AI-00051-2025

1/7  Expediente N.º: EXP202416931 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 2 de diciembre de 2024, se presentó reclamación por A.A.A., en adelante la parte reclamante, ante la Agencia Española de Protección de Datos contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante ha recibido una llamada comercial realizada presuntamente desde la línea ***TELÉFONO.1 en fecha 26 de noviembre de 2024 a su línea ***TELÉFONO.2, a pesar de no haber prestado su consentimiento previo ni mantener o haber mantenido relación contractual en el último año con la entidad promocionada. SEGUNDO: La Agencia Española de Protección de Datos, acude al Jurado de la Publicidad, organismo responsable de la supervisión del Código de conducta para el “Tratamiento de datos en la actividad publicitaria”, para que de conformidad con lo previsto en el apartado 10.1 de dicho Código, se remita la documentación relevante relacionada con la entidad adherida: VODAFONE ESPAÑA, S.A.U., a los efectos de procurar su resolución con el inicio del correspondiente procedimiento de mediación. Se pone en conocimiento de la Asociación para la Autorregulación de la Comunicación Comercial los siguientes hechos: “Recepción de llamada comercial en línea ***TELÉFONO.2, a pesar de no haber prestado su consentimiento previo ni mantener o haber mantenido relación contractual en el último año con la entidad promocionada. Llamada realizada desde la línea ***TELÉFONO.1 en fecha 26/11/2024. Una vez finalizado el procedimiento de mediación, se solicita, informe a esta Agencia de su resultado y de la información que conste en el expediente, conforme a lo previsto en el apartado 10.4 de dicho Código. La información se presentará preferentemente de forma telemática, a través del registro electrónico accesible en la sede electrónica de la Agencia Española de Protección de Datos. Lo anterior sin perjuicio de lo dispuesto en los artículos 14 y 16.4 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 Indique en su respuesta el código de expediente que figura en el encabezamiento de este documento y el NIF de la entidad adherida, a efectos de poder incorporar el documento a su expediente. “ La Asociación para la Autorregulación de la Comunicación Comercial, en respuesta al requerimiento de la AEPD, el 15 de enero de 2025 ha indicado lo siguiente: “De conformidad con lo previsto en el apartado 10.4 del código de conducta les informamos de que, si bien la empresa reclamada ha ofrecido una respuesta, el interesado ha manifestado su intención de desistir de la mediación. Por ello, les informamos que desde autocontrol damos por cerrado el expediente y procedemos a su archivo.” TERCERO: Con fecha 24 de enero de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. Análisis de los hechos reclamados. La parte reclamante manifiesta que no ha solicitado o autorizado el envío de comunicaciones comerciales por medios electrónicos a VODAFONE. No obstante, recibió el día 26 de noviembre de 2024 en su línea ***TELÉFONO.2 una llamada comercial en nombre de VODAFONE, siendo la línea llamante identificada con la numeración ***TELÉFONO.1. El reclamante aporta imágenes del terminal con el registro de la llamada recibida y grabación de la misma. Adicionalmente aporta certificado de la Lista Robinson donde consta inscrita su línea de teléfono desde el 5 de agosto de 2022. 2. Valoración por la parte reclamada. Se ha realizado traslado de la reclamación al organismo de supervisión, ASOCIACIÓN PARA LA AUTORREGULACIÓN DE LA COMUNICACIÓN COMERCIAL. En la actuación de mediación iniciada, la entidad reclamada ha manifestado lo siguiente: “Según la información disponible, a día de hoy, en el Registro de Numeraciones y Operadores de Telecomunicaciones de la Comisión Nacional de los Mercados y la Competencia (en adelante, “CNMC”), la numeración llamante ***TELÉFONO.1 pertenece al siguiente operador: TELEFONICA MOVILES ESPAÑA S.A. UNIPERSONAL (CNMC - Consulta de registro). No siendo Vodafone quien ha facilitado sus datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 Asimismo, tras realizar las comprobaciones oportunas, hemos verificado que la línea telefónica ***TELÉFONO.2 del Sr. A.A.A., no consta en la lista Robinson oficial de ADigital (servicio de exclusión publicitaria disponible a los consumidores). No obstante, sí está incluida en la lista Robinson interna de Vodafone (servicio de exclusión publicitaria disponible a los clientes y potenciales clientes de Vodafone) con fecha 28 de octubre de 2022”. Con relación a la línea llamante, VODAFONE indica no disponer tampoco de información sobre ella ni tratarse de una línea autorizada por su parte para la venta telefónica: “Desde Vodafone se ha comprobado si el número llamante ***TELÉFONO.1 indicado en su escrito figura en nuestra base de datos con los números telefónicos que usan nuestros colaboradores para realizar llamadas de captación. A tal efecto, hemos verificado que no consta en nuestra base de datos de números asociados a nuestros colaboradores que realizan llamadas de captación en nombre de Vodafone”, indicando que no se puede relacionar la recepción de la llamada de la parte reclamante con su entidad. Tras estas actuaciones, la parte reclamante ha manifestado su intención de desistir la mediación y reiterado la reclamación, motivo por el cual se realizaron desde la AEPD actuaciones de investigación. 3. Origen de la llamada denunciada. En las presentes actuaciones de investigación, como primer punto, se ha tratado de esclarecer el origen e identidad de la línea llamante y la posible vinculación con VODAFONE que pudiera existir. La CNMC confirma que la línea llamante se encontraba asociada al operador TELEFÓNICA MÓVILES ESPAÑA, S.A.U. (en adelante, TME) en el momento de los hechos: “En fecha 26 de noviembre de 2024 el número ***TELÉFONO.1 se encontraba en MOVISTAR, TELEFÓNICA MÓVILES ESPAÑA, S.A.U.,”. Adicionalmente se indica que la línea no se ha portado a otro operador con posterioridad. Por otra parte, tras requerir a TME información sobre la titularidad de la línea en el momento de los hechos, manifiesta que no se encontraba asociada a ningún titular: “Informamos de que la numeración no se encuentra asociada a ningún cliente en la fecha indicada” y adicionalmente no le ha sido posible confirmar la realización efectiva de la llamada desde esa numeración, indicando que se trataría de un caso de spoofing telefónico ( suplantación de identidad a través del número de teléfono, https://www.incibe.es/ciudadania/blog/spoofing-telefonico-cuando-la-llamada-parecelegitima): “No consta ninguna llamada efectuada en la fecha y línea indicadas. En este sentido, terceras empresas pueden estar realizando prácticas fraudulentas consistentes en suplantar el número llamante. Nos referimos a empresas que no tienen ningún tipo de relación contractual con Telefónica y que intentan suplantar nuestra identidad para poder realizar algún tipo de práctica fraudulenta que escapa a nuestro control.”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 En vista de estos hechos, no ha sido posible progresar con la investigación al no disponer de evidencias sobre las que poder identificar el origen de la llamada no autorizada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 114.1.

1. b)de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones (en lo sucesivo LGTel) y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados El artículo 66.1 de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones, regula el derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados, estableciendo lo siguiente: “1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración tendrán los siguientes derechos:
2. a)a no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de comunicación comercial sin haber prestado su consentimiento previo para ello; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7
3. b)a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que la comunicación pueda ampararse en otra base de legitimación de las previstas en el artículo 6.1 del Reglamento (UE) 2016/679 de tratamiento de datos personales.” III Conclusión Entre los elementos esenciales de todo procedimiento sancionador se encuentra el responsable, esto es, aquel a quien se le atribuyen los hechos tipificados como infracción administrativa tras el desarrollo de un procedimiento sancionador. Así, entre los principios del procedimiento administrativo sancionador previstos por la Ley 40/2015, de Régimen Jurídico del Sector Público, destaca en su artículo 28.1 el principio de responsabilidad, que señala que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En línea con lo anterior, en relación con la responsabilidad, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) ha señalado que: (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Lo anterior supone, en síntesis, que el despliegue de la potestad sancionadora de la administración requiere como condición previa la identificación del sujeto al que presuntamente resulta imputable una acción u omisión tipificada como infracción en el ordenamiento jurídico. Por ello, el artículo 64.2 de la LPACAP establece como primer elemento que ha de contener todo acuerdo de inicio de un procedimiento sancionador la: “
4. a)Identificación de la persona o personas presuntamente responsables”. En línea con lo anterior, el artículo 89 de la LPACAP consagra entre los supuestos en los que el órgano instructor puede resolver la finalización del procedimiento sin necesidad de formular propuesta la ausencia de responsable identificado en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 “
5. d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad”. En definitiva, no cabe ni el inicio ni la sustentación de un procedimiento sancionador sin la adecuada identificación del presunto responsable de los hechos. Por otra parte, las actuaciones previas de investigación, reguladas en el artículo 67 de la LOPDGG, tienen por objetivo lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación de un procedimiento. En línea con lo anterior, la LPACAP, de aplicación supletoria, señala en su artículo 55 que: “2. En el caso de procedimientos de naturaleza sancionadora las actuaciones previas se orientarán a determinar, con la mayor precisión posible, los hechos susceptibles de motivar la incoación del procedimiento, la identificación de la persona o personas que pudieran resultar responsables y las circunstancias relevantes que concurran en unos y otros”. En el presente caso, consta una llamada comercial no autorizada recibida por la parte reclamante en fecha 26 de noviembre de 2024, realizada presuntamente desde la línea ***TELÉFONO.1. Se aporta captura de pantalla de la llamada recibida en el terminal y grabación de dicha llamada, donde la persona llamante indica que está realizando la comunicación de parte de VODAFONE. La parte reclamada manifiesta no tener constancia de que la línea ***TELÉFONO.1 pertenezca a ninguno de sus colaboradores, indicando que no se puede relacionar la recepción de la llamada de la parte reclamante con su entidad. Se ha tratado de averiguar el origen de la llamada para poder determinar la relación con la parte reclamada, si la hubiera. No obstante, tras requerir información al operador que tenía asociada la línea en el momento de los hechos, TELEFÓNICA MÓVILES ESPAÑA, la línea ***TELÉFONO.1 no se encontraría vinculada a ningún titular en el momento de los hechos y, por la información facilitada, se trataría de un caso de spoofing o suplantación telefónica: “No consta ninguna llamada efectuada en la fecha y línea indicadas. En este sentido, terceras empresas pueden estar realizando prácticas fraudulentas consistentes en suplantar el número llamante.”, no siendo posible averiguar el origen real de la llamada. Como se ha indicado, aunque se ha verificado la existencia de la llamada denunciada no se ha podido identificar el origen de la llamada no autorizada. La LGTel establece obligaciones para los operadores o quienes realicen las actividades a las que se refiere la citada ley y su normativa de desarrollo. Al no poder determinarse el origen de la llamada no autorizada, la Agencia Española de Protección de Datos carece de competencias para actuar al no haberse determinado quien es la operadora responsable. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 Así pues, al no haber sido posible atribuir la realización de la llamada de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
6. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es