1/8 Procedimiento Nº PS/00597/2014 RESOLUCIÓN: R/00995/2015 En el procedimiento sancionador PS/00597/2014, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA SAU, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 7/11/2013 tiene entrada en esta Agencia a través de su sede electrónica un escrito de A.A.A., (en adelante el denunciante), en el que manifiesta: 1. VODAFONE ESPAÑA SAU, en adelante VODAFONE, con la que no tiene contratado ningún servicio, ha utilizado sus datos y los ha vinculado sin su consentimiento a dos contratos a los que asocia la entrega de terminales y por los que ahora le reclama una deuda. 2. Además, ha cedido sus datos a KONECTA SA, empresa de gestión de cobros que le llama. 3. Ha presentado denuncias y reclamaciones ante la propia VODAFONE, la Policía Nacional el 11 y 15/10/2013, hoja de reclamaciones (logo de Junta de Andalucía Consejería Administración Local y relaciones institucionales) con sello de VODAFONE fechada 31/10/2013 ejemplar copia Administración, y la Secretaría de Estado de Telecomunicaciones, (en adelante SETSI) el 30/10/2013. Adjunta copias Además, aporta copia de dos correos electrónicos remitidos el 15/10/2013 desde el área de soporte de VODAFONE en los que se indica que se adjuntan copias de contratos firmados, pero en los que no se ha aportado copia impresa de dicho adjunto.
- a)Dos facturas emitidas a nombre del denunciante el 18/09/2013 por el consumo de las líneas ***TEL.1 y ***TEL.2.
- b)Dos albaranes de entrega con datos del denunciante precumplimentados, firmados (firma diferente radicalmente a la del DNI del denunciante en su denuncia), fecha entrega 30/08/2013 dirigidos a nombre del denunciante, líneas ***TEL.1 y ***TEL.2. El 21/11/2013 tiene entrada en esta Agencia un escrito de denuncia idéntico al descrito. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia el 31/01/2014 solicitan información a la entidad, VODAFONE ESPAÑA SAU, que con fecha 17/02/2014 precisa: SOBRE LA CONTRATACION Respecto de los productos que constan de alta a nombre del denunciante: Constan dos líneas: la ***TEL.2 y la ***TEL.1 ambas fecha de alta 28/08/2013 y baja 27/09/2013 por impago de las facturas emitidas. No aportan copia del contrato suscrito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 La contratación, que proviene de una portabilidad, se realizó telefónicamente y la llamada de verificación la realizó personal de DIGITEL DOCUMENTOS SL, con la que VODAFONE firmó un contrato de prestación de servicios el 25/04/2013. Aporta copia de dos grabaciones audio en un CD, pero ambas son idénticas y corresponden a la contratación de la línea ***TEL.2. No se aporta grabación alguna que acredite la contratación de la línea ***TEL.1. SOBRE LAS COMUNICACIONES CON EL AFECTADO Y ACCIONES EMPRENDIDAS POR LA ENTIDAD CONTACTOS REGISTRADOS EN EL SISTEMA DE INFORMACION DE LA ENTIDAD: Respecto de las comunicaciones y contactos que han existido entre esa entidad y el cliente, aportan impresiones de pantalla de su sistema de gestión de contactos en los que consta, entre otra, la siguiente información: 15/10/2013: El cliente informa de que le han robado sus terminales y solicita que éstos sean bloqueados e incluidos en la base de datos de terminales robados. 18/10/2013: El cliente reclama alta fraudulenta. Indica que adjunta denuncia ante la Policía. En las grabaciones que le han remitido al denunciante dice que se nota que las personas que contratan la línea a su nombre son dos personas distintas, una de ellas sudamericana, y la dirección de entrega de los albaranes una casa abandonada. Están molestos por el trato recibido por la empresa de recobros. Se remite el caso a la unidad de fraude. 22/10/2013, Tras revisar el caso y la documentación disponible y atendiendo al contacto de 15/10/2013, se clasifica el caso como no fraude. 8/11/2013: Entrada de la reclamación presentada ante la SETSI que es contestada el 14/11 manifestando VODAFONE que, una vez analizado, no encuentran fraude alguna y reclamando el pago de la deuda. EXPEDIENTE EN PAPEL: Aportan copia del expediente en papel que consta en la entidad y que recoge las reclamaciones efectuadas por el afectado y se observa lo siguiente: Respuesta remitida el 22/10/2013 a la solicitud de cancelación de datos realizada por el denunciante en la que se le indica la documentación que debe de aportar para que ésta se resuelva. Respuesta remitida a la SETSI el 16/12/2013 en el que se comunica que no aprecian fraude en la contratación y requieren el pago de la deuda pendiente. SOBRE LOS POSIBLES IMPAGOS Se han emitido facturas para las dos líneas entre el 8/09/2013 y el 8/01/2014 un total de 5 facturas para cada línea. Todas fueron impagadas. Aportan copia de tres de las facturas con importe mayor que cero. En dos de ellas consta uso efectivo de la línea. Actualmente, la deuda contraída no se encuentra condonada pero, dado que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 existencia de un procedimiento administrativo abierto, no se ha reclamado el importe y los datos del denunciante no han sido incluidos en ningún fichero de solvencia patrimonial y crédito. TERCERO: Con fecha 30/10/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE ESPAÑA SAU por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 19/11/2014 la denunciada alega: 1) El denunciante contrató con Vodafone dos servicios a través del canal de televenta de Vodafone el 28/08/2013. Ambos servicios fueron dados de baja por impago el 27/09/2013. Los servicios estuvieron activados durante el plazo de un mes. Dispone de las dos grabaciones correspondientes a las portabilidades de los servicios ***TEL.2 y ***TEL.1. Al parecer y por error, en el CD que VODAFONE envió con las dos grabaciones, ambas se corresponden con la portabilidad del servicio ***TEL.2 algo que no pueden comprobar dado que no guardan una copia del CD que envía por disponer de las grabaciones por medio electrónico. Se ha enviado la misma grabación dos veces, siendo un error, dado que adjuntan la copia de la grabación correspondiente al alta del servicio ***TEL.1, es decir, que disponía del consentimiento para tratar sus datos. 2) Se escucha en el CD a una operadora que inicia el saludo identificándose con nombre y apellidos al denunciante, informándole que se trata del proceso de contratación telefónica de VODAFONE y de la grabación de la llamada. La fecha es 23/08/2013. La operadora pide el nombre y apellidos a la persona, luego el DNI que coinciden con los del denunciante. Le pregunta si es titular de la línea ***TEL.1 que va a portar a VODAFONE, (C/..........1) en Málaga, a lo que el cliente dice si, siendo el operador actual YOIGO, proporciona su dirección de correo electrónico, y se pacta la entrega de un terminal. QUINTO: Con fecha 6/03/2015 se emitió propuesta de resolución con el literal: “Que por el Director de la Agencia Española de Protección de Datos se ARCHIVE la infracción del artículo 6.1 de la LOPD imputada a VODAFONE ESPAÑA SAU , tipificada como grave en el artículo 44.3.
- b)de dicha norma.” HECHOS PROBADOS 1. El denunciante denuncia que recibió una llamada el 11/10/2013 de una empresa de recobro reclamándole el abono de 86,44 euros en nombre de VODAFONE (1,3, 6, 96) cuando no reconoce tener nada contratado con dicha entidad. 2. El denunciante acredita haber ejercitado el derecho de cancelación el 17/10/2013, pero VODAFONE le responde el 22/10/2013 que subsane su solicitud dado que faltan varios requisitos (6 a 9, 15, 41 a 44, 102). 3. El denunciante interpuso “hoja de quejas y reclamaciones” ante la Consejería de Admon Local y Relaciones Institucionales de la Junta de Andalucía el 31/10/2013
(38), y ante la Policía el 15/10/2013 (31 a 33). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8
- En los sistemas de VODAFONE le constan al denunciante dos líneas: la ***TEL.2 y la ***TEL.1, ambas fecha de alta 28/08/2013 y baja 27/09/2013, en ambas no se abonó ninguna de las facturas emitidas. De la línea ***TEL.2 emitidas dos, de 8/09 y 8/10/2013 (70,73) adeudando 60,98 euros. De la otra línea se emitieron dos de la misma fecha, adeudando 212, 63 €. Las contrataciones provienen de portabilidades, y se realizaron telefónicamente. (66,70, 71, 72,149).
- VODAFONE aporta copia en actuaciones previas una grabación audio en un CD. La grabación trata del proceso de contratación telefónica, informa de la grabación y la fecha 23/08/
- El cliente se identifica como A.A.A., que proporciona su número NIF. Se le pregunta si es el titular de la línea ***TEL.2 que va a portar a VODADFONE desde YOIGO, y la dirección, que no coincide con la que el denunciante consigna en su denuncia. (CD folio número 141). VODAFONE aporta en alegaciones al acuerdo una grabación, folio cd 151 en que se escucha en el CD a una operadora que inicia el saludo identificándose con nombre y apellidos al denunciante, informándole que se trata del proceso de contratación telefónica de VODAFONE y de la grabación de la llamada. La fecha es 23/08/
- La operadora pide el nombre y apellidos a la persona, luego el DNI que coinciden con los del denunciante. Le pregunta si es titular de la línea ***TEL.1 que va a portar a VODAFONE, (C/..........1) en Málaga, a lo que el cliente dice si, siendo el operador actual YOIGO, proporciona su dirección de correo electrónico, y se pacta la entrega de un terminal.
- En los sistemas de contacto de la entidad denunciada consta el 18/10/2013 “cliente reclama alta fraudulenta de dos líneas móviles” figurando A.A.A. y sus teléfonos de contacto
(84)remitiendo denuncia de la Policía
(85). El caso se pasa a Depto. de Fraude (85, 87, 88). También figura la recepción de hoja de reclamaciones según anotación en los sistemas de 22/10/2013
(90)creando caso para Fraude. En fecha 22/10/2013 figura la anotación “Calificado como no fraude” (92, 93, 94). 7. El denunciante interpuso reclamación ante la SETSI el 31/10/2013 (34 a 37, 39). Con fecha 6/11/2013, en los sistema de la denunciada figura la entrada de la reclamación SETSI
(95). La respuesta de VODAFONE fue según figura en sus sistemas el 14/11/2013 que la cuenta VF acabada en 07 asociada a la línea ***TEL.1 tiene las facturas pendientes de 8/09 y 8/10 2013 por importe de 212, 63 euros, mientras que la cuenta VF a acabada en 20 de la línea ***TEL.2 adeuda las facturas de 8/09 y 8/10/2013 por 60,98 euros
(99). Ambas líneas se activaron a través de grabación de voz el 28/08/2013, y que la baja no se catalogó como fraude. El 13/12/2013 se reitera el anterior argumento en sus sistemas (100, 101) y con fecha 16/12/2013 formalizó el escrito de respuesta
(103)en el que consta que remiten las grabaciones. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 II Se imputa a VODAFONE el tratamiento sin consentimiento de los datos personales del denunciante ligados al alta de dos líneas de teléfono. El artículo 6.1 y 2 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. La Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 La Circular 1/2009, de la Comisión del Mercado de las Telecomunicaciones, por la que se introduce el consentimiento verbal con verificación por tercero en la contratación de servicios mayoristas regulados de comunicaciones fijas, así como en las solicitudes de conservación de numeración, cuyo objeto es implementar la tramitación de solicitudes de contratación de servicios mayoristas regulados de comunicaciones fijas, así como de portabilidad, a partir de la manifestación de un consentimiento verbal por parte del abonado, resultaba aplicable a la solicitudes de portabilidades que nos ocupa. Esta circular habilita otra posibilidad de consentimiento, añadida a la vigente (solicitud previo consentimiento escrito del abonado), que aportará más agilidad a la tramitación, y ello debido a la inmediatez que se deriva de utilizar un consentimiento verbal entre ausentes (contratantes a distancia). Asimismo, se traslada a esta tramitación –surgida a partir de un consentimiento verbal del abonado– los requisitos de identidad recogidos hasta ahora para la tramitación de solicitudes previo consentimiento escrito del abonado y, además, se añade la presencia de un tercero independiente que verificará de forma objetiva la existencia de tal consentimiento en las condiciones requeridas. La Circular impone en su apartado tercero la verificación por un tercero de la prestación del consentimiento. De modo que para que el operador beneficiario pueda iniciar la tramitación de una solicitud con consentimiento verbal del abonado, se deberá acreditar la existencia de dicho consentimiento verbal por una entidad independiente verificadora. Así mismo, por lo que respecta a las exigencias formales de la prestación verbal del consentimiento se exige en el Anexo I que en la tramitación de solicitudes de portabilidad móvil se cumplan, entre otros, los siguientes requisitos: 1. Se informará al cliente de que la conversación se está grabando y se le preguntará si está de acuerdo con que la conversación sea grabada. 2. El verificador indicará la fecha (día, mes, año y hora) en que tiene lugar la conversación. 3. El verificador informará al abonado del código identificativo de la solicitud. 4. Se solicitará al cliente que aporte o confirme la siguiente información: nombre del titular de la línea o denominación de la entidad titular y nombre del apoderado, si es el titular de la línea o el apoderado de la empresa (la respuesta tiene que ser afirmativa, de otro modo la verificación es negativa), NIF / CIF, dirección/domicilio social, numeración a portar, operador beneficiario, operador donante, y momento deseado para portar (día, mes y año en el que el abonado desea se lleve a cabo la portabilidad tal y como recoja la normativa vigente en ese momento). Ciertamente, la Circular examinada afecta a la gestión entre operadores respecto de la tramitación de solicitudes relativas a servicios mayoristas regulados de comunicaciones fijas y/o portabilidad, y se aprueba sin perjuicio de la normativa relativa a la contratación telefónica aplicable entre operadores y usuarios y de la normativa sobre protección de datos de carácter personal de obligado cumplimiento para los operadores y entidades verificadoras. Ahora bien, ello no impide considerar que la diligencia que resulta exigible a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 denunciada en la recogida del consentimiento del titular de los datos personales que hubiere de tratar con motivo de la contratación de servicios de telefonía móvil, a los que resultara de aplicación dicha circular por proceder de la portabilidad de telefonía móvil, comprende el deber de cumplir con las exigencias impuestas en la misma, que no hacen sino garantizar la existencia del referido consentimiento en relación con la citada portabilidad y, por ende, con el tratamiento de los datos personales del titular de la líneas telefónicas inherente a la tramitación de la portabilidad y a la contratación de los servicios de telefonía. En las dos grabaciones aportadas, se prestaba supuestamente el consentimiento del titular de las líneas para llevar a cabo las gestiones a fin de tramitar la portabilidad de las líneas, constando que participaba el denunciante, entendiendo además que con la participación de la entidad independiente verificadora se adoptaron las cautelas exigibles para comprobar la identidad de la cliente, y asegurarse de contar con su consentimiento para el tratamiento de sus datos personales, A tal efecto, y respecto a esas dos líneas, hemos de traer a colación, la SAN 29-042010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. De acuerdo con lo expuesto, cabe concluir que la Entidad denunciada, desplegó la diligencia mínima exigible tendente a comprobar la identidad de la contratante, actuando en todo momento con la creencia que de que contrataba con el verdadero titular de los datos, como lo acredita la confirmación de los datos personales (vgr. Nombre, apellidos, DNI, etc.) en las grabaciones aportadas, siendo en todo caso, víctima de un engaño por un tercero de mala fe. A mayor abundamiento, la Audiencia Nacional—SAN 24/01/2014 -recurso nº. 540/2012, ha manifestado que: “... ningún reproche puede hacerse a la actuación de France Telecom en este ámbito sancionador al haber adoptado las cautelas precisas para asegurarse de la identidad de la persona de quien recababa los datos personales en relación con la contratación de las citadas líneas telefónicas, sin que existan elementos suficientes en el presente procedimiento para poder determinar si se trata de un supuesto en que un mismo número de DNI ha podido ser asignado erróneamente a dos personas distintas, o de un posible supuesto de fraude. En cualquiera de los casos, bien por falta de tipicidad o de culpabilidad, no puede tenerse por acreditada o imputarse a la denunciada la vulneración del principio del consentimiento ni tampoco, y en correlación, la del principio de calidad de datos>>. La imposición de una sanción en el marco del Derecho administrativo sancionador requiere la existencia del elemento subjetivo de la culpabilidad—dolo o culpa—en la actuación de la Entidad denunciada, cuestión que no se produce en el caso que nos ocupa, pues la actuación de la misma puede considerarse como diligente y marcada por el engaño/error de un tercero de mala fe en disposición de los datos personales del denunciante. «Este principio de culpabilidad rige también en materia de infracciones administrativas (...) en la medida en que la sanción de dicha infracción es una de las manifestaciones del ius puniendi del Estado» (STC 246/1991, de 19 de diciembre, o STC 76/1990, de 26 de abril). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Por todo ello no se aprecia vulneración alguna de la normativa vigente en materia de protección de Datos al haber desplegado la Entidad—la diligencia mínima exigible en estos casos, respecto a las dos líneas de las que aportó las grabaciones. Procede pues proponer el archivo del presente procedimiento. No obstante debe significarse que la acreditación por VODAFONE de la contratación de la segunda línea no se ha aportado en fase de actuaciones previas comunicándose únicamente tras la apertura de un procedimiento sancionador ante su ausencia, forma de proceder que en el supuesto de que resulte reiterada podría derivar en eventuales responsabilidades en aplicación de la normativa de protección de Datos. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO de la infracción imputada a VODAFONE ESPAÑA SAU, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA SAU y a A.A.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21/12 por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es