AI-00241-2024

1/6  Expediente N.º: EXP202403992 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 23 de enero de 2024, se presentó reclamación con número de registro de entrada (…) ante la Agencia Española de Protección de Datos contra BREAVY LLC (en adelante, la parte reclamada o BREAVY). Los motivos en que basa la reclamación son los siguientes: La reclamante señala que recibió la llamada de un desconocido que indicaba haber sido llamado desde su número de teléfono. Tras hablar unos minutos llegaron a la conclusión de que, sin su consentimiento, se había suplantado su número de teléfono para ser utilizado en el contexto de una llamada de broma, que le habían realizado a su interlocutor unos minutos antes utilizando la aplicación PRANKSTER. - Junto a la notificación se aportan capturas de pantalla del sitio web ***URL.1 en las que se aprecia que se puede cambiar el número de identificación de abonado que genera la llamada por el que se desee. Con fecha 12 de marzo de 2024 personal de la AEPD obtuvo evidencias sobre información disponible en la página web ***URL.1, del enlace proporcionado por la reclamante relativo a la entrevista a los creadores de la app de bromas y sobre BREAVY. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a BREAVY, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue entregado el 26 de marzo de 2024, como consta en el localizador de envíos de Correos que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 TERCERO: Con fecha 23 de abril de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Se comprueba, con fecha de 10 de diciembre de 2024, que en el sitio web de la aplicación para móviles PRANKSTER para realizar bromas telefónicas consta que se puede especificar el número de teléfono que se desea aparezca como numero llamante. Se envió requerimiento de información a BREAVY mediante certificado internacional solicitando la dirección IP de sesión y número de teléfono real del usuario que generó la broma. No se ha recibido por una vía oficial contestación por parte de BREAVY a dicho requerimiento. Se recibió un correo electrónico informal de BREAVY en el que se informaba que, para los usuarios señalados en la reclamación, el caso se archivó por parte de la AEPD en julio de 2024. Asimismo, se señalaba que BREAVY había cesado sus operaciones en octubre de 2024. Se identificó el expediente al que hacía referencia BREAVY, que fue archivado por la AEPD. En el mismo se reclamaron los mismos hechos desde el punto de vista de la persona que recibió la llamada de broma. En contestación al traslado de la reclamación en el seno de dicho expediente, BREAVY informó que, al tratarse de una app para dispositivos móviles, los datos que se registran en sus sistemas son (…). Facilitan los datos recopilados concluyendo que el usuario que gastó la broma estaba utilizando redes privadas virtuales (VPN) para interactuar con los servidores de BREAVY. A resultas de aquella reclamación, procedieron a eliminar de la nube la grabación de la llamada de broma, a dar de baja al usuario que recibió la llamada de broma y a bloquear de forma permanente el número del usuario que gastó la broma, para que no pudiera volver a utilizar la aplicación en el futuro. La SGID ha podido comprobar, a partir de las direcciones IP aportadas por BREAVY en aquellas actuaciones, que la persona que gastó la broma, al utilizar la app prankster, realizó una conexión desde Rumanía y otras dos desde Estados Unidos. Dado que según manifiesta la entidad BREAVY la aplicación únicamente está disponible para su descarga en España, se desprende que muy probablemente el usuario hubiera utilizado un proveedor de redes privadas virtuales para interactuar con la plataforma de bromas y no poder ser identificado. Con fecha 23 de septiembre de 2025 la SGID ha comprobado que la aplicación de bromas Prankster continúa activa y la aplicación en sí, sigue estando disponible en la tienda de aplicaciones de Google. Realizado requerimiento de información al Servicio de Planificación y Relaciones Institucionales de la Agencia Estatal de Administración Tributaria (en adelante, AEAT) sobre si disponen de identificación fiscal de BREAVY, con fecha de 23 de septiembre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 de 2025 se recibe en esta Agencia escrito de contestación comunicando, que según los datos obrantes en la Base de Datos de la Agencia Estatal de Administración Tributaria, no se han podido obtener los datos requeridos con la información facilitada. Efectuada consulta en la página web de la Secretaría de Estado de (…) (Estado donde se encuentra el domicilio social de BREAVY) se ha comprobado que dicha empresa figura actualmente como (…). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." V Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " VI Conclusión Tal y como se ha señalado en los antecedentes, a pesar de haber formulado consulta a la AEAT, no ha sido posible la plena identificación de BREAVY LLC. Cabe señalar que, entre los principios del procedimiento administrativo sancionador previstos por la Ley 40/2015, de Régimen Jurídico del Sector Público, destaca en su artículo 28.1 el principio de responsabilidad, que señala que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En línea con lo anterior, en relación con la responsabilidad, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) ha señalado que: “(…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas.” Lo anterior supone, en síntesis, que el despliegue de la potestad sancionadora de la administración requiere como condición previa la identificación del sujeto al que presuntamente resulta imputable una acción u omisión tipificada como infracción en el ordenamiento jurídico. Por ello, el artículo 64.2 de la LPACAP establece como primer elemento que ha de contener todo acuerdo de inicio de un procedimiento sancionador la: “
10. a)Identificación de la persona o personas presuntamente responsables”. En línea con lo anterior, el artículo 89 de la LPACAP consagra entre los supuestos en los que el órgano instructor puede resolver la finalización del procedimiento sin necesidad de formular propuesta la ausencia de responsable identificado en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 “
11. d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad”. En definitiva, no cabe ni el inicio ni la sustentación de un procedimiento sancionador sin la adecuada identificación del presunto responsable de los hechos. Por otra parte, las actuaciones previas de investigación, reguladas en el artículo 67 de la LOPDGG, tienen por objetivo lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación de un procedimiento. En línea con lo anterior, la LPACAP, de aplicación supletoria, señala en su artículo 55 que: “2. En el caso de procedimientos de naturaleza sancionadora las actuaciones previas se orientarán a determinar, con la mayor precisión posible, los hechos susceptibles de motivar la incoación del procedimiento, la identificación de la persona o personas que pudieran resultar responsables y las circunstancias relevantes que concurran en unos y otros”. En el presente caso, la AEPD inició de oficio actuaciones previas de investigación destinadas a determinar si los tratamientos de datos personales realizados resultaban acordes con la normativa vigente. No obstante, durante el desarrollo de estas, y tras consultar con la AEAT, no ha podido realizarse la plena identificación del presunto responsable del tratamiento. En consecuencia, sin perjuicio de posibles actuaciones ulteriores en aplicación de los poderes de investigación y correctivos que ostenta esta Agencia, procede el archivo de las presentes actuaciones previas de investigación. De acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BREAVY LLC y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
12. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es