanto personas jurídicas como físicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/97 Nivel IV- Comerciales contratados por CASMAR, a su vez, realizan las llamadas por su cuenta. VDF únicamente tiene relación jurídica con CASMAR y respecto de los restantes niveles, es informado en diferentes espacios temporales y no como parte del contrato de la identidad de los otros colaboradores. Sobre el conocimiento por parte de VDF de los subencargados del tratamiento por cuenta de VDF, CASMAR aportó la documentación contractual donde figuraba “en blanco” la lista de subencargados del tratamiento por cuenta de VDF que debía aprobar VDF, manifestando que está en <<blanco>> por el dinamismo con el que se van reemplazando y actualizando los “calls centers”. CASMAR aporta un listado de subencargados del tratamiento por cuenta de VDF como Anexo I al contrato “Canal Presencial 2019 2020” de fecha 1/05/2019 que tiene suscrito con VDF, entre los que se encuentra la entidad A-Nexo. Hay que añadir, que en el anexo I del citado contrato entre Casmar y VDF, figura una relación de 15 entidades y personas físicas subcontratadas denominada “lista de los subencargados aprobados” (sic), entre las que se encuentra la entidad A-Nexo, en el que consta que la “ubicación actual del tratamiento” (sic) se encuentra en Perú. Según consta en el contrato suscrito entre Casmar y la subcontratada A-Nexo, las numeraciones de los listados de exclusión son facilitadas por Casmar. Dicho anexo I se encuentra firmado por Casmar y VDF con fecha 1/05/2019. No consta acreditado que dispongan de un contrato que contenga las preceptivas cláusulas contractuales tipo de la Decisión de la Comisión, de 5 de febrero de 2010, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países. Por su parte, TQTF manifestó que VDF tiene conocimiento de los subencargados del tratamiento por cuenta de VDF sólo en el momento en el que se le solicita su acceso a la plataforma de contratación de VDF. Es decir, TQTF solicita el alta a VDF de los subencargados del tratamiento por cuenta de VDF para poder realizar las contrataciones (VDF les suministra usuario de acceso a la plataforma de contratación). Por tanto, para que los comerciales subencargados del tratamiento por cuenta de VDF puedan dar de alta líneas nuevas, es necesario que VDF haya otorgado acceso a una determinada aplicación de “altas”. VDF no requiere ningún tipo de verificación a los comerciales subencargados del tratamiento por cuenta de VDF sobre los datos a utilizar en las llamadas comerciales, sino que se limita a crear un usuario con contraseña, previa petición de CASMAR o TQTF, que se comunica a los comerciales o al distribuidor final para estar habilitado para realizar altas de líneas contratadas. VDF conoce la interposición de reclamaciones ante la AEPD, ya que desde el mes de noviembre de 2018 se ha dado traslado de las mismas desde la AEPD y no es hasta el mes de julio de 2019 cuando se lo comunica a los distribuidores (pues ya lo hizo en el mes de noviembre de 2018 para las entidades que conforman el Departamento interno de TVTA). Son ejemplos de estas acciones en las que no han utilizado numeraciones previamente filtradas con los listados de exclusión publicitaria ni han tenido en cuenta los derechos de oposición previamente ejercidos por los afectados realizadas ante CASMAR o VDF, los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/97  E/07147/2019: El reclamante recibe llamadas comerciales, la última en fecha de 12/06/2019 tras haber ejercido el derecho de supresión frente a VDF en fecha de 8/05/2019, y en LRI de VDF desde 9/05/2019.  E/07144/2019: El reclamante recibe llamadas comerciales, la última en fecha de 5/06/2019, tras haber ejercido el derecho de oposición constando en LRI de VDF desde 2/04/2019, la línea móvil, y 20/08/2018 la línea fija. También en LRAD desde marzo de 2019.  E/7765/2019: El reclamante recibe llamadas comerciales, la última en fecha de 7/06/2019, tras haber solicitado la supresión frente a VDF en fecha de 2/06/2019 y figurar inscrito en LRAD desde el 14/11/2017.  E/7758/2019: El reclamante recibe llamadas comerciales, la última en fecha de 26/06/2019 figurando en LRAD desde el 22/10/2018. En este caso, el distribuidor llamante es TTQF en nombre y por cuenta de VDF. Estas reclamaciones evidencian que los distribuidores y subencargados del tratamiento por cuenta de VDF no han utilizado numeraciones previamente filtradas con los listados de exclusión publicitaria ni han tenido en cuenta los derechos de oposición previamente ejercidos por los afectados. VDF insiste nuevamente en que no contempla en sus contratos con los distribuidores la obligación de consultar LRAD por entender que esta corresponde a los titulares de las bases de datos a utilizar, y según ha manifestado VDF las bases utilizadas no se filtran con los listados de exclusión internos. 4.3- Muestreo de evidencias de incumplimiento en relación con las campañas gestionadas directamente por VDF. Estas acciones son consideradas “gestionadas directamente por VDF” pues la entidad que realiza la llamada es una de las que conforma su propia plataforma de TVTA. VDF cuenta con un proceso para que tanto la plataforma de TVTA como el Departamento de Marketing, utilicen únicamente bases de datos que contengan datos de líneas que no estén inscritas en LRAD y listados de ejercicios de derechos. No obstante, el tratamiento de los datos seguido por VDF es deficiente tal y como se acredita a continuación: Desde la numeración 607100219, que pertenece a KONECTA (pertenece a la plataforma TVTA) se han realizado llamadas que han dado lugar a diferentes reclamaciones por estar incluidos los datos de los reclamantes en LRAD, a continuación se indican ejemplos:  E/03455/2019: la numeración ***TELEFONO.3 figura inscrita en LRAD desde el mes de marzo de 2017, y las llamadas se producen en el mes de marzo del año 2019.  E/1845/2018: que dio lugar al procedimiento sancionador de referencia PS/290/2018 por llamadas realizadas en el año 2018 con destino a un número que figuraba inscrito en LRAD desde el año 2013 y a la nueva reclamación actual de referencia E/03821/2019. En el citado procedimiento sancionador la entidad reconoció C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/97 la responsabilidad en los hechos denunciados y fue sancionada por una infracción con multa de 12.000 €, acogiéndose al 40% de reducción de la cuantía. 4.4- Muestreo de evidencias de incumplimiento en relación con el envío de comunicaciones comerciales por medios electrónicos (LSSICE) por cuenta y nombre de VDF. Tal como se ha indicado en el apartado 4, VDF manifestó que se han enviado SMS a numeraciones generadas aleatoriamente, lo que impide verificar el cumplimiento de lo dispuesto en el art. 21 de la LSSI, en concreto la exigencia de solicitud “expresamente autorizada”, considerándose los todos los destinatarios <<potenciales clientes>>. A continuación, de los 25 expedientes de LSSICE, se indican algunos referidos al envío fraudulento de SMS:  E/03977/2019 NÚM RECEPTOR: ***TELEFONO.4 ***TELEFONO.5 OPOSICION: 5/07/2018 FECHA DE LOS SMS: 05/07/2018, 20/10/2018, 21/10/2018, 11/02/2019 y 15/02/2019  E/02050/2019 y E/08132/2018 NÚM RECEPTOR: ***TELEFONO.6 OPOSICION: 8/10/2018 ATENDIDA POR VDF FECHA DE LOS SMS: 04/02/2019, E/2050/2019 (Antecedente E/08123/2018, 27 dic 2018, carta al reclamante) NÚM. RECEPTOR: ***TELEFONO.7 OPOSICION: MEDIANTE RECLAMACION AEPD FECHA DE LOS SMS: 22/12/2018, 01/02/2019, 30/01/2019  E/00126/2019 NÚM. RECEPTOR: ***TELEFONO.8 OPOSICIÓN: OCTUBRE 2018 FECHA DE LOS SMS: 05/11/2018, 30/11/2018, 28/12/2018  E/00084/2019 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/97 NÚM. RECEPTOR: ***TELEFONO.9 ***TELEFONO.10 ***TELEFONO.11 OPOSICION/CANCELACION: 25/08/2018; 07/10/2018 Y ROBINSON. FECHA DE LOS SMS: 25/08/2018, 06/09/2018, 23/09/2018, 30/10/2018 5. Las actuaciones presenciales de inspección llevadas a cabo en relación con las reclamaciones recibidas en la AEPD con la finalidad de determinar la adecuación del procedimiento de gestión de las acciones de mercadotecnia llevadas a cabo por cuenta y nombre de VDF figuran anexas al Acta de Inspección y en la documentación del presente expediente que fue debidamente notificada a la representación de la investigada (VDF). TERCERO: Con fecha 26 de febrero de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 28 del RGPD en relación con el artículo 24 del RGPD sancionable conforme el artículo 83.4 del RGPD, por la presunta infracción grave del artículo 21 de la LSSICE, tipificada como grave en el artículo 38.3.
16. d)y
17. c)de dicha norma, por la presunta infracción del artículo 48.1.
18. b)de la LGT, considerada grave en el artículo 77.37 de la citada norma. CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó en fecha 4/03/2020 escrito en el que solicitaba copia del expediente y ampliación de plazo al objeto de presentar alegaciones. Concedida la ampliación del plazo, se notificó el expediente a la investigada presentando alegaciones en fecha 9/06/2020 (al quedar afectado por la suspensión de plazos como consecuencia del establecimiento del estado de alarma) que se exponen, en síntesis, en los siguientes términos: 1. En los expedientes notificados se incluyen afectados que son personas jurídicas. 2. La exposición de hechos en el Acuerdo de Inicio dificulta en extremo analizar y realizar un examen detallado pudiendo menoscabar el derecho a la legítima defensa. 3. La diligencia debida en los términos del art 28 del RGPD hace referencia solo a la fase de contratación con el encargado y no debe entenderse respecto del seguimiento posterior del contrato. 4. Los proveedores contratados por VDF del departamento interno de televenta han superado un proceso previo de validación y son sometidos a procesos de auditorias en las que se justifica las medidas técnicas y organizativas con las que cuentan para el desarrollo del servicio contratado. 5. Respecto de los proveedores externos usando bases de datos propias: estos proveedores no actúan en calidad de encargados del tratamiento sino como responsables de sus propias bases de datos ya que estos datos personales son recopilados en nombre del proveedor y no en el de VDF. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/97 6. Respecto de los proveedores externos usando bases de datos facilitadas por VDF: VDF cumple en la contratación con los encargados todos los requisitos establecidos en el art 28 del RGPD y estos prestadores reúnen las condiciones para dar cumplimiento a sus obligaciones, no existiendo falta del deber de diligencia por lo que no procede poner en duda la ejecución efectiva de las obligaciones contractualmente asumidas. 7. Respecto de regulación del contrato entre responsable y el encargado de las subcontrataciones realizadas por parte del encargado, en la Guía de la AEPD se aconseja la aplicación de determinadas cláusulas como la utilizada por VDF. En dichas cláusulas de indica que corresponde al encargado inicial regular la nueva relación y con los mismos requisitos formales que con el responsable. 8. La necesidad de autorización expresa previa de los subencargados no es un requisito obligatorio, sino que el art 28.2 indica que el encargado debe informar al responsable y, en su caso, éste autorizar dando así al responsable la opción de oponerse. Este aspecto no se contempla en la Guía de la AEPD (opción B). 9. Según la DT5ª de la LOPDGDD, los contratos previos al 25/05/2018 mantendrán su vigencia hasta el 25/05/2022, por lo que su contenido no puede ser exigible al no ser de aplicación. 10. El control exhaustivo del responsable sobre los encargados impediría “que puedan marcar un número de teléfono no autorizado”, habiendo tenido VDF la diligencia razonable. 11. No se ha tenido en cuenta los esfuerzos técnicos realizados por parte de VDF para implementar mejoras en fase de desarrollo, que resultaron acreditadas en el momento de la inspección presencial por parte de la AEPD, minusvalorándose el esfuerzo técnico en desarrollo. 12. Los datos de contacto para acciones de telemarketing puestos a disposición de los proveedores por parte de VDF han sido contrastados previamente con los datos contenido en los listados Robinson internos y de ADigital y se especifica el tiempo de uso para evitar datos desactualizados. 13. Los datos objeto de tratamiento solo pueden ser tratados por las entidades encargadas conforme a las instrucciones de VDF que rigen el contrato, en el que se establecen claramente las condiciones en que deben realizarse los tratamientos de los datos personales. 14. VDF solicita a los proveedores que le comuniquen todas las oposiciones que puedan producirse durante las acciones de telemerketing. 15. Los datos personales de las bases de datos del proveedor no son transferidos en ningún momento a VDF. Solo tras la contratación del servicio se incluyen en el sistema de información de VDF. 16. Tras la contratación se procede a validar esta tras una llamada de control de calidad. 17. VDF ha implementado medidas complementarias para garantizar un control pormenorizado de la actividad de los proveedores de servicios cuando usan sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/97 propias bases de datos. Dicho control se estima que esté operativo en enero de 2020 (nuevo sistema de enrutamiento a través de la troncal de VDF). 18. La infracción imputada del art 21 de la LSSICE, no procede toda vez que la licitud de los tratamientos se basa en el interés legítimo, tal y como señala el Considerando 47 del RGPD y así lo reconoce la AEPD en su informe 0173/2018. 19. VDF en todo momento permite al interesado a oponerse a recibir comunicaciones, por lo que no procede imputar infracción del artículo 38.3.d). 20. Las reclamaciones relativas a la LSSICE son una minoría y dista mucho del total de reclamaciones presentadas. 21. Respecto de las infracciones relativas a la LGT, VDF facilita siempre la posibilidad de ejercitar el derecho de oposición al interesado, según consta en el art 48.1.
19. b)de dicha norma. También consta que VDF filtra previamente con los listados de exclusión publicitaria antes de facilitar datos de potenciales clientes a los proveedores. Y cuando las bases de datos son externas “no es posible impedir materialmente la realización de una llamada” (sic) si bien se están implantado medidas de control basado en tecnología VozIP que impiden llamar a numeraciones incluidas en listados de exclusión publicitaria. 22. La AEPD parece sancionar por recibir reclamaciones sin verificar los hechos descritos en las mismas y concluir de forma automatizada que estas se corresponden con acciones ilegítimas y contrarias al ordenamiento jurídico y, por tanto, adoptando estas decisiones en contra del principio onus probandi que rige el derecho sancionador. 23. La cuantificación de las sanciones es desproporcionada, y no cabe sostener que la conducta de VDF es un incumplimiento reiterado y permanente, pues solo podrían verse afectadas 191 interesados de los 200 millones de acciones comerciales llevadas a cabo por VDF. 24. Constan infracciones prescritas como la referida al E/07180/2019 y otras en las que no se han aportado evidencias de infracción (E/01119/2019 y E/02809/2019). 25. En general el Acuerdo de inicio carece de motivación suficiente que sustente la imputación a VDF de las infracciones que relaciona que es una garantía contra la conducta arbitraria proscrita en la C.E. Estas alegaciones ya fueron contestadas en la Propuesta de Resolución y se reitera en el FD III de esta Resolución. QUINTO: Transcurrido el plazo de alegaciones concedido en el Acuerdo de inicio y presentadas alegaciones, se acordó abrir periodo de práctica de pruebas, según lo dispuesto en el artículo 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, acordando la Instrucción practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios las reclamaciones interpuestas y que obran en el expediente y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante VODAFONE ESPAÑA, S.A.U., y el Informe de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/97 actuaciones previas de Inspección que forman parte de los expedientes E/01615/2019 y E/09541/2018. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00059/2020 presentadas por VODAFONE ESPAÑA, S.A.U., y la documentación que acompaña. 3. Requerir a Asociación Española de Economía Digital, C/ Entença, 218 Entlo 7ª 08029 Barcelona, con CIF: G61668505, que certifique la inclusión y fecha de la misma de los números de teléfono siguientes: NÚMEROS DE TELÉFONO PARA CERTIFICAR SU INCLUSIÓN Y FECHA EN LISTADO ROBINSON DE ADIGITAL (LISTADO CON 264 NÚMEROS DE TELÉFONO) Advirtiéndose que el resultado de esta prueba podrá dar lugar a la realización de otras. SEXTO: Habiendo advertido el órgano Instructor deficiencias subsanables en la documentación del expediente enviado al investigado en marzo de 2020, con fecha 13/11/2020 se procede a subsanar las deficiencias enviando la documentación completa relativa a los quince expedientes con documentación inicialmente incompleta, otorgando un plazo de 10 días para presentar las alegaciones que estimen convenientes. Consta que con fecha 14/11/2020 fue notificado este segundo envío de subsanación de documentación. SÉPTIMO: Practicadas las pruebas propuestas y transcurrido el plazo para formular alegaciones a las mismas y al referido segundo envío de la documentación subsanada relativa a quince expedientes, la investigada presentó las siguientes alegaciones: 1.- Dos de los expedientes remitidos corresponden a una misma reclamación 2.- Siete de los expedientes remitidos no se encontraban mencionados en el primer envío. 3.- De las 264 numeraciones telefónicas solicitadas a Adigital para su comprobación en listado Robinson, 33 no constan de alta, 4 son de fecha posterior, 1 corresponde a un procedimiento archivado, 1 corresponde a un proveedor y no a un reclamante, 1 no consta recibidas llamadas comerciales y 1 no se corresponde con VDF como entidad reclamada. Estas Alegaciones se contestan en los FD III de la presente Resolución. No obstante, se adelanta que fueron objeto de análisis por el órgano instructor admitiendo la anulación a los efectos de valoración en el presente procedimiento de 29 expedientes, resultando los restantes expedientes recogidos en el Anexo, en cuantía de 162. OCTAVO: Con fecha 22 de diciembre de 2020 la Instrucción formuló propuesta de resolución que propuso y elevó al órgano competente para resolver, las siguientes sanciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/97 <Que por la Directora de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por infracción del artículo 28 del RGPD en relación con el artículo 24 del RGPD tipificada conforme el artículo 83.4 del RGPD con sanción administrativa de cuantía cuatro millones de euros (4.000.000 €) considerada grave a efectos de prescripción en el artículo 73, apartados j),
20. k)y
21. p)de la LOPDGDD, por infracción del artículo 44 del RGPD tipificada conforme el artículo 83.5.
22. c)del RGPD, con sanción administrativa de cuantía dos millones de euros (2.000.000 €) considerada muy grave a efectos de prescripción en el artículo 72.
23. l)de la LOPDGDD, por infracción del artículo 21 de la LSSICE, tipificada como grave en el artículo 38.3.
24. d)y
25. c)de dicha norma con sanción de cuantía ciento cincuenta mil euros (150.000 €) y, por infracción del artículo 48.1.
26. b)de la LGT, en relación con el artículo 21 del RGPD, tipificada como grave en el artículo 77.37 de la LGT y por infracción del artículo 48.1.
27. b)de la LGT, en relación con el artículo 23 de la LOPDGDD, tipificada como grave en el artículo 77.37 de la LGT, con sanción de dos millones de euros (2.000.000 €)>. A la Propuesta de Resolución se adjuntó un Anexo que listaba 162 expedientes tras anular de valoración 29 expedientes como consecuencia de deficiencias detectadas en los datos aportados por los reclamantes o investigados por esta AEPD, o bien, por estimación de las alegaciones presentadas por la reclamada. El citado Anexo, que también se adjunta a la presente Resolución, se compone de la siguiente información. ANEXO (Ordenado por fecha de entrada de la reclamación en la AEPD) Leyenda de columnas: Nº: Número de orden secuencial R/D/C: Róbinson/Derechos/Consentimiento expreso PF/PJ: Persona Física/Persona Jurídica LGT/PD/LSSI: Ley infringida F.Robin.acredit: Fecha acreditada inclusión en listados de exclusión publicitaria LINEA: Emisora/Receptora F.LINEA LLAMADA: Fecha de la acción publicitaria REFER. AEPD: Código de referencia de la reclamación en la AEPD RECLAMANTE: Nombre del reclamante (el número indica las veces reclamadas) TEXTO RECLAM.: Texto de la reclamación presentada por el reclamante NOVENO: Transcurrido el plazo para la presentación de alegaciones, se presentaron en fecha 18/01/2021, las siguientes alegaciones a la Propuesta de Resolución: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/97 1) Previa: Reiteración de las alegaciones presentadas. 2) Primera: Argumentos en contra de los Hechos Probados. 3) Segunda: Relativa a los expedientes de requerimiento de información referenciados en el procedimiento sancionador. 4) Tercera: Rechazo por parte de la AEPD de las alegaciones presentadas por Vodafone. 5) Cuarta: Presunto incumplimiento del artículo 24 RGPD. Consideración de Vodafone como responsable de tratamiento y responsabilidad de Vodafone. 6) Quinta: Presunto incumplimiento del artículo 28 RGPD. Supuesta falta de control real, continuo, permanente y auditado de los tratamientos realizados por los encargados. 7) Sexta: Presunto incumplimiento del artículo 44 RGPD. Transferencias Internacionales de datos. 8) Séptima: Presunto incumplimiento del artículo 21 LSSICE. Envío de comunicaciones comerciales sin consentimiento y a destinatarios que se han opuesto a dicho tratamiento. 9) Octava: Presunto incumplimiento de la Ley General de Telecomunicaciones (LGT). Supuesta no atención del derecho de oposición a no recibir comunicaciones comerciales. 10) Novena: Sobre la Propuesta de sanción. Fundamentación jurídica y proporcionalidad de esta. Estas Alegaciones se contestan en los Fundamentos de Derecho de la presente Resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: VDF es la responsable de los tratamientos de los datos personales llevados a cabo por su cuenta y nombre en las acciones de mercadotecnia a través de llamadas telefónicas, SMS y correos electrónicos, tanto las gestionadas internamente desde sus propios ficheros como de los tratamientos que encarga a otras entidades a través de ficheros alquilados o desde los ficheros propios de estas. SEGUNDO: VDF no tiene implantado para las acciones de mercadotecnia métodos ni medios organizativos y técnicos que verifiquen, ni siquiera por procedimientos estadísticos, la licitud de los datos objeto de tratamiento, su origen, su filtrado previo con los listados internos de exclusión publicitaria y general de exclusión Róbinson, ni con los de las entidades a las que le ha encargado los tratamientos (encargadas del tratamiento) ni derechos de oposición ejercidos por los afectados ante una y otras. TERCERO: No consta que VDF tenga control real, continuo, permanente y auditado sobre el desarrollo de los tratamientos de los datos personales de las acciones de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/97 mercadotecnia realizados por su cuenta y en su nombre, limitándose a un control inicial meramente formal y solo en algunos casos concretos referidos solamente a comunicaciones informativas internas de carácter parcial. No constan autorizaciones previas por escrito para el tratamiento de bases de datos propias de los sucesivos encargados de los tratamientos encomendados a VDF por su cuenta y nombre. CUARTO: VDF cuenta con un procedimiento de autorización previa de entidades adscritas al Departamento TVTA. Para ello se les remite un checklist donde se les solicita cierta información con el fin de validar si es posible contratar con dicho proveedor de servicios. El citado checklist se limita a contestar a determinadas cuestiones con un “SI” o “NO”, sin que se especifique acreditación, garantías, contenido y gestión de procedimientos y auditorías conforme señala el art 28 del RGDP. QUINTO: En estos casos, VDF desconoce de las entidades subcontratadas (“otras agencias de televenta y comerciales”) las garantías de índole técnico u organizativo con las que cuentan. La información relativa a la identidad de estas entidades subcontratadas debe constar en el anexo al contrato (subcontrato) establecido al efecto, pero sólo consta una vez realizada la subcontratación y a los meros efectos de facilitar el acceso en el caso de consumarse la contratación en nombre de VDF, es decir, VDF desconoce previamente la cualificación técnica y organizativa y la identidad de estas entidades subcontratadas así como su capacidad para el cumplimiento a la normativa vigente en materia de protección de datos. SEXTO: VDF no aporta la documentación detallada en materia de garantías de protección de datos del contrato que sustenta la relación entre el encargado del tratamiento inicial y el subcontratado, ni las garantías para el cumplimiento del subencargo. Según ha informado VDF, el contrato es similar al que mantienen las entidades inicialmente encargadas por VDF y los encargados iniciales adscritos a la plataforma de TVTA. VDF incluye como obligación contractual genérica que se trasladen las instrucciones a los subencargados del tratamiento por cuenta de VDF para que se realicen las acciones de mercadotecnia en los términos indicados por VDF, pero sin garantías para acreditar su cumplimiento. SÉPTIMO: Los contratos entre los encargados iniciales de VDF adscritos a la plataforma TVTA (CASMAR y THE THREE QUARTER FULL, S.L. -TQF-) y los subencargados no son similares, por lo que no constan las mismas garantías en contra de lo manifestado por VDF y de lo dispuesto en el art 28 del RGPD, sin perjuicio de las deficiencias de contenido detectadas en los contratos con los encargados iniciales, como son la falta de medidas de seguimiento en la ejecución del contrato. OCTAVO: Respecto de la entidad Casmar en calidad de encargada del tratamiento en nombre y por cuenta de VDF, manifiesta que es la entidad subcontratada “A-NEXO” la que proporciona el listado Robinson y ésta no les ha trasladado ningún derecho de oposición recibido tras la realización de llamadas. Sin embargo, en el contrato suscrito entre ambas entidades (Casmar y A-Nexo de junio de 2019) figura que los listados de exclusión publicitaria y derechos de oposición son aportados por Casmar. Tampoco se indica la gestión a realizar sobre la consulta previa a los ficheros de exclusión publicitaria ni ejercicio de derechos, en contra de lo dispuesto en el art 28 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/97 NOVENO: Consta que VDF contrata con TQF y ésta subcontrata a su vez con otras personas físicas y jurídicas que son las que realizan materialmente las llamadas. En los contratos aportados suscritos entre TQF -en calidad de encargado del tratamiento por cuenta y en nombre de VDF- y las entidades subcontratadas no figuran indicaciones respecto de la obligación de consulta previa y filtrado con los ficheros de exclusión publicitaria ni con los de ejercicio de derechos por las diversas entidades intervinientes en las acciones de mercadotecnia en nombre y por cuenta de VDF. DÉCIMO: No consta acreditado que VDF tenga conocimiento de los derechos ejercidos por los afectados ante las entidades encargadas y subencargadas, lo que origina que ante llamadas de tipo secuencial o aleatorio desde una determinada numeración se reiteren llamadas a los afectados que previamente han ejercido su derecho de oposición, a pesar, tanto en el caso de en el caso de ficheros procedentes de VDF como externos, que VDF los haya filtrado previamente para evitar llamadas indebidas. UNDÉCIMO: En el caso de la entidad DATACENTRIC, que es una intermediaria entre VDF y el titular de la base de datos alquilada, no consta que VDF intervenga en el control efectivo de comprobación de la preceptiva autorización expresa de los afectados para comunicaciones de correos electrónicos y envío de SMS. DUODÉCIMO: En el caso de la entidad MEYDIS, que proporciona a VDF bases de datos publicados en repertorios de abonados a servicios de telecomunicaciones, no consta contrato suscrito conforme al artículo 28 del RGPD, por no requerirlo, según manifiesta VDF, el sistema interno de contratación de ambas entidades, en contra de lo dispuesto en el art 28 del RGPD. DÉCIMO TERCERO: La obligación de consulta de los listados de exclusión publicitaria por parte de los encargados y subencargados no está prevista en los contratos suscritos al efecto. Si se contrasta o no las citadas listas es una circunstancia que VDF no está en disposición de verificar. DÉCIMO CUARTO: Consta que ante una reclamación sobre acciones de mercadotecnia de VDF ante la AEPD y que se haya resuelto instando a VDF a que informe al afectado de que sus datos se han incluido en LRI y, comunicada esta circunstancia al afectado, con posterioridad se le reitere la llamada. (PS/00290/2015). DÉCIMO QUINTO: En la Inspección realizada en la sede de VDF los días 18 y 30 de septiembre, los representantes de VDF afirman que: << (…) (
28. i)no existe una autorización relativa al uso de base de datos ajenas, es decir, propias de los distribuidores y por tanto no hay un proceso de autorización, sino que se solicita información en el caso de que utilicen estas bases de datos. (
29. ii)VDF no está en condiciones de comprobar que los titulares de las líneas receptoras han prestado su consentimiento o no se han opuesto, pues es una obligación que les corresponde a los agentes colaboradores, (iii) VDF no asegura que en cada llamada se ofrezca un medio efectivo de ejercitar el derecho de oposición. DÉCIMO SEXTO: Respecto de las Bases de datos proporcionadas por VDF y utilizadas por los encargados del tratamiento en nombre y por cuenta de VDF, consta que existen comunicados por parte de VDF referidos a la obligación de utilizar únicamente estas bases de datos. Sin embargo, no existe ningún procedimiento habilitado ni controlado por VDF tendente a verificar los encargados utilizan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/97 únicamente la base de datos que VDF les ha proporcionado y durante los periodos que se les indica. En la inspección realizada en la sede de VDF en fechas de 18 y 30 de septiembre de 2019, los representantes de VDF manifestaron que no se han realizado comprobaciones sobre el cumplimiento de las medidas que se indican en los anteriores comunicados. DÉCIMO SÉPTIMO: Respecto de las comunicaciones comerciales a través de SMS, se realizan mediante la generación de forma aleatoria sin discriminación alguna, por lo que se han remitido comunicaciones comerciales electrónicas a potenciales clientes sin la concurrencia de los requisitos previstos en el artículo 21 de la LSSI (expresamente autorizadas). Los envíos de SMS los realiza directamente VDF. DÉCIMO OCTAVO: Sin perjuicio de lo dispuesto en el anexo a esta Resolución, a modo de una muestra representativa, en las acciones comerciales realizadas desde las numeraciones ***TELEFONO.2 y 954781254 por los distribuidores CASMAR y TQF, respectivamente; se han hallado 17 reclamantes que manifiestan acciones comerciales realizadas desde la numeración 954781254, y 19 reclamantes respecto de las realizadas desde la numeración ***TELEFONO.2, a pesar de que los números de los destinatarios estaban incluidos en LRAD, o han ejercido su derecho de oposición frente a VDF y figuran en su LRI. DÉCIMO NOVENO: En el esquema de intervinientes en las acciones de mercadotecnia llevadas a cabo por VDF, constan los siguientes niveles de actuación en relación con Casmar: Nivel I.- VDF es quien contrata con la entidad CASMAR (y ésta, en su caso, subcontrata con otros) la realización de acciones comerciales de captación de clientes. La base de datos a utilizar puede ser proporcionada por VDF o por CASMAR que la obtiene por su cuenta (de otros colaboradores). Nivel II.- CASMAR subcontrata a la entidad A-NEXO (y ésta en su caso a otros colaboradores) la realización de llamadas comerciales. CASMAR informó a requerimiento de la AEPD que los datos utilizados los proporciona A-NEXO y, sin embargo, en el contrato que aportó figura que los datos los proporciona CASMAR. Nivel III.- A-NEXO subcontrata a su vez a comerciales para la realización de llamadas, tanto personas jurídicas como físicas, Nivel IV- Comerciales contratados por CASMAR, a su vez, realizan las llamadas por su cuenta desde numeraciones propias sin informar de las mismas a VDF. Sobre el conocimiento por parte de VDF de los subencargados del tratamiento por cuenta de VDF, CASMAR aportó la documentación contractual donde figuraba “en blanco” (anexo II al contrato canal presencial de 1/05/2019), la lista de subencargados del tratamiento por cuenta de VDF que debía aprobar VDF, manifestando que está en <<blanco>> por el dinamismo con el que se van reemplazando y actualizando los “calls centers”, es decir, con posterioridad a la contratación y no de forma previa y que permita verificar la competencia técnica y organizativa con la que cuentan estas entidades. VIGÉSIMO: En el contrato suscrito entre Casmar y VDF en fecha 1/05/2019 figura, en anexo aparte y de fecha posterior