← España

PS-00440-2016

1/16 Procedimiento Nº PS/00440/2016 RESOLUCIÓN: R/00814/2017 En el procedimiento sancionador PS/00440/2016, instruido por la Agencia Española de Protección de Datos a la entidad SERCOM SOLUCIONES, S.L., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 1 de octubre de 2015, la Directora de la Agencia Española de Protección de Datos (AEPD) Acuerda iniciar Procedimiento Sancionador (referencia PS/00518/2015) a las entidades Vodafone España, SAU. (Vodafone) y Paint Technology Project, S.L. en base a la denuncia formulada por un ciudadano que manifiesta que, entre agosto de 2014 y enero de 2015, ha recibido, al menos, “32” mensajes SMS´s ofreciendo servicios que no ha solicitado. Dichos mensajes han sido remitidos desde “32” líneas diferentes con servicio bajo la modalidad prepago de la operadora Vodafone y que han sido adquiridas por entidades mayoristas, entre otras, la compañía Sercom Soluciones SL (en adelante Sercom). En relación con la contratación de las líneas de telefonía móvil prepago, desde las que se emitieron los mensajes denunciados, en el citado Acuerdo de Inicio de Procedimiento Sancionador, se ordena el inicio de actuaciones de investigación para determinar la responsabilidad en los hechos que pudieran corresponder a las entidades mayoristas que intervienen en la formalización del alta de las líneas. SEGUNDO: A la vista de los hechos enunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a Vodafone y a Sercom. Recibidas las respuestas se emite el correspondiente informe de actuaciones de Inspección. TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Sercom en los contratos que firma con minoristas no incluye las estipulaciones que exige el artículo 12.2 de la LOPD. CUARTO: Por la Directora de la Agencia Española de Protección de Datos se acordó el 28/09/16 INICIAR PROCEDIMIENTO SANCIONADOR a Sercom Soluciones SL con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 12.2 de la LOPD, tipificada como leve en el artículo 44.2.

  1. d)de la citada Ley Orgánica. QUINTO: La resolución de acuerdo de inicio fue notificada el 30/09/16 a Sercom, que presentó alegaciones solicitando se declare la inexistencia de infracción. Alega falta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 claridad en la solicitud de información en la fase previa y en la concreción de la infracción presuntamente cometida; que no es responsable de los datos, ni del tratamiento -el responsable del fichero es Vodafone- tampoco es encargado de tratamiento, es el PVM; Sercom se limita a su labor comercial y logística, sin que en ningún caso conserve datos personales de los usuarios finales. Que los datos son transmitidos por el encargado del tratamiento -el punto de venta- al responsable del tratamiento, Vodafone, sin intervención alguna de Sercom. Que los contratos firmados con los PVM ya fueron aportados. SEXTO: Con fecha 11/11/16 se inició el período de práctica de pruebas, se ACUERDA practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios, los documentos obtenidos y generados por los Servicios de Inspección ante Vodafone y Sercom Soluciones SL, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00088/2016. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00440/2016 presentadas por Sercom Soluciones SL. 2. Se requiere a Sercom Soluciones SL para que en el plazo de diez días aporte a este procedimiento copia de los contratos suscritos en el periodo de mayo a diciembre de 2014, las prórrogas de los mismos en periodos posteriores –si hubiere- o, en su caso, los contratos suscritos hasta la fecha o al término de la relación contractual, con los minoristas (PVM) siguientes.  Amin Telecomunicaciones SL.  A.A.A.. SÉPTIMO: Con su respuesta la denunciada adjunta impresión de las páginas de dos contratos, probablemente los de las personas requeridas, pero de lectura prácticamente imposible; en todo caso no puede apreciarse si el contenido coincide con la exigencia contractual de Vodafone con el mayorista. OCTAVO: En fecha 01/02/2017 se emitió propuesta de resolución en el sentido de imponer a Sercom Soluciones SL una multa de 20.000 € por la infracción del artículo 12.2 de la LOPD. NOVENO: Notificada la propuesta Sercom Soluciones SL reitera las alegaciones formuladas en el procedimiento y aporta contrato de sub encargado de tratamiento suscrito con Amin Telecomunicaciones SL y A.A.A.. HECHOS PROBADOS PRIMERO: Vodafone suscribió con Sercom Soluciones SL el día 1 de abril de 2014 contrato de distribución mayorista no exclusiva, que no ha sufrido cambios, si bien se renueva anualmente manteniendo la misma estructura cambiando las condiciones económicas. El contrato tiene por objeto la compra por parte del mayorista a Vodafone de productos asociados a los servicios de comunicaciones electrónicas móviles del operador, a fin de proceder a su posterior distribución y venta a PVM (puntos de venta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 minorista), en las condiciones establecidas en el citado contrato, entre otras, se estipula lo siguiente: "QUINTA. Características de la actividad. 5.7 El MAYORISTA deberá hacer llegar a los PVM con los que trabaje todos los comunicados que VODAFONE genere para su canal de distribución (…). DECIMOPRIMERA. Cumplimiento de la normativa aplicable. 11.1. VODAFONE y el MAYORISTA deberán cumplir la normativa vigente que les sea de aplicación, con especial mención a la Ley Orgánica 15/1999, al Real Decreto 1720/2007, así como cualquier otra normativa vigente en cada momento (…). 11.3. Asimismo, el mayorista dará traslado de todas las obligaciones en materia de protección de datos a los PVM a los que suministre para lo cual, y con carácter previo a la entrega de las Tarjetas de Prepago y Packs suscribirá con cada uno de ellos un contrato de tratamiento de datos de conformidad con el modelo que se adjunta Anexo III (…). 11.4. En cumplimiento de la Ley 25/2007, el mayorista deberá cumplir con las instrucciones que VODAFONE le comunique y que se adjuntan al Anexo II, relativas con las obligaciones de la identificación presencial y recogida de datos de los clientes, (…) recogida de los datos personales en nombre y por cuenta de VODAFONE. En cuanto a los datos que el MAYORISTA recabe en cumplimiento de la citada Ley, este únicamente tratara los mismos con la finalidad de llevar acabo su recogida en nombre y por cuenta de Vodafone, aplicando las medidas de seguridad adecuadas que cumplan los requisitos establecidos en el artículo 9 de la LOPD, así como del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (en adelante RLOPD) para el tratamiento de ficheros de Nivel Básico de Seguridad y, en concreto, las medidas de seguridad definidas en el Anexo V del presente contrato. El MAYORISTA no podrá realizar, ni siquiera a efectos de conservación, copias de los datos de carácter personal facilitados por los compradores en cumplimiento de las obligaciones de identificación presencial, en ningún soporte documental, físico o electrónico, y no podrá comunicarlos a ningún tercero. (…) ANEXO II. RECOGIDA DE DATOS. CONTRATO DE DISTRIBUCIÓN MAYORISTA El presente anexo contiene las instrucciones relativas al cumplimiento de la Disposición Adicional Única de la Ley 25/2007, respecto de (
  2. i)la identificación presencial y recogida de datos de los Clientes que adquieran una Tarjeta de Prepago o un Pack de Prepago con carácter previo a la venta y (
  3. ii)la información a los mismos en los términos descritos en la citada Ley, todo ello de conformidad con lo dispuesto en la cláusula 11.2 del Contrato de Distribución Mayorista del que este anexo trae causa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 PRIMERA Identificación presencial y recogida de datos del cliente/comprador 1. El MAYORISTA deberá trasladar al PVM, mediante la suscripción de un acuerdo que recoja las obligaciones relacionadas en el presente anexo, la obligación imprescindible de identificar PRESENCIALMENTE al Cliente/Comprador mediante su tarjeta identificativa original. (El subrayado es de la Agencia) La documentación a presentar por las personas físicas, según su nacionalidad y situación, es la siguiente: - Para nacionales españoles: DNI o NIE. - Para ciudadanos de la Comunidad Europea se acepta DNI, Tarjeta de Residencia y Pasaporte - Para ciudadanos de fuera de la Comunidad Europea: Pasaporte o NIE 2. Asimismo, el MAYORISTA deberá indicar al PVM el procedimiento que se deberá seguir para recoger datos y activar la tarjeta de forma correcta. Los datos se deberán recoger en PVM a través de la herramienta informática IRIS o a través de la herramienta Web Service, habilitada en la Web del MAYORISTA. Será obligatorio comprobar que los datos proporcionados por el Cliente/Comprador y grabados en el sistema se corresponden con la documentación proporcionada (…). En relación con la utilización de la herramienta Web Service, y dado que a través de la misma el MAYORISTA podrá tener acceso a datos de carácter personal, además de cumplir con lo previsto en el Contrato del que el presente Anexo es parte inseparable e implementar las Medidas de Seguridad que resulten pertinentes (…). SEGUNDA: Datos a recabar de los compradores de servicios prepago 1. PERSONAS FÍSICAS El MAYORISTA deberá trasladar al PVM la obligación de recabar los siguientes datos de carácter obligatorio: Nombre, Apellidos, Nacionalidad, Tipo y número de Documento (DNI, NIF, Pasaporte, Tarjeta Residencia). 2. PERSONAS JURÍDICAS El MAYORISTA deberá trasladar al PVM la obligación de recabar los siguientes datos de carácter obligatorio: Razón social, Tipo y número de Documento de identificación fiscal y Domicilio completo. TERCERA. Impresión y firma a solicitud del cliente En el caso de que el cliente lo solicite, se imprimirá una única copia de la documentación y se entregara al Cliente/Comprador, sin que el PVM pueda quedarse con una copia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 (ANEXO III AL CONTRATO DE DISTRIBUCIÓN MAYORISTA) MODELO DE CONTRATO DE TRATAMIENTO DE DATOS REUNIDOS De una parte, D. xxxxxxxxxx, mayores de edad, que actúan en nombre y representación de xxxxxxxxx (en adelante, "xxxxxxxx") con CIF. xxxxxxx y domicilio en xxxxxxxxxxxx (Madrid) en virtud del poder de representación otorgado ante el Notario de xxxxxxxxxx D.xxxxxxxxxxxx, en fecha xxxxxx de abril de xxxxxxxx, al número xxxxxxxx de su protocolo y en fecha x de xxxxxxx de xxxxxx, al número xxxxx de su protocolo, respectivamente Y de otra parte, D. xxxxxxxx, mayor de edad, que actúa en nombre y representación de xxxxxxxxxxxxx (en adelante, "xxxxxxx"), empresa con domicilio social en xxxxxxxxxx en calidad de xxxxxxxxxxxxxxxxx y domicilio profesional en xxxxxxxxxxxxx. EXPONEN I.Que el MAYORISTA y VODAFONE han suscrito un Contrato de Distribución Mayorista no Exclusiva de VODAFONE (en adelante, "el Contrato") por medio del cual el MAYORISTA compra productos asociados a los servicios de comunicaciones electrónicas móviles prepago de VODAFONE a fin de proceder a su posterior distribución y venta a Puntos de Venta minoristas. II.- Que para la correcta prestación del servicio, se requerirá el acceso a datos de carácter personal de VODAFONE, acceso que se llevará a cabo por parte del MAYORISTA. Sin embargo, y puesto que el MAYORISTA distribuye los productos entre los Puntos de Venta minoristas estos necesitarán, para la correcta prestación del servicio, acceso a datos titularidad de VODAFONE. III.- Que como consecuencia de lo anterior, VODAFONE autoriza al MAYORISTA a actuar en su nombre y representación, por lo que, el MAYORISTA y el Punto de Venta minorista desean suscribir el presente Contrato de conformidad con las siguientes CLÁUSULAS I - Objeto Dando cumplimiento al artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, "LOPD"), es objeto del presente Contrato la determinación por parte del MAYORISTA de las medidas de seguridad que el Punto de Venta minorista como "Encargado del Tratamiento", deberá adoptar en el acceso y tratamiento de los datos personales de Nivel Básico titularidad de que llevará a cabo para prestar el Servicio previsto en el Expositivo I. así como la garantía por parte del Punto de Venta minorista de cumplir con la normativa vigente en materia de Protección de Datos Personales y, especialmente lo dispuesto por la LOPD y el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (en adelante, "RLOPD"). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 II.- Encargado del Tratamlento En ningún caso se entenderá la prestación del Servicio que realice el Punto de Venta minorista a favor del MAYORISTA como una cesión de datos sino como un “Encargo de Tratamiento" del Punto de Venta minorista al MAYORISTA en los términos previstos en el artículo 12 de la LOPD. El Punto de Venta minorista declara conocer que el Fichero al que tiene acceso contiene datos personales y. como "Encargado del Tratamiento" de los mismos, se compromete a actuar en todo momento conforme a las instrucciones del MAYORISTA, así como a lo dispuesto en la normativa que le resulte aplicable en materia de protección de datos personales. El Punto de Venta minorista como "Encargado del Tratamiento", se compromete a no aplicar ni utilizar los datos personales que figuran en dichos Ficheros para objeto o fin distinto al que estrictamente figure en el contrato de prestación de servicios firmado. Ill - Medidas de Seguridad El Punto de Venta minorista se compromete a implantar todas las medidas de seguridad que el RLOPD establece para el tratamiento de ficheros de Nivel Básico de Seguridad y, en concreto, las medidas de seguridad exigibles de índole técnica, legales y organizativas que aparecen definidas y enumeradas en los artículos 89 a 94, ambos inclusive, del RLOPD, respecto a ficheros automatizados y los artículos 105 a 108, ambos inclusive, del citado RLOPD para aquellos datos que se encuentren en ficheros no automatizados en caso de que el servicio prestado por el Punto de Venta minorista requiera acceso a este tipo de ficheros. IV - Deber de Confidencialidad El personal del Punto de Venta minorista que tenga acceso a los datos personales objeto de tratamiento deberá ser informado acerca de su índole confidencial y de sus responsabilidades. Esta obligación de confidencialidad será notificada por el Punto de Venta minorista a los empleados que intervengan en alguna medida en la ejecución de este contrato. El punto de venta minorista garantiza que únicamente accederán a dichos ficheros las personas cuya labor sea fundamental para la prestación del servicio objeto de tratamiento. V.- Prohibición de Comunicación de Datos Personales El punto de venta minorista se compromete a guardar bajo su control y custodia todos los datos de carácter personal a los que acceda con motivo de la prestación del Servicio objeto de encargo y a no divulgar, transferir, o de cualquier forma comunicar, ni siquiera para su conservación a otras personas, en todo o en parte, los datos contenidos en los ficheros, siendo responsable de cualquier reproducción o utilización ilegítima de los mismos. El Punto de Venta minorista no podrá subcontratar el servicio objeto del presente contrato en todo o en parte a ningún tercero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 VII.- Obligación de Devolución de los Datos Una vez cumplida la prestación del servicio, el Punto de Venta minorista se compromete a destruir o devolver, según la preferencia del MAYORISTA, aquella información que contenga datos de carácter personal que haya sido facilitada con motivo de la prestación del Servicio, u obtenida por el Punto de Venta minorista como "Encargado de Tratamiento" cualquiera que fuera el soporte en el que conste, lo que acreditará al Punto de Venta minorista mediante la firma de un documento que será remitido al MAYORISTA una vez destruida o devuelta al MAYORISTA toda la información, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. VIII - Copias de Seguridad El Punto de Venta minorista se compromete a no copiar o reproducir la información facilitada, salvo cuando sea necesario para su tratamiento o para implantar las medidas de seguridad a las que está legalmente obligada como Encargada del Tratamiento. En este último supuesto, cada una de las copias o reproducciones estará sometida a los mismos compromisos y obligaciones que se establecen en la presente cláusula, debiendo ser destruidas o devueltas, conforme se indica en el apartado anterior. IX.- Responsabilidades El Punto de Venta minorista se obliga a mantener indemne al MAYORISTA frente a cualquier reclamación que pueda ser interpuesta (en especial, en caso de apertura de cualquier tipo de expediente por la Agencia Española de Protección de Datos) por el incumplimiento por el Punto de Venta minorista de la legislación sobre Protección de Datos de Carácter Personal y. en especial, de las garantías recogidas en este contrato, y acepta pagar la cantidad a la que en concepto de sanción, multa, indemnización, daños, perjuicios e intereses por las que puedan ser condenadas, incluyendo honorarios razonables de abogados, con motivo del citado incumplimiento, sin perjuicio de que el MAYORISTA pueda ser obligado a atender la reclamación directamente. En el caso de que el Punto de Venta minorista destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. El incumplimiento de las medidas de seguridad por parte del Punto de Venta Minorista facultará al mayorista a resolver el contrato y a exigir a ésta la indemnización por daños y perjuicios que, en su caso corresponda. X.- Verificación del cumplimiento por el responsable El Mayorista se reserva la facultad de auditar, sin previo aviso, los sistemas e instalaciones del Punto de Venta Minorista, a los únicos efectos de comprobar el cumplimiento de las medidas de seguridad establecidas en el presente contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 El Punto de Venta Minorista acepta dicha facultad del mayorista y pondrá a disposición la ayuda y colaboración necesaria para llevar a cabo dicha comprobación. Y en prueba de conformidad con cuanto antecede y con voluntad de obligarse, las partes firman el presente documento por duplicado y a un solo efecto, en el lugar y fecha expresados a continuación a de de 2014 Por el Mayorista Por el Punto de Venta Minorista D. D. ANEXO IV. ESPECIFICACIONES EN MATERIA DE SEGURIDAD, FRAUDE Y PROTECCIÓN DE LA INFORMACIÓN. CONTRATO DE DISTRIBUCIÓN MAYORISTA. ANEXO A: Acuerdo de confidencialidad individual. ANEXO B: Normas y procedimientos de seguridad. ANEXO V: MEDIDAS DE SEGURIDAD DE NIVEL BÁSICO. El presente anexo, contiene las Medidas de Seguridad que el MAYORISTA, en su condición de Encargado del Tratamiento deberá cumplir de conformidad con los previsto en la Ley Orgánica 15/1999 y el Real Decreto 1720/2007, respecto de los datos de carácter personal a los que tenga acceso de manera, tanto automatizada, como en papel y que sean datos responsabilidad de VODAFONE."" (Folios 19-87,147-289) SEGUNDO: La operadora Vodafone facilita el acceso a sus sistemas de los PVM a través de Web Services de los mayoristas, los PVM introducen los datos necesarios del comprador de un servicio prepago para proceder a su activación. Al acceder a la web del mayorista se visualiza una leyenda, que deben aceptar, donde se les recuerda la información de recabar los datos correctamente y verificar la identidad del comprador y textualmente lo siguiente: ""Condiciones legales Acepto la utilización de la herramienta “Vodafone WAS” para registrar la venta de productos prepago Vodafone, y para ello me comprometo a incorporar únicamente los datos de comprador solicitados en el apartado activación Los datos obligatorios para las personas físicas son: nombre, apellidos, nacionalidad, tipo y número de documento (DNI, NIF, Pasaporte, Tarjeta Residencia). Adicionalmente, C/ Jorge Juan, 6 28001 – Madrid es obligatorio IDENTIFICAR PRESENCIALMENTE al www.agpd.es sedeagpd.gob.es 9/16 comprador mediante la documentación original solicitada en cada caso, y comprobar que los datos proporcionados por el comprador y grabados en “Vodafone WAS” son correctos, veraces y están actualizados y se corresponden con la documentación proporcionada. (…). Me comprometo hacer un buen uso de la información recabada de los compradores y que he registrado en la herramienta “Vodafone WAS”. Para aceptar las condiciones legales introduce tu contraseña y pincha en el botón ACEPTAR. Aceptar Rechazar "" También, los PVM que no disponen de acceso a internet, por lo que no pueden acceder a la web service del mayorista, Vodafone proporciona la posibilidad de facilitar los datos de los clientes a través de una plataforma telefónica (Folios 85-87, 290-296) TERCERO: Añade la operadora que periódicamente se recuerda a los Mayoristas la obligatoriedad de acreditar la identidad de los compradores a través de reuniones y del envío de correos electrónicos, adjuntan el enviado en mayo de 2015 Comunicad Vodafone Identificación de clientes en PdV, en el que se reitera la correcta identificación presencial de los clientes y trasladar dichos aspectos al PVM mediante la suscripción de un acuerdo. (Folios 19-23, 290-296) CUARTO: En relación con las obligaciones de supervisión, control y depuración de datos inexactos o incompletos que Vodafone realiza a Sercom y/o minoristas manifiesta la entidad lo siguiente: De manera previa a la activación de cualquier servicio en la modalidad de prepago, los sistemas de Vodafone verifican que los datos de identificación fiscal (NIF/NIE) son correctos. Si no lo son el sistema no deja seguir con la activación. De forma periódica, Vodafone a través de su departamento de Fraude, Riesgo y Seguridad, hace auditorias de los datos introducidos por los mayoristas y/o los PVM de tal forma que si detecta alguna irregularidad en algún PVM, desde Vodafone exigen al mayorista que corte el acceso a los Sistemas de Vodafone. En algunos casos, se llega a sancionar al mayorista en caso de que no haya puesto las medidas de control correctas exigidas por Vodafone, en el presente caso, a Sercom nunca ha sido necesario proceder a una sanción hasta la fecha. (Folios 19-23, 290-296) QUINTO: Las líneas prepago contratadas a través del mayorista Sercom Soluciones SL (en la actualidad Sercom), de las que Vodafone dispone de los datos exigidos por la normativa (Disposición Adicional Única de la Ley 25/2007, de 18 de octubre, de Conservación de Datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones) son los siguientes: ***TEL.1: Servicio activado el 24 de junio de 2014, dado de baja por expiración el 3 de mayo de 2015, titular B.B.B. y nacionalidad española. Este servicio fue adquirido por el mayorista Sercom y fue vendido al comprador en el punto de venta minorista (PVM) Telecomunicación, S.L. ***TEL.2: Servicio activado el 24 de junio de 2014, dado de baja por expiración el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 6 de junio de 2015, titular C.C.C. y nacionalidad española. Este servicio fue adquirido por el mayorista Sercom y fue vendido al comprador en el PVM A.A.A. (ALISON). ***TEL.3: Servicio activado el 24 de junio de 2014, dado de baja por expiración el 26 de mayo de 2015 y no constan datos del comprador. Este servicio fue adquirido por el mayorista Sercom, y fue vendido al comprador en el PVM A.A.A. (ALISON). ***TEL.3: Servicio activado el 24 de junio de 2014, dado de baja por expiración el 17 de junio de 2015, titular D.D.D. y nacionalidad española. Este servicio fue adquirido por el mayorista Sercom y fue vendido al comprador en el PVM E.E.E. (Folios 7-9, 290296) SEXTO: Sercom ha informado a la Inspección de Datos que tienen suscrito contrato con Vodafone, que coincide con el aportado por la operadora en los aspectos descriptos anteriormente y, en concreto, en lo referente a normativa de protección de datos, medidas de seguridad y conservación de datos de las comunicaciones electrónicas. Afirma que con los PVM firma Contrato de distribución minorista de productos de telefonía, cuyo modelo adjuntan vigentes en el año 2014 y 2016 (Folios 325-334) SERCOM envía vía Web Services a VODAFONE (herramienta WAS) los datos que el minorista graba en el formulario y los válida para verificar si son correctos y completos. Como contrato de distribución minorista de productos de telefonía 2016, requisitos para la toma de datos de clientes de SIM/PACK, en el momento de la activación se le visualiza lo siguiente: ""El motivo del presente comunicado es recordaros que tenéis la responsabilidad en nombre de Vodafone España, S.A. y en virtud de la Disposición Adicional Única de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, de identificar presencialmente a todo comprador de un servicio en la modalidad prepago. Dicha identificación presencial requerirá necesaria y obligatoriamente cumplir con lo siguiente: (
  4. i)Recabar una serie de datos de carácter personal obligatorios del comprador del servicio prepago que a saber son: 1. Personas Físicas.  Nombre y apellidos  Tipo (DNI, Pasaporte o Tarjeta de Residencia y Número de Documento.  Nacionalidad 2. Personas Jurídicas: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16  Denominación Social  Código de Identificación Fisca (
  5. ii)Identificar presencialmente al comprador de dicho servicio prepago mediante la exhibición del Documento mencionado en el apartado anterior Asimismo os informamos de que debido a las graves consecuencias que pueden derivar para Vodafone de un incumplimiento de estas obligaciones, si tal circunstancia llegara a producirse, ésta supondrá un incumplimiento muy grave de las obligaciones establecidas en el contrato que rige la relación jurídica entre ambas partes, reservándose Vodafone todos los derechos que estén a su alcance a los efectos de repercutir cualquier perjuicio del tipo que sea como como consecuencia de tal incumplimiento a aquel que lo haya ocasionado."" --- Con objeto de la identificación y autenticación para el acceso al sistema de SERCOM, el PVM contacta con SERCOM que le facilita el código de usuario y la contraseña que tendrá que introducir en la zona de Clientes SERCOM (Folios 19-87, 290-296) SEPTIMO: Sercom –igualmente informa a la Inspección- en relación con las líneas prepago que han remitido SMS´s al denunciante (PS/00518/2015), que no le consta que hayan sido activadas en su red de distribución, han podido ser activadas a través de la red de otro mayorista (Folios 19-87, 290-296) OCTAVO: Con fecha 11/11/16 se inició el período de práctica de pruebas y entre otras se acordó: 2. Se requiere a Sercom Soluciones SL para que en el plazo de diez días aporte a este procedimiento copia de los contratos suscritos en el periodo de mayo a diciembre de 2014, las prórrogas de los mismos en periodos posteriores –si hubiere- o, en su caso, los contratos suscritos hasta la fecha o al término de la relación contractual, con los minoristas (PVM) siguientes.  Amin Telecomunicaciones SL.  A.A.A.. (Folio 322) NOVENO: Sercom Soluciones SL aportó copia de contrato de subencargo de tratamiento de datos suscrito en fecha 13/10/2013 con A.A.A., y en fecha 05/11/2013 con Amin Telecomunicaciones SL. que estipulan que ambos tratarán los datos única y exclusivamente conforme a las instrucciones en encargado del tratamiento (Sercom Soluciones SL). En los contratos no se hace mención alguna a la obligación de identificar presencialmente al cliente/comprador mediante documentación que acredite su identidad conforme exige el contrato suscrito entre Sercom Soluciones SL y VODAFONE (Folios 358-361) FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD) dispone: "Artículo 12. Acceso a los datos por cuenta de terceros. 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente." III En el artículo 44 de la LOPD se establecen los tipos de infracciones: "1. Las infracciones se calificarán como leves, graves o muy graves. 2. Son infracciones leves:
  7. a)No remitir a la Agencia Española de Protección de Datos las notificaciones previstas en esta Ley o en sus disposiciones de desarrollo.
  8. b)No solicitar la inscripción del fichero de datos de carácter personal en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 Registro General de Protección de Datos.
  9. c)El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.
  10. d)La transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de esta Ley." En el artículo 45.1 de la citada Ley Orgánica se establece la infracción leve puede ser sancionada con multa de 900 a 40.000 euros. IV Sercom, la entidad investigada como responsable de la infracción arriba descrita, obligada por el contrato suscrito con Vodafone, en el desarrollo de su actividad de distribución como mayorista con los PVM (punto de venta minorista) de un producto. Este producto consiste en una tarjeta prepago para telefonía móvil que al ser adquirida debe ser registrada en la red de Vodafone, asociada a los datos personales y de identidad de la persona adquirente para su activación y uso posterior. Debido a dicho tratamiento de datos de carácter personal necesarios conforme a la normativa en vigor el mayorista Sercom está obligado al distribuir el producto a celebrar con el minorista un contrato que regule la realización de ese tratamiento por cuenta de un tercero siguiendo las instrucciones del responsable (Vodafone) que incluye contrato modelo y que no podrá hacerlo para fin distinto, ni comunicará otra persona. Además ese contrato debe establecer las medidas de seguridad (art 9 LOPD) que el encargado (PVM) está obligado a implementar. Sercom ha acreditado la celebración por escrito de esos contratos con los dos minoristas requeridos, pero en los mismos no incluye instrucción alguna para los minoristas relativa a la obligación de identificar personalmente cliente/comprador mediante documentación que acredite su identidad conforme exige el contrato suscrito entre Sercom Soluciones SL y VODAFONE V El artículo 45. LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16
  11. a)El carácter continuado de la infracción.
  12. b)El volumen de los tratamientos efectuados.
  13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  14. d)El volumen de negocio o actividad del infractor.
  15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  16. f)El grado de intencionalidad.
  17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Los hechos probados, según han quedado redactados, ponen de manifiesto una falta de la diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 Los criterios de graduación de las sanciones establecidas en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, dan lugar a las siguientes observaciones: --- Es claro el carácter continuo de la infracción: El carácter anual prorrogable del contrato de distribución mayorista que obliga a Sercom a celebrar un determinado contrato con los minoristas ha de considerarse vigente, pues nada indica lo contrario, y por tanto la obligación de realizar dicho contrato con los minoristas. Las manifestaciones de dicha mayorista indican que mantiene su actividad y que la sigue desarrollando según indica, y utilizando un contrato para minoristas en el que no se incluye instrucción alguna relativa a la obligación de identificar presencialmente al cliente/comprador mediante documentación que acredite su identidad como exige el contrato suscrito por la denunciada con Vodafone (45.4.a)) --- La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que es una empresa que tiene como actividad la distribución de servicios de telefonía a todo tipo de personas y tiene un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. (45.4.c)) --- El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Todos los incumplimientos de toda la cadena de ejecución perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. (45.4.f)) --- Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. (45.4.i)) El balance de todas las circunstancias contemplados por el 45.4 de la LOPD permite fijar la sanción en 20.000 €. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SERCOM SOLUCIONES, S.L., por una infracción del artículo 12.2 de la LOPD, tipificada como leve en el artículo 44.2.
  26. d)de la LOPD, una multa de 20.000 € (veinte mil euros), de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a SERCOM SOLUCIONES, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.