PS-00230-2017

1/9 Procedimiento Nº PS/00230/2017 RESOLUCIÓN: R/02491/2017 En el procedimiento sancionador PS/00230/2017, instruido por la Agencia Española de Protección de Datos a la entidad TELEFONICA MOVILES ESPAÑA, S.A.U., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: En Fecha de 25/05/2016 tiene entrada un escrito de A.A.A. (la denunciante en lo sucesivo) en el que manifiesta que MOVISTAR le ha pasado cargos semanales por la suscripción al servicio “Pelismarkt” que no ha contratado o utilizado. Que según el denunciante tuvieron lugar entre octubre de 2015 y marzo de 2016. Y, entre otra, anexa la siguiente documentación:  Reclamación contra MOVISTAR fechada el 20/05/2016.  Correos electrónicos intercambiados entre la denunciante y el Servicio de Atención al Cliente de movistar.es.  Correos electrónicos intercambiados entre la denunciante y INVESTMENT SL, prestador del servicio facturado. PROADS El 29/06/2016 tiene entrada en esta agencia un escrito de subsanación de la denunciante en el que aporta recibos bancarios de la facturas emitidas por TELEFÓNICA DE ESPAÑA, S.A.U. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad TELEFONICA MOVILES ESPAÑA, S.A.U., teniendo conocimiento de que: 1. Tal y como informa el sitio web http://pelismarkt.com, “Pelismarkt” es un servicio de suscripción a través del cual el suscriptor dispone de un catálogo de películas de las que puede visualizar un máximo de 5 semanales. El servicio es prestado por la sociedad PROADS INVESTMENT SL. 2. Tal y como se desprende del documento 1 del acta de inspección E/03097/2016/I- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 01: 2.1. La denunciante tiene contratado un producto “Movistar Fusión” que tiene asociada la línea de telefonía móvil B.B.B. 2.2. El servicio “Pelismarkt”, vinculado a la línea B.B.B., comienza a facturarse el 12/10/2015 y se factura por última vez el 11/04/2016. 3. Tal y como consta en el acta de inspección E/03097/2016/I-01, los representantes de TELEFONICA MOVILES ESPAÑA, S.A.U., en adelante TME, manifiestan que: 3.1. “Pelismarkt” utiliza la plataforma “Pagos Movistar”, una plataforma de pago a través de la cual puede adquirir contenido digital. 3.2. El funcionamiento de esta plataforma es el equivalente tecnológico del servicio Paypal pero no es medio de pago en el sentido de que no sirve para comprar cualquier tipo de productos, sino que amparado por una excepción prevista en el artículo 3 (“Excepciones a la aplicación de la ley”), apartado l, de la Ley 16/2009 de 13 de noviembre, de servicios de pago, permite facturar por cantidades mínimas exclusivamente contenido digital, que se factura al cliente directamente junto con los servicios de telefonía móvil. 3.3. El proceso de suscripción al servicio de Pelismarkt comienza con la presentación en el terminal móvil de una página inicial que muestra las condiciones legales de suscripción y de pago del servicio. El contenido de esta página lo determina “Pelismarkt” pero lo audita MOVISTAR. Sí el usuario pulsa el botón “Continuar” se muestra en el terminal una página que controla MOVISTAR en la que nuevamente se muestra información de la suscripción (línea suscriptora, precio y periodicidad) junto con un texto que informa de que el importe será cargado en la cuenta o descontado del saldo prepago del cliente y dos botones, el de “Cancelar” el proceso de suscripción y el de “Suscribir”. Al pulsar el botón de “Suscribir” se formaliza la suscripción y se envía un SMS informativo a la línea de telefonía móvil del cliente. 4. Los documentos 4 y 5 del acta de la inspección citada se presentan como evidencia de las auditorías que TME realizó sobre el funcionamiento del proceso de suscripción, pero dichos documentos son meras presentaciones con imágenes de cómo debería de funcionar el proceso, no un registro fiel de las comprobaciones realizadas en una fecha y hora determinadas por personal de MOVISTAR. 5. Tal y como consta en el punto 1 del escrito registrado con número ***REG.1 remitido por TME, la entidad no puede acreditar el envío del SMS de confirmación de la suscripción. La entidad manifiesta que no es posible obtener el registro “dado el tiempo transcurrido” pero entre la fecha de la suscripción 12/10/2015 y la de dicha afirmación 27/07/2016 han transcurrido poco más de 9 meses. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 6. En su escrito de respuesta, registrado con número ***REG.2, PROADS INVESTMENT proporciona la siguiente información: 6.1. Como documento 2, aporta impresión de pantalla del registro que consta en sus sistemas de información con información sobre la suscripción de la línea 6 B.B.B., en los que la fecha y hora de alta y baja de la suscripción coinciden con los obtenidos de TME. 6.2. Como documento 1 aporta un documento con las capturas de pantalla del proceso de suscripción que debe de seguir un usuario y que son similares a las proporcionadas por TELMOVES como documento DOC. 4 en el acta de la inspección E/03097/2016/I-01. 6.3. A pesar de haberlo requerido expresamente, la entidad no proporciona el listado de películas accedidas a través de la suscripción. TERCERO:Con fecha 16 de mayo de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a TELEFONICA MÓVILES ESPAÑA, S.A.U. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave el artículo 44.3

1. c)de la citada Ley. CUARTO: Notificado el acuerdo de inicio, TELEFONICA MOVILES ESPAÑA, S.A.U. (TME en adelante) mediante escrito de fecha 8 de junio de 2017 formuló alegaciones, significando, lo siguiente: -Se aporta el log del envío del SMS de confirmación que se cita en el punto 5 de las actuaciones previas donde se indica que no se aporta dicho SMS. -no se ha producido la infracción del art. 4.3 LOPD, por cuanto se han tratado los datos de forma veraz ya que la suscripción fue correcta. -Falta de tipicidad y presunción de inocencia. QUINTO: Con fecha 16 de junio de 2017 se inició el período de práctica de pruebas, en el que se dio por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante TME y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03190/2016 y las alegaciones al acuerdo de inicio PS/00230/2017 presentadas por TME, y la documentación que a ellas acompaña. SEXTO: En fecha de 7/08/2017 por el Instructor del Procedimiento se emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione a TELEFONICA MOVILES ESPAÑA, S.A.U. con multa de 40.001 € (cuarenta mil un euro) por la infracción de los artículos 4.3 de la LOPD, tipificada como grave en el artículo 44.3 de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 SEPTIMO: En fecha de 25/08/2017, por la representación de TME, se presentó escrito de alegaciones frente a la propuesta de resolución, en las que manifestaba, en síntesis, lo siguiente: -Ausencia de infracción, vulneración de presunción de inocencia, en el Acuerdo de Inicio se hace referencia al Acta de Inspección E/03097/2019-I-01, la cuas se archivó mediante resolución de 5/08/2017 y que tuvo por objeto, entre otras denuncias la presentada por la denunciante, donde se ponía de manifiesto la falta de competencia de la AEPD para dirimir cuestiones civiles en cuanto a la falta de legitimidad de una deuda basa en la interpretación de un contrato o de su cuantía. -Al contrario de lo manifestado por la AEPD, se aportó captura de pantalla de la plataforma de pagos movistar que solicita el envío del sms al centro servidor. Dicha prueba invalida la presunta infracción del art. 4.3 LOPD. -Asimismo concurre falta de tipicidad, de acuerdo con el art. 27 de la Ley 40/2015 de 1 de octubre, ya que las acciones que se imputan no guardan similitud con precepto alguno de la LOPD y sus tipos legales. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS Uno.- Entre las fechas de 12/10/2015 y 15/04/2016 constan los datos de la denunciante como cliente de MOVISTAR, suscritos a un servicio denominado pelismarkt, respecto del cual la denunciante niega su contratación. (Folios 1 a 24). Dos.- En fecha de 27/07/2016 tiene entrada en el registro de la AEPD una comunicación de la entidad denunciada dónde se aporta captura de pantalla del servicio relacionado con la denunciante en respuesta a la solicitud de información de esta Agencia relativa a la (…)impresión de registros que consten en sus sistemas sobre el envío del SMS de confirmación a la línea B.B.B. (…) que indica el número de teléfono, las fechas de activación, la empresa, el sitio web, el precio y la frecuencia de compra, dónde se hace constar la siguiente afirmación por parte de la entidad denunciada (…) actualmente, dado el tiempo transcurrido, no es posible obtener el log de dicho movimiento(…) ( Folio 43 bis) Tres.- En fecha de 08/06/2017 la representación de la entidad denunciada aporta escrito con idéntica captura de pantalla que la referida en el hecho probado anterior, manifestando que “si tiene el correspondiente log de envío, con lo cual queda acreditado por parte de mi representada”( Folio 130) FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II En el presente caso se atribuye a TME la comisión de la infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que 3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.”, en la medida en que ha tratado los datos de la denunciante, en concreto los relativos a su condición de cliente asociándolos a un producto respecto del que no ha podido acreditar su contratación, emitiendo facturas derivadas de mismo. III TME alega que en el procedimiento E/0309/2016 que se cita en el Acuerdo de Inicio, se archivó por falta de competencia de esta Agencia, por considerarse cuestiones civiles que se planteaban, y que se investigó, entre otras cuestiones, una reclamación de la hoy denunciante. Frente a ello, debe señalarse que de aquellas Actuaciones de Inspección practicadas no se pudo determinar la cesión de datos entre TME y terceras empresas prestadoras de “servicios Premium”, en concreto en su Fundamento de Derecho III, se hacía constar lo siguiente (…)En el presente caso, de la documentación aportada, así como de las investigaciones realizadas por este Organismo no se desprende que MOVISTAR haya realizado cesión de los datos personales de la denunciante a la entidad GAMELOFT, ya que en la inspección realizada por este Organismo, MOVISTAR dispone de una plataforma de contenidos denominada Emocion a través de la cual comercializa productos de terceros. La plataforma es el equivalente tecnológico de un “mercado” como el de Google Play pero operado por MOVISTAR. MOVISTAR es la entidad que asume responsabilidades de principio a fin en la venta de los contenidos de Emocion y como gestora de la plataforma es conocedora tanto de la identidad del cliente comprador y como del tercero proveedor del bien o servicio. Para gestionar el cobro no es necesaria la cesión de los datos de MOVISTAR al tercero sino que es MOVISTAR, que trata los datos de la denunciante en su calidad de cliente, quien cobra el producto o servicio y después paga al tercero la cantidad que corresponda.(…) y concluye (…)El que estas pruebas hayan arrojado los resultados descritos no implica que el funcionamiento del sistema fuera el mismo en el momento en que sucedieron los hechos, casi dos años antes. Menos aun teniendo en cuenta que se desconoce que juegos o servicios fueron los utilizados para realizar las compras en disputa.(…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 De la simple lectura se desprende con absoluta claridad que no estamos ante el mismo supuesto aquí denunciado – se analizaba la cesión de datos personales-, asimismo en el referido Acta de Inspección, además de analizar la plataforma de contenidos Premium de TME, se “dejo requerido” a la entidad la aportación en el punto 9 a. (…) Impresión de los registros que consten en sus sistemas sobre el envío del SMS de confirmación a la línea B.B.B.. (…) información esta, que ni en aquella ocasión, ni en el presente caso se ha aportado. IV Tal como se recoge en los hechos probados, TME aporta la misma información en la fase de actuaciones previas de inspección que en las alegaciones formuladas al acuerdo de inicio, con la única diferencia a la afirmación vertida en aquella ocasión, dónde dijo que no es posible acreditar el log del envío, y con los mismos elementos afirma lo contrario, es decir, que dicha captura de pantalla sirve para dicha acreditación. Además no puede obviarse que ni se conoce el texto del mensaje, ni menos aún puede inferirse acción alguna por parte del destinatario –opt in- que confirme la suscripción respecto de la que pueda derivarse la anuencia en los efectos que pudieran desplegarse. Frente a ello hay que señalar, de un lado la doctrina invocada por la propia TME relativa a los “actos propios” y de otro que dicha captura de pantalla muestra información que no acredita dicha contratación, y que es idéntica a la aportada con anterioridad. No puede obviarse que los pantallazos o reflejos informáticos no acreditan la prestación del consentimiento de la denunciante, como tiene establecido la Audiencia Nacional en la SAN de 9/04/2008, Rec. 235/2006, al afirmar que “…no se trata más de un simple “pantallazo” informático, que nada acredita ni aporta ninguna información relevante a la hora de poder acreditar el consentimiento del titular de los datos”. Por lo que en virtud del principio probatorio – quien afirma algo debe probarlo- no pueden ser tenidos como ciertos dichos hechos. Por lo que si no es posible acreditar la contratación y el consentimiento relativo al tratamiento de los datos para dicho servicio puesto en cuestión, no es acorde con el principio de calidad de datos, tener éstos asociados a un producto que no es fiel testimonio de la realidad que deben ostentar. Todo ello encuentra cabida en la conducta típica, y antijurídica que recoge el art. 44.3
3. c)de la LOPD que considera infracción grave Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.“ V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
4. a)El carácter continuado de la infracción.
5. b)El volumen de los tratamientos efectuados.
6. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
7. d)El volumen de negocio o actividad del infractor.
8. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
9. f)El grado de intencionalidad.
10. g)La reincidencia por comisión de infracciones de la misma naturaleza.
11. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
12. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
13. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
14. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
15. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
16. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
17. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
18. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Tras las evidencias obtenidas en la instrucción del procedimiento, se considera que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD, en cuanto a la vinculación de la actividad del investigado con la realización de tratamientos de datos de carácter personal, y El volumen de negocio del infractor considerándose gran empresa, que en el desarrollo de su actividad requiere tratar gran volumen de datos, por lo que procede determinar la sanción a imponer en la cuantía de 40.001 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFONICA MOVILES ESPAÑA, S.A.U., por una infracción del artículo 4.3 de la LOPD de la LOPD, tipificada como Grave en el artículo 44.3
19. c)de la LOPD, una multa de 40.001 € ( cuarenta mil un euro), de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a TELEFONICA MOVILES ESPAÑA, S.A.U.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
20. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es