PS-00261-2021

1/12  Expediente Nº: PS/00261/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 9 de febrero de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Mederos Moviten, S.L. con NIF B38490983 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son que el día 14 de octubre de 2020 contrató mediante portabilidad un paquete de fibra, teléfono fijo y móvil, en el punto de venta de la parte reclamada. Por otra parte, le ofrecieron un dispositivo llamado Vodafone Kit V-Home, manifestándole que era gratis. Así las cosas, en enero del año 2021, la operadora Vodafone le cobra el citado Kit y puesto en contacto con la operadora, le manifiestan que había varios contratos de financiación del citado producto, pero le indican que debe solucionarlo en el punto de venta donde realizo la portabilidad y le remiten por correo electrónico copia de los contratos sin firmar. Pues bien, dichos contratos son de fechas 17 y 29 de octubre, 4 de noviembre y 22 de diciembre del año 2020, con los datos de la parte reclamante y número de cuenta bancaria, en los cuales se contratan diferentes servicios que la parte reclamante no ha contratado ni firmado en ningún momento. Así mismo en uno de los contratos aparecen los datos de una persona que no conoce de nada. La parte reclamante manifiesta que no ha realizado ninguna financiación, solo el primer contrato de portabilidad, de fecha 14 de octubre de 2020, no teniendo conocimiento ni habiendo firmado los contratos anteriormente mencionados, no reconociendo la firma que aparece en el contrato que le muestra la dependienta en el punto de venta y que desconoce han utilizado sus datos personales para realizar nuevas altas telefónicas o de servicios de Vodafone, así como que no ha dado su consentimiento para realizar estas prácticas con sus datos personales ni bancarios. Y, aporta la siguiente documentación: - Denuncia presentada el 1 de febrero de 2021 en la Comisaría de Policía de Telde (Las Palmas). - Hoja de reclamación del 28 de enero de 2021 sellada por la entidad reclamada y dirigida a la OMIC de su municipio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 26 de mayo de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 30 de julio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio, D. B.B.B., en nombre y representación de la compañía mercantil MEDEROS MOVITEN, S.L. solicitó ampliación del plazo y copia del expediente, siéndole concedido. Con fecha 27 de septiembre de 2021, presentó escrito de alegaciones en el que, en síntesis, manifestaba que los únicos contratos suscritos entre el reclamante y Vodafone Servicios S.L.U. (en adelante Vodafone) con la intervención de la parte reclamada como distribuidor autorizado de los productos y servicios que comercializa dicha operadora de telecomunicaciones, son los otorgados en fecha 14 de octubre de 2020 que adjuntan como documentos números 3 y 4, de modo que esos otros contratos de fechas posteriores a los que se alude en el acuerdo de incoación, si realmente existen, habrán sido formalizados a través de otro distribuidor o a través de otro canal de comercialización. Por otra parte, la parte reclamada propone se practique, entre otras, las siguientes pruebas: requerir a Vodafone que identifique al autor de los contratos de fechas 17/10/2020, 29/10/2020, 22/12/2020 y 4/11/2020, y pruebas testificales a doña C.C.C. y doña D.D.D., empleadas de Mederos Moviten, S.L. SEXTO: Con fecha 28 de septiembre de 2021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/02266/2021, así como los documentos aportados por la parte reclamada. SÉPTIMO: Con fecha 28 de septiembre de 2021, el instructor del procedimiento PS/00261/2021, requirió a Vodafone que aportará copia de los contratos suscritos por D. A.A.A., de fechas 17/10/2020, 29/10/2020, 4/11/2020 y 22/12/2020 y a su vez requirió a D. A.A.A., que aportara los citados contratos. Con fecha 5 de octubre de 2021 se remitió a la parte reclamada, los contratos aportados por D. A.A.A., a esta Agencia, de las fechas citadas anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 Con fecha 18 de octubre de 2021, Vodafone manifiesta que se adjuntan como documento número 2, 3, 4 y 5 los contratos solicitados por la Agencia y suscritos entre la parte reclamante y Vodafone. Vodafone aporta el informe del Departamento de Sistemas de Vodafone, en el mismo, consta la orden de trabajo nº 318089008 en relación con el contrato 17/10/2020. Orden de trabajo nº 320771220 en relación al contrato 29/10/2020 que la realiza el distribuidor Mederos Moviten-Telde. Orden de trabajo nº 321768889 en relación al contrato 04/11/2020. Orden de trabajo nº 332358071 en relación al contrato 22/12/2020, esta orden se genera a través del distribuidor Mederos. Por otra parte, expone que como consecuencia del presente requerimiento, Vodafone se puso en contacto con el distribuidos Mederos Moviten S.L., con el cual Vodafone tiene un contrato firmado (adjuntan como documento número 6 contrato entre las partes) y el distribuidor informó a Vodafone que, tanto el contrato de fecha 22/12/2020, como el contrato de fecha 29/10/2020, fueron gestionados en la tienda del distribuidor. OCTAVO: El 27 de octubre de 2021 D. B.B.B., en nombre y representación de la compañía mercantil Mederos Moviten, S.L. presentó recurso de alzada contra el acuerdo de denegación de prueba del procedimiento PS/00261/2021. NOVENO: Con fecha 24 de noviembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó desestimar el recurso de alzada formulado D. B.B.B., en nombre y representación de la compañía mercantil Mederos Moviten, S.L. contra el acto impugnado, de fecha 28 de septiembre de 2021, dictado en el presente procedimiento sancionador. DÉCIMO: Con fecha 10 de enero de 2022 se formuló y se notificó la propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a Mederos Moviten, S.L. con NIF B38490983, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.

1. a)del RGPD, una multa de 15.000,00 € (quince mil euros). UNDÉCIMO: El 11 de enero de 2022, la parte reclamada solicitó la remisión de la copia de las actuaciones a las que se refería la propuesta de resolución, y el día 13 del mismo mes y año se le remitió dicha documentación. La parte reclamada presentó alegaciones a la Propuesta de Resolución manifestando, lo que estima oportuno en defensa de sus intereses, en síntesis, que aportan como documentos números 1 y 2 los testimonios de doña C.C.C. y doña D.D.D., empleadas de Mederos Moviten, S.L. Por otra parte, solicita la revisión de los hechos probados y manifiesta “que lo que realizó el distribuidor los días 29 de octubre y 22 de diciembre de 2020 fueron labores de activación y ajuste en el precio de los servicios contratados por el reclamante el día 14 de octubre anterior, pero los documentos emitidos con esas fechas que Vodafone remitió posteriormente al cliente no los generó mi representada, que ni siquiera tenía conocimiento de su existencia, sino que lo hizo automáticamente el sistema informático de la entidad operadora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 En el caso que nos ocupa, los documentos emitidos en fechas 17 y 29 de octubre, 4 de noviembre y 22 de diciembre de 2020 han sido generados automáticamente por el sistema informático de Vodafone como consecuencia de la activación y la realización de diversos ajustes en el contenido de los productos y servicios que fueron objeto de los dos contratos suscritos entre dicha entidad operadora y el reclamante con fecha 14 de octubre de 2020, con la mediación de mi representada como distribuidor autorizado de los productos que aquella comercializa. Por tanto, es evidente que el tratamiento de los datos personales del reclamante resultaba necesario para la ejecución de esos dos contratos, primero mediante el volcado y activación de los servicios contratados en el sistema informático del proveedor, y posteriormente también para ajustar la financiación del dispositivo de vigilancia “VHOME” a la oferta comercial efectuada, todo lo cual encaja de lleno en el supuesto de tratamiento lícito contemplado por el precepto supraestatal de referencia”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1º- Consta que el reclamante con fecha 14 de octubre de 2020 contrató mediante portabilidad un paquete de fibra, teléfono fijo y móvil, en el punto de venta de la parte reclamada. 2º- Se constata que existen otros cuatro contratos a nombre del reclamante de fechas 17 y 29 de octubre de 2020; 4 de noviembre y 22 de diciembre del año 2020, con sus datos, en los cuales no consta la firma del reclamante. 3º- Consta que, en enero del año 2021, Vodafone le cobra la factura al reclamante con incremento de X,XX€ y que en dicha factura aparece en el apartado otros pagos la siguiente descripción: “1 cuota pago aplazado. Pendientes 23. Vodafone Kit V-Home, pagos pendientes YY,YY euros financiado.” 4º- Vodafone le informa que el día 22 de diciembre del 2020 había contratado los servicios del dispositivo Vodafone Kit V-Home. 5º- Que desde el servicio de atención al cliente le envían una serie de contratos de fechas 17/10/2020; contrato de fecha 29/10/2020 con una venta a plazos por importe de RRR,RR euros a pagar en 24 meses; contrato día 4/11/2020 con dos facturas por un importe de SSS,SS euros cada una de ellas. Así mismo en uno de los contratos aparecen los datos de una tercera persona que no conoce de nada y sin firmar, con sus datos y número de cuenta bancaría, en los cuales se contratan diferentes servicios que el reclamante no ha contratado ni firmado en ningún momento. 6º- Queda acreditado en los contratos aportados por Vodafone, celebrados entre el reclamante y la reclamada, en los cuales no figura la firma de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 7º- Se constata en el informe del Departamento de Sistemas de Vodafone, que consta la orden de trabajo nº 318089008 en relación con el contrato 17/10/2020. Orden de trabajo nº 320771220 en relación al contrato 29/10/2020 que la realiza el distribuidor Mederos Moviten-Telde. Orden de trabajo nº 321768889 en relación al contrato 04/11/2020. Orden de trabajo nº 332358071 en relación al contrato 22/12/2020, esta orden se genera a través del distribuidor Mederos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Se imputa a la parte reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12
4. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
5. a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” III Examinada la documentación que obra en el expediente, se evidencia que la conducta presuntamente infractora de la que se responsabiliza a la parte reclamada consistió, en que realizó el tratamiento de los datos personales de la parte reclamante sin legitimación para ello. Los datos personales de la parte reclamante fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que dispusiera de legitimación para la recogida y el tratamiento posterior de sus datos personales. En el supuesto examinado, de la normativa expuesta y de las manifestaciones realizadas por la parte reclamada cabe inferir que ésta actúa como encargada del tratamiento de Vodafone. En el artículo 4.8, se define al encargado del tratamiento como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Todo tratamiento de datos personales realizado por un encargado debe regirse por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros celebrado entre el responsable y el encargado, tal como se estipula en el artículo 28, apartado 3, del RGPD. Sobre este particular, las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, adoptadas por el CEPD, el 7 de julio de 2021, detallan lo siguiente: “Aunque los elementos previstos en el artículo 28 del Reglamento constituyen su contenido esencial, el contrato debe servir para que el responsable y el encargado aclaren, mediante instrucciones detalladas, cómo se aplicarán en la práctica dichos elementos fundamentales. Por tanto, el contrato de tratamiento no debe limitarse a reproducir las disposiciones del RGPD, sino que debe incluir una información más específica y concreta sobre el modo en que se satisfarán los requisitos y el grado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 seguridad que se precisará para el tratamiento de los datos personales objeto del contrato de tratamiento. Lejos de ser un ejercicio meramente formal, la negociación y estipulación de las condiciones del contrato sirven para especificar los detalles del tratamiento.” Añaden que “Por lo general, el contrato de tratamiento establece quién es la parte determinante (el responsable del tratamiento) y quién, la parte que sigue las instrucciones (el encargado del tratamiento)”. Ahora bien “Si una parte decide en la práctica cómo y por qué se tratan los datos personales, dicha parte será el responsable del tratamiento, aunque el contrato estipule que se trata del encargado”. Para determinar la responsabilidad de la parte reclamada hay que tener en cuenta que, si un encargado del tratamiento infringe el Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento (artículo 28, apartado 10, del RGPD). Sobre los «Los fines y medios» las citadas directrices recogen las siguientes consideraciones: “(…) Los diccionarios definen la palabra fin como un «resultado anticipado que se persigue o que guía la actuación prevista» y la palabra medio como la «manera en que se obtiene un resultado o se alcanza un objetivo» (…) La determinación de los fines y los medios equivale a decidir, respectivamente, el porqué y el cómo del tratamiento: en una operación de tratamiento concreta, el responsable del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo). Una persona física o jurídica que influye de este modo en el tratamiento de datos personales participa, por tanto, en la determinación de los fines y los medios de dicho tratamiento de conformidad con la definición prevista en el artículo 4, punto 7, del RGPD. El responsable del tratamiento debe decidir tanto sobre el fin como sobre los medios del tratamiento, tal como se describe más adelante. En consecuencia, no puede limitarse a determinar el fin: también debe adoptar decisiones sobre los medios del tratamiento. En cambio, la parte que actúe como encargado nunca puede determinar el fin del tratamiento. En la práctica, si un responsable del tratamiento recurre a un encargado para que lleve a cabo el tratamiento por cuenta de aquel, el encargado normalmente podrá tomar ciertas decisiones propias sobre el modo de efectuarlo. El CEPD reconoce que el encargado del tratamiento puede gozar de cierto margen de maniobra para tomar algunas decisiones sobre el tratamiento. En este sentido, es necesario aclarar qué grado de influencia en el «porqué» y en el «cómo» conlleva que un ente se considere responsable del tratamiento y en qué medida puede el encargado del tratamiento tomar decisiones propias. (…)” En este caso, teniendo en cuenta lo anteriormente expuesto, cabe concluir que el mero hecho de utilizar medios técnicos del responsable no exime de responsabilidad al encargado del tratamiento, a efectos de lo dispuesto en el artículo 28, apartado 10, del RGPD. En este caso la parte reclamada no ha acreditado que actuara siguiendo las instrucciones detalladas del responsable, por lo que cabe considerar que ha actuado como responsable del tratamiento que se examina en este procedimiento, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 toda vez que ha decidido por sí misma tratar los datos personales de la parte reclamante con la finalidad de que fuera dada de alta en los servicios prestados por aquél. Asimismo, ha decidido el modo de tratarlos, determinando los medios organizativos relacionados, al menos, con la legitimidad de dicho tratamiento, al no existir constancia de que la contratación se haya realizado siguiendo las instrucciones del responsable. Pues bien, la parte reclamada alega que el reclamante solo formalizó un contrato de portabilidad, de fecha 14 de octubre de 2020. No obstante, constan otros cuatro sin firmar, de fechas 17 y 29 de octubre de 2020; 4 de noviembre y 22 de diciembre del año 2020, con los datos de la parte reclamante y número de cuenta bancaria, en los cuales se contratan diferentes servicios que la parte reclamante no ha contratado ni firmado en ningún momento. Así mismo en uno de los contratos aparecen los datos de una persona que no conoce de nada. Por otra parte, Vodafone en la contestación a esta Agencia de fecha 18 de octubre de 2021, manifiesta que se puso en contacto con la parte reclamada y le informó que tanto el contrato de fecha 22 de diciembre de 2020, como el contrato de fecha 29 de octubre de 2020, fueron gestionados en la tienda de la parte reclamada. Dichos contratos han sido aportados tanto por Vodafone, como por la parte reclamante. Sin embargo, constan todos los datos del reclamante, pero no así su firma. En este sentido, se constata en el informe del Departamento de Sistemas de Vodafone, que la orden de trabajo nº 320771220 en relación al contrato 29 de octubre de 2020 la realiza la parte reclamada, y la orden de trabajo nº 332358071 en relación al contrato de 22 de diciembre de 2020, esta orden se genera también a través de la parte reclamada. Existe evidencia, de que se realizó el contrato de portabilidad en la tienda física de la parte reclamada y de que los otros cuatro contratos están sin firmas. Así las cosas, las pretendidas declaraciones de doña C.C.C. y doña D.D.D., empleadas de Mederos Moviten, S.L., nada pueden aclarar en relación con esas contrataciones y resultan no transcendentes. En relación con la revisión de los hechos probados, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la sanción que se declara cometida ni suponen causa de justificación o exculpación suficiente. De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.
6. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “