← España

PS-00438-2016

1/18 Procedimiento Nº PS/00438/2016 RESOLUCIÓN: R/00819/2017 En el procedimiento sancionador PS/00438/2016, instruido por la Agencia Española de Protección de Datos a la entidad PREPAY TECHNOLOGIES, S.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 1 de octubre de 2015, la Directora de la Agencia Española de Protección de Datos (AEPD) acuerda iniciar Procedimiento Sancionador (referencia PS/00518/2015) a las entidades Vodafone España SAU. (Vodafone) y Paint Technology Project SL en base a la denuncia formulada por un ciudadano que manifiesta que, entre agosto de 2014 y enero de 2015, ha recibido, al menos, 32 mensajes SMS ofreciendo servicios que no ha solicitado. Dichos mensajes han sido remitidos desde 32 líneas diferentes con servicio bajo la modalidad prepago de la operadora Vodafone y que han sido adquiridas por entidades mayoristas, entre otras, la compañía Prepay Tchnologies SA (en adelante Prepay). En relación con la contratación de las líneas de telefonía móvil prepago, desde las que se emitieron los mensajes denunciados, en el Acuerdo de Inicio de dicho Procedimiento Sancionador, también se ordena el inicio de actuaciones de investigación para determinar la responsabilidad en los hechos que pudieran corresponder a las entidades mayoristas que intervienen en la formalización del alta de las líneas. SEGUNDO: A la vista de los hechos enunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a Vodafone y a Prepay. Recibidas las respuestas se emite el correspondiente informe de actuaciones de Inspección. TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Prepay en los contratos que firma con minoristas no incluye las estipulaciones que exige el artículo 12.2 de la LOPD. CUARTO: Por la Directora de la Agencia Española de Protección de Datos se acordó el 28/09/16 INICIAR PROCEDIMIENTO SANCIONADOR a Prepay Tchnologies SA con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 12.2 de la LOPD, tipificada como leve en el artículo 44.2.

  1. d)de la citada Ley Orgánica. QUINTO: La resolución de acuerdo de inicio fue notificada el 30/09/16 a Prepay, que presentó alegaciones solicitando -sin más trámite- el archivo del procedimiento. Alega C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 disconformidad con todos los hechos y fundamentos de derecho de la resolución; que no es responsable de los datos, ni del tratamiento -el responsable del fichero es Vodafone- tampoco es encargado de tratamiento. Que los datos son transmitidos por el encargado del tratamiento -el punto de venta- al responsable del tratamiento, Vodafone, sin intervención alguna de Prepay. Que la supuesta infracción se encuentra prescrita: desde la recepción de los mensajes del ciudadano denunciante –agosto 2014 o enero 2015- ha transcurrido en exceso el plazo de un año de prescripción para las infracciones leves. También habría transcurrido más de un año desde las altas de las líneas, 05/12/14 la más reciente. SEXTO: Con fecha 11/11/16 se inició el período de práctica de pruebas, se ACUERDA practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios, los documentos obtenidos y generados por los Servicios de Inspección ante Vodafone PREPAY TECHNOLOGIES SA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00087/2016. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00438/2016 presentadas por PREPAY TECHNOLOGIES, S.A. 2. Se requiere a PREPAY TECHNOLOGIES, SA para que en el plazo de diez días aporte a este procedimiento los documentos necesarios que acredita ante esta AEPD las instrucciones dadas a los minoristas con objeto de acreditar fehacientemente la identidad del cliente que contrata los servicios de telecomunicaciones de VODAFONE; las instrucciones dadas a los minoristas sobre acceso y tratamiento de datos personales en el sistema de VODAFONE; y sobre las obligaciones de supervisión. Igualmente se le requiere para que -en ese mismo plazo- aporte copia de los contratos suscritos en el periodo de mayo a diciembre de 2014, las prórrogas de los mismos en periodos posteriores –si hubiere- o, en su caso, los contratos suscritos hasta la fecha o al término de la relación contractual, con los minoristas (PVM) siguientes.  Sodimper Málaga, S.L.  A.A.A..  Servicam Broker SL  B.B.B.. SÉPTIMO: En su respuesta la denunciada afirma lo dicho en su escrito de alegaciones, que no es la responsable de los datos, ni del fichero, ni del tratamiento; la responsabilidad del fichero corresponde a Vodafone. Los datos son transmitidos directamente por el punto de venta al responsable del fichero Vodafone. Adjunta impresión de las páginas a través de las cuales se realiza el tratamiento de los datos de los titulares de los números telefónicos. OCTAVO: En fecha 31/01/2017 se emitió propuesta de resolución en el sentido de imponer a Prepay una multa de 20.000 € por la infracción del artículo 12.2 de la LOPD. NOVENO: Notificada la propuesta Prepay reiteró las alegaciones formuladas en el procedimiento, añadiendo la de prescripción de la infracción imputada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 HECHOS PROBADOS PRIMERO: Vodafone suscribió con Prepay el día 1 de abril de 2014 contrato de distribución mayorista no exclusiva, que no ha sufrido cambios, si bien se renueva anualmente manteniendo la misma estructura cambiando las condiciones económicas. El contrato tiene por objeto la compra por parte del mayorista a Vodafone de productos asociados a los servicios de comunicaciones electrónicas móviles del operador, a fin de proceder a su posterior distribución y venta a PVM (puntos de venta minorista), en las condiciones establecidas en el citado contrato, entre otras, se estipula lo siguiente: "QUINTA. Características de la actividad. 5.7 El MAYORISTA deberá hacer llegar a los PVM con los que trabaje todos los comunicados que VODAFONE genere para su canal de distribución (…). DECIMOPRIMERA. Cumplimiento de la normativa aplicable. 11.1. VODAFONE y el MAYORISTA deberán cumplir la normativa vigente que les sea de aplicación, con especial mención a la Ley Orgánica 15/1999, al Real Decreto 1720/2007, así como cualquier otra normativa vigente en cada momento (…). 11.3. Asimismo, el mayorista dará traslado de todas las obligaciones en materia de protección de datos a los PVM a los que suministre para lo cual, y con carácter previo a la entrega de las Tarjetas de Prepago y Packs suscribirá con cada uno de ellos un contrato de tratamiento de datos de conformidad con el modelo que se adjunta Anexo III (…). 11.4. En cumplimiento de la Ley 25/2007, el mayorista deberá cumplir con las instrucciones que VODAFONE le comunique y que se adjuntan al Anexo II, relativas con las obligaciones de la identificación presencial y recogida de datos de los clientes, (…) recogida de los datos personales en nombre y por cuenta de VODAFONE. En cuanto a los datos que el MAYORISTA recabe en cumplimiento de la citada Ley, este únicamente tratara los mismos con la finalidad de llevar acabo su recogida en nombre y por cuenta de Vodafone, aplicando las medidas de seguridad adecuadas que cumplan los requisitos establecidos en el artículo 9 de la LOPD, así como del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (en adelante RLOPD) para el tratamiento de ficheros de Nivel Básico de Seguridad y, en concreto, las medidas de seguridad definidas en el Anexo V del presente contrato. El MAYORISTA no podrá realizar, ni siquiera a efectos de conservación, copias de los datos de carácter personal facilitados por los compradores en cumplimiento de las obligaciones de identificación presencial, en ningún soporte documental, físico o electrónico, y no podrá comunicarlos a ningún tercero. (…) ANEXO II. RECOGIDA DE DATOS. CONTRATO DE DISTRIBUCIÓN MAYORISTA El presente anexo contiene las instrucciones relativas al cumplimiento de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 Disposición Adicional Única de la Ley 25/2007, respecto de (
  2. i)la identificación presencial y recogida de datos de los Clientes que adquieran una Tarjeta de Prepago o un Pack de Prepago con carácter previo a la venta y (
  3. ii)la información a los mismos en los términos descritos en la citada Ley, todo ello de conformidad con lo dispuesto en la cláusula 11.2 del Contrato de Distribución Mayorista del que este anexo trae causa. PRIMERA Identificación presencial y recogida de datos del cliente/comprador 1. El MAYORISTA deberá trasladar al PVM, mediante la suscripción de un acuerdo que recoja las obligaciones relacionadas en el presente anexo, la obligación imprescindible de identificar PRESENCIALMENTE al Cliente/Comprador mediante su tarjeta identificativa original. (El subrayado es de la Agencia) La documentación a presentar por las personas físicas, según su nacionalidad y situación, es la siguiente: - Para nacionales españoles: DNI o NIE. - Para ciudadanos de la Comunidad Europea se acepta DNI, Tarjeta de Residencia y Pasaporte - Para ciudadanos de fuera de la Comunidad Europea: Pasaporte o NIE 2. Asimismo, el MAYORISTA deberá indicar al PVM el procedimiento que se deberá seguir para recoger datos y activar la tarjeta de forma correcta. Los datos se deberán recoger en PVM a través de la herramienta informática IRIS o a través de la herramienta Web Service, habilitada en la Web del MAYORISTA. Será obligatorio comprobar que los datos proporcionados por el Cliente/Comprador y grabados en el sistema se corresponden con la documentación proporcionada (…). En relación con la utilización de la herramienta Web Service, y dado que a través de la misma el MAYORISTA podrá tener acceso a datos de carácter personal, además de cumplir con lo previsto en el Contrato del que el presente Anexo es parte inseparable e implementar las Medidas de Seguridad que resulten pertinentes (…). SEGUNDA: Datos a recabar de los compradores de servicios prepago 1. PERSONAS FÍSICAS El MAYORISTA deberá trasladar al PVM la obligación de recabar los siguientes datos de carácter obligatorio: Nombre, Apellidos, Nacionalidad, Tipo y número de Documento (DNI, NIF, Pasaporte, Tarjeta Residencia). 2. PERSONAS JURÍDICAS El MAYORISTA deberá trasladar al PVM la obligación de recabar los siguientes datos de carácter obligatorio: Razón social, Tipo y número de Documento de identificación fiscal y Domicilio completo. TERCERA. Impresión y firma a solicitud del cliente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 En el caso de que el cliente lo solicite, se imprimirá una única copia de la documentación y se entregara al Cliente/Comprador, sin que el PVM pueda quedarse con una copia. (ANEXO III AL CONTRATO DE DISTRIBUCIÓN MAYORISTA) MODELO DE CONTRATO DE TRATAMIENTO DE DATOS REUNIDOS De una parte, D. xxxxxxxxxx, mayores de edad, que actúan en nombre y representación de xxxxxxxxx (en adelante, "xxxxxxxx") con CIF. xxxxxxx y domicilio en xxxxxxxxxxxx (Madrid) en virtud del poder de representación otorgado ante el Notario de xxxxxxxxxx D.xxxxxxxxxxxx, en fecha xxxxxx de abril de xxxxxxxx, al número xxxxxxxx de su protocolo y en fecha x de xxxxxxx de xxxxxx, al número xxxxx de su protocolo, respectivamente Y de otra parte, D. xxxxxxxx, mayor de edad, que actúa en nombre y representación de xxxxxxxxxxxxx (en adelante, "xxxxxxx"), empresa con domicilio social en xxxxxxxxxx en calidad de xxxxxxxxxxxxxxxxx y domicilio profesional en xxxxxxxxxxxxx. EXPONEN I.Que el MAYORISTA y VODAFONE han suscrito un Contrato de Distribución Mayorista no Exclusiva de VODAFONE (en adelante, "el Contrato") por medio del cual el MAYORISTA compra productos asociados a los servicios de comunicaciones electrónicas móviles prepago de VODAFONE a fin de proceder a su posterior distribución y venta a Puntos de Venta minoristas. II.- Que para la correcta prestación del servicio, se requerirá el acceso a datos de carácter personal de VODAFONE, acceso que se llevará a cabo por parte del MAYORISTA. Sin embargo, y puesto que el MAYORISTA distribuye los productos entre los Puntos de Venta minoristas estos necesitarán, para la correcta prestación del servicio, acceso a datos titularidad de VODAFONE. III.- Que como consecuencia de lo anterior, VODAFONE autoriza al MAYORISTA a actuar en su nombre y representación, por lo que, el MAYORISTA y el Punto de Venta minorista desean suscribir el presente Contrato de conformidad con las siguientes CLÁUSULAS I - Objeto Dando cumplimiento al artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, "LOPD"), es objeto del presente Contrato la determinación por parte del MAYORISTA de las medidas de seguridad que el Punto de Venta minorista como "Encargado del Tratamiento", deberá adoptar en el acceso y tratamiento de los datos personales de Nivel Básico titularidad de que llevará a cabo para prestar el Servicio previsto en el Expositivo I. así como la garantía por parte del Punto de Venta minorista de cumplir con la normativa vigente en materia de Protección de Datos Personales y, especialmente lo dispuesto por la LOPD y el Real Decreto 1720/2007, de 21 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (en adelante, "RLOPD"). II.- Encargado del Tratamlento En ningún caso se entenderá la prestación del Servicio que realice el Punto de Venta minorista a favor del MAYORISTA como una cesión de datos sino como un “Encargo de Tratamiento" del Punto de Venta minorista al MAYORISTA en los términos previstos en el artículo 12 de la LOPD. El Punto de Venta minorista declara conocer que el Fichero al que tiene acceso contiene datos personales y. como "Encargado del Tratamiento" de los mismos, se compromete a actuar en todo momento conforme a las instrucciones del MAYORISTA, así como a lo dispuesto en la normativa que le resulte aplicable en materia de protección de datos personales. El Punto de Venta minorista como "Encargado del Tratamiento", se compromete a no aplicar ni utilizar los datos personales que figuran en dichos Ficheros para objeto o fin distinto al que estrictamente figure en el contrato de prestación de servicios firmado. Ill - Medidas de Seguridad El Punto de Venta minorista se compromete a implantar todas las medidas de seguridad que el RLOPD establece para el tratamiento de ficheros de Nivel Básico de Seguridad y, en concreto, las medidas de seguridad exigibles de índole técnica, legales y organizativas que aparecen definidas y enumeradas en los artículos 89 a 94, ambos inclusive, del RLOPD, respecto a ficheros automatizados y los artículos 105 a 108, ambos inclusive, del citado RLOPD para aquellos datos que se encuentren en ficheros no automatizados en caso de que el servicio prestado por el Punto de Venta minorista requiera acceso a este tipo de ficheros. IV - Deber de Confidencialidad El personal del Punto de Venta minorista que tenga acceso a los datos personales objeto de tratamiento deberá ser informado acerca de su índole confidencial y de sus responsabilidades. Esta obligación de confidencialidad será notificada por el Punto de Venta minorista a los empleados que intervengan en alguna medida en la ejecución de este contrato. El punto de venta minorista garantiza que únicamente accederán a dichos ficheros las personas cuya labor sea fundamental para la prestación del servicio objeto de tratamiento. V.- Prohibición de Comunicación de Datos Personales El punto de venta minorista se compromete a guardar bajo su control y custodia todos los datos de carácter personal a los que acceda con motivo de la prestación del Servicio objeto de encargo y a no divulgar, transferir, o de cualquier forma comunicar, ni siquiera para su conservación a otras personas, en todo o en parte, los datos contenidos en los ficheros, siendo responsable de cualquier reproducción o utilización ilegítima de los mismos. El Punto de Venta minorista no podrá subcontratar el servicio objeto del presente contrato en todo o en parte a ningún tercero. VII.- Obligación de Devolución de los Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 Una vez cumplida la prestación del servicio, el Punto de Venta minorista se compromete a destruir o devolver, según la preferencia del MAYORISTA, aquella información que contenga datos de carácter personal que haya sido facilitada con motivo de la prestación del Servicio, u obtenida por el Punto de Venta minorista como "Encargado de Tratamiento" cualquiera que fuera el soporte en el que conste, lo que acreditará al Punto de Venta minorista mediante la firma de un documento que será remitido al MAYORISTA una vez destruida o devuelta al MAYORISTA toda la información, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. VIII - Copias de Seguridad El Punto de Venta minorista se compromete a no copiar o reproducir la información facilitada, salvo cuando sea necesario para su tratamiento o para implantar las medidas de seguridad a las que está legalmente obligada como Encargada del Tratamiento. En este último supuesto, cada una de las copias o reproducciones estará sometida a los mismos compromisos y obligaciones que se establecen en la presente cláusula, debiendo ser destruidas o devueltas, conforme se indica en el apartado anterior. IX.- Responsabilidades El Punto de Venta minorista se obliga a mantener indemne al MAYORISTA frente a cualquier reclamación que pueda ser interpuesta (en especial, en caso de apertura de cualquier tipo de expediente por la Agencia Española de Protección de Datos) por el incumplimiento por el Punto de Venta minorista de la legislación sobre Protección de Datos de Carácter Personal y. en especial, de las garantías recogidas en este contrato, y acepta pagar la cantidad a la que en concepto de sanción, multa, indemnización, daños, perjuicios e intereses por las que puedan ser condenadas, incluyendo honorarios razonables de abogados, con motivo del citado incumplimiento, sin perjuicio de que el MAYORISTA pueda ser obligado a atender la reclamación directamente. En el caso de que el Punto de Venta minorista destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. El incumplimiento de las medidas de seguridad por parte del Punto de Venta Minorista facultará al mayorista a resolver el contrato y a exigir a ésta la indemnización por daños y perjuicios que, en su caso corresponda. X.- Verificación del cumplimiento por el responsable El Mayorista se reserva la facultad de auditar, sin previo aviso, los sistemas e instalaciones del Punto de Venta Minorista, a los únicos efectos de comprobar el cumplimiento de las medidas de seguridad establecidas en el presente contrato. El Punto de Venta Minorista acepta dicha facultad del mayorista y pondrá a disposición la ayuda y colaboración necesaria para llevar a cabo dicha comprobación. Y en prueba de conformidad con cuanto antecede y con voluntad de obligarse, las partes firman el presente documento por duplicado y a un solo efecto, en el lugar y fecha expresados a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 continuación a de de 2014 Por el Mayorista Minorista Por D. D. el Punto de Venta ANEXO IV. ESPECIFICACIONES EN MATERIA DE SEGURIDAD, FRAUDE Y PROTECCIÓN DE LA INFORMACIÓN. CONTRATO DE DISTRIBUCIÓN MAYORISTA. ANEXO A: Acuerdo de confidencialidad individual. ANEXO B: Normas y procedimientos de seguridad. ANEXO V: MEDIDAS DE SEGURIDAD DE NIVEL BÁSICO. El presente anexo, contiene las Medidas de Seguridad que el MAYORISTA, en su condición de Encargado del Tratamiento deberá cumplir de conformidad con los previsto en la Ley Orgánica 15/1999 y el Real Decreto 1720/2007, respecto de los datos de carácter personal a los que tenga acceso de manera, tanto automatizada, como en papel y que sean datos responsabilidad de VODAFONE."" (Folios 18-96,105-178) SEGUNDO: La operadora Vodafone facilita el acceso a sus sistemas de los PVM a través de Web Services de los mayoristas, los PVM introducen los datos necesarios del comprador de un servicio prepago para proceder a su activación. Al acceder a la web del mayorista se visualiza una leyenda, que deben aceptar, donde se les recuerda la información de recabar los datos correctamente y verificar la identidad del comprador y textualmente lo siguiente: ""Condiciones legales Acepto la utilización de la herramienta “Vodafone WAS” para registrar la venta de productos prepago Vodafone, y para ello me comprometo a incorporar únicamente los datos de comprador solicitados en el apartado activación Los datos obligatorios para las personas físicas son: nombre, apellidos, nacionalidad, tipo y número de documento (DNI, NIF, Pasaporte, Tarjeta Residencia). Adicionalmente, C/ Jorge Juan, 6 28001 – Madrid es obligatorio IDENTIFICAR PRESENCIALMENTE al www.agpd.es sedeagpd.gob.es 9/18 comprador mediante la documentación original solicitada en cada caso, y comprobar que los datos proporcionados por el comprador y grabados en “Vodafone WAS” son correctos, veraces y están actualizados y se corresponden con la documentación proporcionada. (…). Me comprometo hacer un buen uso de la información recabada de los compradores y que he registrado en la herramienta “Vodafone WAS”. Para aceptar las condiciones legales introduce tu contraseña y pincha en el botón ACEPTAR. Aceptar Rechazar "" También, los PVM que no disponen de acceso a internet, por lo que no pueden acceder a la web service del mayorista, Vodafone proporciona la posibilidad de facilitar los datos de los clientes a través de una plataforma telefónica. (Folios 97-99, 200-203, 235-242) TERCERO: Añade la operadora que periódicamente se recuerda a los Mayoristas la obligatoriedad de acreditar la identidad de los compradores a través de reuniones y del envío de correos electrónicos, adjuntan el enviado en mayo de 2015 Comunicad Vodafone Identificación de clientes en PdV, en el que se reitera la correcta identificación presencial de los clientes y trasladar dichos aspectos al PVM mediante la suscripción de un acuerdo. (Folios 102-104, 211-216) CUARTO: En relación con las obligaciones de supervisión, control y depuración de datos inexactos o incompletos que Vodafone realiza a Prepay y/o minoristas manifiesta la entidad lo siguiente: De manera previa a la activación de cualquier servicio en la modalidad de prepago, los sistemas de Vodafone verifican que los datos de identificación fiscal (NIF/NIE) son correctos. Si no lo son el sistema no deja seguir con la activación. De forma periódica, Vodafone a través de su departamento de Fraude, Riesgo y Seguridad, hace auditorias de los datos introducidos por los mayoristas y/o los PVM de tal forma que si detecta alguna irregularidad en algún PVM, desde Vodafone exigen al mayorista que corte el acceso a los Sistemas de Vodafone. En algunos casos, se llega a sancionar al mayorista en caso de que no haya puesto las medidas de control correctas exigidas por Vodafone, en el presente caso, a Prepay nunca ha sido necesario proceder a una sanción hasta la fecha. (Folios 102-104, 211-216) QUINTO: Las líneas prepago contratadas a través del mayorista Panini Tech SA (en la actualidad Prepay), de las que Vodafone dispone de los datos exigidos por la normativa (Disposición Adicional Única de la Ley 25/2007, de 18 de octubre, de Conservación de Datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 Comunicaciones) son los siguientes: ***TEL.1: Servicio activado el 9 de junio de 2014, dado de baja por expiración el 4 de abril de 2015, su titular B.B.B. y nacionalidad ***NACIONALIDAD.1. Este servicio fue adquirido por el mayorista Panini y vendido al comprador en el punto de venta minorista (PVM) B.B.B.. ***TEL.2: Servicio activado el 26 de junio de 2014, dado de baja por expiración el 28 de enero de 2015, su titular C.C.C., pasaporte ***PASAPORTE.1 y nacionalidad ***NACIONALIDAD.2. Este servicio fue adquirido por el mayorista Panini y vendido al comprador en el PVM A.A.A.. ***TEL.3: Servicio activado el 11 de septiembre de 2014, dado de baja por expiración el 17 de abril de 2015 y titular la empresa Último Avances, S.L. Este servicio fue adquirido por el mayorista Panini y vendido al comprador en el PVM Sodimper Málaga, S.L. ***TEL.4: Servicio activado el 15 de septiembre de 2014, dado de baja por expiración el 13 de junio de 2015, no constan datos del comprador. Este servicio fue adquirido por el mayorista Panini y vendido al comprador en el PVM Servicam Broker, S.L. ***TEL.5: Servicio activado el 5 de diciembre de 2014, habiéndose dado de baja por expiración el 11 de julio de 2015, su titular la empresa Cedtysa. Este servicio fue adquirido por el mayorista Panini y fue vendido al comprador en el PVM Servicam Broker, S.L. (Folios 7-9, 211-216) SEXTO: Prepay ha informado (entrada 27/07/16) a la Inspección de Datos en relación con la contratación de líneas prepago del operador Vodafone por parte de minoristas lo siguiente: Que tienen suscrito con la operadora Vodafone contrato de distribución mayorista no exclusiva Vodafone que coincide con el aportado por la operadora. Que Prepay suscribe con los minorista un Contrato de distribución mayorista y tratamiento de datos, en el que se detallan los aspectos contemplados en el artículo 12 de la Ley Orgánica 15/1999, y el Real Decreto 1720/2007. ---Con respecto al procedimiento mediante el cual los PVM dan de alta a los clientes éste se realiza mediante el acceso a la herramienta de activación de clientes de Vodafone (denominada WAS), se visualiza la pantalla con las condiciones legales que el PVM debe de aceptar mediante firma con contraseña para continuar con el proceso, y cumplimentan los datos obligatorios que la operadora ha habilitado a tal efecto y que son los siguientes: Tipo de documento (NIF, Pasaporte, Tarjeta de residente); Número de documento de identidad; Nacionalidad; Nombre, Primer apellido; Fecha de nacimiento. Una vez completados dichos datos obligatorios, la herramienta WAS verifica que son correctos y acepta o rechaza la activación, quedando registrados en la base de datos de Vodafone. ---El PVM acepta las instrucciones cuando se conecta a la plataforma de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 Vodafone, bien directamente a través de la herramienta propia de la operadora o a través de la página de Prepay, que redirecciona a los usuarios a la página del operador, el PVP debe aceptar las condiciones legales del aplicativo Vodafone mediante firma con contraseña, para seguir adelante con el proceso. Por lo que los datos del cliente residen en Vodafone. ---Con objeto de la identificación y autenticación para el acceso al sistema, el cliente contacta telefónicamente con el departamento de Atención al Cliente de Prepay, el cual, mediante diversas preguntas de seguridad verifica la personalidad del cliente y le asigna un usuario. A su vez, por correo electrónico le envía una clave de acceso, que viene obligado a modificar en su primer acceso y que resulta desconocida para nosotros. Se recoge una pregunta de seguridad para una posterior identificación en caso de bloqueo del usuario. ---Por otra parte Prepay, no informa ni acredita ante esta AEPD las instrucciones dadas a los minoristas con objeto de acreditar fehacientemente la identidad del cliente que contrata los servicios de telecomunicaciones de Vodafone, ni de las instrucciones dadas a los minoristas sobre acceso y tratamiento de datos personales en el sistema de Vodafone ni de las obligaciones de supervisión y control todo ello solicitado en el requerimiento de la Inspección de Datos. (Folios 102-104, 211-216) SEPTIMO: Prepay –igualmente informa a la Inspección- en relación con las líneas prepago que han remitido SMS´s al denunciante (PS/00518/2015), que no le consta que hayan sido activadas en su red de distribución, han podido ser activadas a través de la red de otro mayorista o directamente con el servicio que a tal efecto dispone Vodafone. Los PVM que adquirieron las líneas son los siguientes: ***TEL.1: Cliente Sodimper Málaga, S.L. ***TEL.2: Cliente A.A.A.. ***TEL.3: Cliente Sodimper Málaga, S.L. ***TEL.4: Cliente Sodimper Málaga, S.L. ***TEL.5: Cliente Sodimper Málaga, S.L. Las PVM subrayadas son distintas a las informadas por Vodafone. (Folios 102-104, 211-216) OCTAVO: Con fecha 11/11/16 se inició el período de práctica de pruebas y entre otras se acordó: 2. Se requiere a PREPAY TECHNOLOGIES, SA para que en el plazo de diez días aporte a este procedimiento los documentos necesarios que acredita ante esta AEPD las instrucciones dadas a los minoristas con objeto de acreditar fehacientemente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 la identidad del cliente que contrata los servicios de telecomunicaciones de VODAFONE; las instrucciones dadas a los minoristas sobre acceso y tratamiento de datos personales en el sistema de VODAFONE; y sobre las obligaciones de supervisión. Igualmente se le requiere para que -en ese mismo plazo- aporte copia de los contratos suscritos en el periodo de mayo a diciembre de 2014, las prórrogas de los mismos en periodos posteriores –si hubiere- o, en su caso, los contratos suscritos hasta la fecha o al término de la relación contractual, con los minoristas (PVM) siguientes.  Sodimper Málaga, S.L.  A.A.A..  Servicam Broker SL  B.B.B.. >>> NOVENO: En su respuesta la denunciada afirma: <<< Como ya quedó dicho en nuestro escrito de alegaciones, Prepay no es la responsable de los datos, ni del fichero, ni del tratamiento; la responsabilidad del fichero corresponde a Vodafone. Prepay no es el encargado del tratamiento de los datos, puesto que este tratamiento lo realiza el punto de venta. Prepay no realiza ninguna actividad relacionada con los datos, ni directa ni indirectamente, más aún, Prepay no conoce dichos datos, pues nunca le son facilitados ni por Vodafone, ni por el punto de venta. Los datos son transmitidos directamente por el encargado de su tratamiento, el punto de venta, al responsable del fichero, Vodafone, sin intervención alguna de Prepay. De esta manera, como quiera que Prepay no realiza tratamiento de datos por cuenta de terceros – Vodafone-, no tiene obligación ninguna de suscribir contrato escrito con el punto minorista, ni de reflejar instrucción alguna sobre el tratamiento de datos. No obstante lo anterior, Prepay, excediéndose en sus obligaciones legales, transmite una nota escrita a los puntos minoristas en la que se les da instrucciones del modo en que han de procesar los datos, Anexo D que se adjunta. De igual modo, el punto de venta tras recibir de Prepay el password y la contraseña para poder llevar a efecto el alta como cliente de Vodafone a través de la web, es informado de las obligaciones que debe cumplir y del buen uso que ha de dar a la información que va a tratar: En primer lugar accede a la Página Activaciones Vodafone WAS Pantalla contraseñas (“Acceso a WAS 1”), en las que debe introducir las remitidas por Prepay. A continuación se accede a la Página que ve el punto de venta el primer acceso a WAS (“Acceso a WAS 2”), en la que se le informa de sus obligaciones. Posteriormente sigue la pantalla de la Página principal WAS Punto de venta. (“Acceso a WAS 3”) Para finalizar con la Página de activaciones Vodafone (“Acceso a WAS 4”), en la que se introducen los datos. De esta manera, el punto de venta, además de la circular escrita que le remite Prepay, tiene conocimiento de sus obligaciones a través de la activación WAS de Vodafone, en la que necesariamente ha de acceder a la página en la que se le hacen saber sus obligaciones respecto de los datos que va a tratar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 Por otra parte, si el acceso al sistema WAS de Vodafone se realiza desde la página web de Prepay, el punto de venta se encuentra: En primer lugar, con la Pantalla de contraseñas (“Acceso a Paninipoint 1 “), Después, con la Página principal Paninipoint.es (“Acceso a Paninipoint 2“), Por último, con la Página Activaciones Paninipoint.es que ya contiene el icono para pasar a WAS de Vodafone (“Acceso a Paninipoint 3 “). A continuación, accediendo a este icono se pasa a las pantallas ya explicadas del WAS Vodafone. Así pues, Prepay a pesar de no tener obligación legal alguna de suscribir ningún documento, ni de informar a los minoristas respecto del tratamiento de datos, lo cierto es que lo hace a través de la nota escrita y, redirigiendo a la web de Vodafone, sistema WAS, en la que también son informados. >>> No aporta los contratos requeridos. (Folios 233-242) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  4. g)en relación con el artículo 36 de la LOPD. II Con carácter previo analizaremos la prescripción de la infracción alegada por la denunciada. El artículo 47 de la LOPD establece: 1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.” En el presente caso el acuerdo de inicio del procedimiento sancionador fue notificada a la denunciada en fecha 30/09/2016 mientras que la infracción de incumplimiento del deber de suscribir un contrato con los minoristas por parte de Prepay se mantiene en el tiempo en la medida en que subsiste el contrato de distribución suscrito con Vodafone que no ha acreditado se hubiera resuelto, motivo por el cual no cabe apreciar la prescripción de la infracción imputada. III La LOPD) dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 "Artículo 12. Acceso a los datos por cuenta de terceros. 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente." En el artículo 44 de la LOPD se establecen los tipos de infracciones: "1. Las infracciones se calificarán como leves, graves o muy graves. 2. Son infracciones leves:
  5. a)No remitir a la Agencia Española de Protección de Datos las notificaciones previstas en esta Ley o en sus disposiciones de desarrollo.
  6. b)No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos.
  7. c)El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.
  8. d)La transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de esta Ley." En el artículo 45.1 de la citada Ley Orgánica se establece la infracción leve puede ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 sancionada con multa de 900 a 40.000 euros. IV Prepay, la entidad investigada como responsable de la infracción arriba descrita, obligada por el contrato suscrito con Vodafone, en el desarrollo de su actividad de distribución como mayorista con los PVM (punto de venta minorista) de un producto. Este producto consiste en una tarjeta prepago para telefonia móvil que al ser adquirida debe ser registrada en la red de Vodafone, asociada a los datos personales y de identidad de la persona adquirente para su activación y uso posterior. Debido a dicho tratamiento de datos de carácter personal necesarios conforme a la normativa en vigor el mayorista Prepay está obligado al distribuir el producto a celebrar con el minorista un contrato que regule la realización de ese tratamiento por cuenta de un tercero siguiendo las instrucciones del responsable (Vodafone) y que no podrá hacerlo para fin distinto, ni comunicará otra persona. Además ese contrato debe establecer las medidas de seguridad (art 9 LOPD) que el encargado (PVM) está obligado a implementar. Prepay no ha acreditado la celebración por escrito de ese contrato con sus minoristas, ni en concreto con los cuatro minoristas requeridos, por lo que se considera que ha infringido el art 12 de la LOPD, en su apartado 2. Dicha infracción está tipificada como infracción leve en el art 44.3.
  9. d)de la misma ley orgánica. V El artículo 45. LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Los hechos probados, según han quedado redactados, ponen de manifiesto una falta de la diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador. Los criterios de graduación de las sanciones establecidas en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, dan lugar a las siguientes observaciones: --- Es claro el carácter continuo de la infracción: El carácter anual prorrogable del contrato de distribución mayorista que obliga a Prepay a celebrar un determinado contrato con los minoristas ha de considerarse vigente, pues nada indica lo contrario, y por tanto la obligación de realizar dicho contrato con los minoristas. Las manifestaciones de dicha mayorista indican que mantiene su actividad y que la sigue desarrollando según indica, sin suscribir contrato escrito con los minoristas –a pesar de la manifestación inicial en el informe a la Inspección- y sin utilizar "alguna otra forma que permita su celebración y contenido" que permite el 12.2 citado arriba. (45.4.a)) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 --- La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que es una empresa que tiene como actividad la distribución de servicios de telefonia a todo tipo de personas y tiene un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. (45.4.c)) --- El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Todos los incumplimientos de toda la cadena de ejecución perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. (45.4.f)) --- Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. (45.4.i)) El balance de todas las circunstancias contemplados por el 45.4 de la LOPD permite fijar la sanción en 20.000 €. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad PREPAY TECHNOLOGIES, S.A., por una infracción del artículo 12.2 de la LOPD, tipificada como leve en el artículo 44.2.
  25. d)de la LOPD, una multa de 20.000 € (veinte mil euros), de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a PREPAY TECHNOLOGIES, S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.