1/8 Procedimiento Nº: PS/00298/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (la reclamante), con fecha 08/10/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. El escrito se dirige también contra TELEFÓNICA MOVILES DE ESPAÑA, S.A.U. con NIF A82018474 (en adelante, el reclamado). Los motivos en que basan la reclamación son, en síntesis: que el operador de telefonía O2 dispone de una APP para consultar las facturas o consumos, aplicación que, para su instalación, también solicita acceso a todos los datos almacenados en el dispositivo. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 27/11/2019 fue trasladada al reclamado la reclamación presentada para su análisis y se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. El 13/12/2019 el reclamado señalaba que la aplicación móvil "MiO2", destinada a la gestión de la línea, consulta de facturas y consumo de los clientes, puede usarse sin aceptar los distintos permisos que se solicitan durante su descarga; la solicitud de esos permisos se hace para enriquecer la experiencia del cliente pero no son necesarios para los aspectos básicos de la aplicación. En cuanto al permiso concreto de "Almacenamiento" es solicitado ya que resulta necesario para poder descargar las facturas en los terminales cuyo sistema operativo de los clientes es Android. Así mismo se puede solicitar la recepción de facturas en papel conforme a la normativa vigente. TERCERO: Con fecha 1 de diciembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por las presuntas infracciones de los artículos 5.1.
- c)del RGPD, y artículo 13 del RGPD, tipificadas en el artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 CUARTO: Con fecha 17 de mayo de 2021, se formuló propuesta de resolución, proponiendo que la Directora de la Agencia Española de Protección de Datos sancione a TELEFÓNICA DE ESPAÑA, S.A.U., con NIF A82018474, por dos infracciones contra: El artículo 5.1.
- c)del RGPD, tipificada en el art. 83.5
- a)del RGPD con una multa 50.000 euros (cincuenta mil euros) El artículo 13 del RGPD, tipificada en el artículo 83.5
- b)del RGPD con una multa de 50.000 euros (cincuenta mil euros) QUINTO: Con fecha 31 de mayo de 2021, se presentan alegaciones a dicha propuesta de resolución por parte del reclamado indicando lo siguiente: En relación con la infracción del artículo 5.1
- c)del RGPD, el reclamado señala que: “No es cierto que para la instalación de la aplicación sea necesario el acceso a los datos personales almacenados por los usuarios en el dispositivo. La aplicación móvil Mi O2 puede funcionar correctamente sin que sea necesario aceptar sus diferentes permisos, para los cuales es necesario su aceptación expresa. Además, el 7 cliente es informado en todo momento de forma previa a su autenticación de para qué es necesario cada permiso. En lo que respecta al permiso concreto denominado “Almacenamiento”, que la AEPD entiende como “excesivo”, es necesario poner de manifiesto que el mismo se trataría de un permiso que viene identificado textualmente con el literal: • Permiso de acceso a fotos, contenidos multimedia y archivos de dispositivo, pero que a pesar de tal expresión introductoria, solo refiere a que mediante el consentimiento a este permiso, autorizas a O2 a poder descargar tus facturas en tu dispositivo. Este permiso solo se solicita en dispositivos Android. Esta parte considera que la ejecución de dicho permiso no es para nada excesivo, y que es adecuado, pertinente y limitado a lo necesario para su fin: se informa al usuario que únicamente es necesario para poder descargar sus facturas en el dispositivo. En ningún caso para la descarga de la factura, la aplicación móvil Mi O2 trataría los datos de las fotos, contenidos multimedia o archivos que el usuario tenga en su dispositivo, siendo tan solo el permiso necesario única y exclusivamente para la descarga de la factura en formato pdf. En caso contrario, no habría forma de que el usuario se descargase su factura dado que para ello es necesario el acceso a esta sección del dispositivo. Tal como se indicó en las alegaciones al Acuerdo de inicio y que volvemos a reproducir dada la omisión de estos hechos en la Propuesta de resolución de la AEPD, esta parte no puede modificar el literal “PERMISO DE ACCESO A FOTOS, CONTENIDOS MULTIMEDIA Y ARCHIVOS DEL DISPOSITIVO”, que se muestra a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 usuarios de la aplicación a la hora de aceptar el permiso, y que sirve de base para la incoación del expediente sancionador por parte de la AEPD, dado que es un texto predefinido por el sistema Android. A estos efectos, remitimos a la AEPD a la página web para desarrolladores de Android https://developer.android.com/training/permissions/requesting, donde a raíz de los permisos se indica: Nota: Tu app no puede personalizar el diálogo que aparece cuando llamas a launch(). Si deseas proporcionar más información o contexto al usuario, cambia la IU de tu app a fin de que sea más fácil para los usuarios comprender por qué una función necesita un permiso en particular. Por ejemplo, puedes cambiar el texto del botón que habilita la función. Además, el texto del diálogo de permisos del sistema hace referencia al grupo de permisos asociado con el permiso que solicitaste. Esta forma de agrupar permisos está diseñada para la facilidad de uso del sistema, y tu app no debería depender de los permisos dentro o fuera de un grupo de permisos específico. En este sentido, y siguiendo las pautas indicadas por Android, esta parte ha intentado mediante la explicación de los permisos, tanto en nuestra página web, como en las Condiciones de uso de la aplicación, como en la página de ayuda, indicar realmente para qué es necesario: “mediante el consentimiento a este permiso, autorizas a O2 a poder descargar tus facturas en tu dispositivo. Este permiso solo se solicita en dispositivos Android”. 8 Por ello, consideramos que la acción realmente ejecutada -que recordemos en ningún momento supone el acceso a fotos, contenidos multimedia y archivos de dispositivocumple con el principio de minimización de datos establecido en el art. 5.1.
- c)del RGDP, al ser estos tratados de forma adecuada, pertinente y limitado a lo necesario. La única finalidad de la solicitud del permiso de acceso al dispositivo es la posibilidad de que el usuario pueda descargarse su factura. Por tanto y en conclusión, TME no ha vulnerado el artículo 5.1.
- c)del RGPD.” En segundo lugar, en relación con la vulneración del artículo 13 del RGPD, el reclamado alega en relación a los permisos solicitados en la aplicación móvil lo siguiente: “En la cláusula 11 de las propias Condiciones de uso de la Aplicación móvil de O2, referida en exclusiva a los permisos solicitados en la aplicación móvil: 11. Permisos Para utilizar determinados servicios o funcionalidades y dependiendo del sistema operativo de tu terminal, será necesario que des tu previo consentimiento a Mi O2 para recabar información adicional sobre ti o sobre información que se encuentre almacenada en tu dispositivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 Este consentimiento podrá ser cancelado u otorgado de nuevo en cualquier momento a través del apartado de permisos de tu propio dispositivo. 6 En concreto, Mi O2 podrá solicitarle los siguientes permisos para las siguientes funcionalidades: • Permiso de acceso mediante Face ID: mediante el consentimiento a este permiso disponible tan solo para terminales IOS, autorizas a O2 a recabar la información disponible en tu dispositivo IOS de reconocimiento facial, de forma que podrás acceder a la aplicación Mi O2 sin necesidad de introducir las credenciales de acceso. • Permiso de acceso mediante huella dactilar: mediante el consentimiento a este permiso disponible tan solo para terminales Android, autorizas a O2 a recabar la información disponible en tu dispositivo Android de tu huella dactilar, de forma que podrás acceder a la aplicación Mi O2 sin necesidad de introducir las credenciales de acceso. • Permiso de acceso a contactos: mediante el consentimiento a este permiso, disponible para todo tipo de dispositivos, autorizas a O2 al acceso a tu listado de contactos de tu dispositivo para ofrecerte una mejor experiencia. De esta forma, las imágenes y nombres de tu agenda podrán verse en tus líneas y en el detalle de las llamadas que aparecen en la aplicación. • Permiso de avisos de consumo: mediante el consentimiento a este permiso, disponible para todo tipo de dispositivos, podrás visualizar y recibir avisos de consumo en tiempo real. • Permiso de acceso a fotos, contenidos multimedia y archivos de dispositivo: mediante el consentimiento a este permiso, autorizas a O2 a poder descargar las facturas de tus productos y servicios O2 que desees en tu dispositivo. • Permiso de activación de widget de consumo: visualización de los GB consumidos en el ciclo en curso sobre la línea/s que el usuario elija ver. En este sentido, no puede afirmar la AEPD que la aplicación móvil consulte facturas del cliente de forma previa a su descarga ni que afecte a todos los datos almacenados en el dispositivo o a datos de terceros ajenos a la entidad. El cliente es en todo momento informado de una forma clara, sencilla y transparente y de forma previa a la descarga de la aplicación, tanto de los datos del Responsable del tratamiento como de las implicaciones de la aceptación de los distintos permisos de la aplicación, sin que en ningún caso su aceptación devenga obligatoria para su uso. Por todo ello, TME puede afirmar que cumple en todo momento con los requisitos establecidos en el art. 13 del RGPD sin que pueda imputársele una sanción por este hecho.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El operador de telefonía O2 dispone de una aplicación informática para consultar las facturas o consumos de sus usuarios y para la instalación de dicha aplicación, se requiere el acceso a todos los datos personales almacenados por los usuarios en el dispositivo. SEGUNDO: El 27 de noviembre de 2019 fue trasladada al reclamado la reclamación, respondiendo el 13 de diciembre de 2020 que la aplicación móvil "MiO2", destinada a la gestión de la línea, consulta de facturas y consumo de los clientes, puede usarse sin aceptar los distintos permisos que se solicitan durante su descarga; la solicitud de esos permisos se hace para enriquecer la experiencia del cliente pero no son necesarios para los aspectos básicos de la aplicación. TERCERA: El 30 de diciembre de 2020, en respuesta al acuerdo de inicio del presente procedimiento sancionador, se alega por el reclamado que no incumple los artículos 13 y 5.1
- c)del RGPD indicados pues “todo usuario de la Aplicación móvil Mi O2 ya dispone de toda la información necesaria y que debe ser facilitada conforme al art. 13 del RGPD, al estar dicha información incluida en la cláusula “Protección de Datos” de las distintas Condiciones Generales de contratación de los Productos y Servicios marca O2, que tanto la AEPD, nuestros clientes, como cualquier persona interesada puede consultar en todo momento en nuestra página web www.o2online.es/informacion-legal. “ CUARTO: Con fecha 31 de mayo de 2021, se presenta alegaciones a la propuesta de resolución acreditando que no es necesaria para la instalación de la aplicación el acceso a los datos personales almacenados por los usuarios en el dispositivo, así como el cumplimiento del artículo 13.1 del RGPD. QUINTO: En la política de privacidad y en las Condiciones de uso de la Aplicación móvil de O2, se informa de cada permiso de acceso que se solicita, su finalidad, el motivo de ese acceso y la posibilidad de otorgarlos y cancelarlos. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 II El artículo 5, Principios relativos al tratamiento, establece que: “1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” III En segundo lugar, el artículo 13 del RGPD determina la información que debe facilitarse al interesado en el momento de la recogida de sus datos, estableciendo lo siguiente: “Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. IV En el presente caso, tras el estudio de las alegaciones presentadas, se considera que la conducta del reclamado no vulnera el artículo 5 del RGPD, que regula los principios relativos al tratamiento, materializado en que los datos de carácter personal que son requeridos para poner en funcionamiento la aplicación, tras acreditarse que no es necesaria para la instalación de la aplicación el acceso a los datos personales almacenados por los usuarios en el dispositivo. En relación con el artículo 13 del RGPD, se ha constatado que el reclamado informa debidamente al reclamante sobre los accesos, los cuales están bien informados sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 las condiciones de uso de la aplicación, explicando la necesidad de acceso y su finalidad. V Por lo tanto, tras tener conocimiento de estos hechos, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es