1/12 Expediente N.º: EXP202407341 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 25 de abril de 2024, se presentó reclamación con número de registro de entrada REGAGE24e00030506100 y REGAGE24e00030509044 ante la Agencia Española de Protección de Datos contra FIORUCCI INVESTMENT, S.L. con NIF B09633405 (en adelante, la parte reclamada 1) y Z99M DIGITAL CONSULTING, S.L. con NIF B06916977 (en adelante, la parte reclamada 2). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, a raíz de recibir llamadas comerciales provenientes de la parte reclamada 1 y tras confirmarle que sus datos personales habían sido cedidos por la parte reclamada 2, solicitó en fecha 01/04/2024 el acceso a sus datos personales. La parte reclamada 2, contestó al reclamante el 22/04/2024, informándole que el propio reclamante había facilitado el uso de sus datos personales con fines comerciales al inscribirse en el sitio web ***WEB.1 el 14/08/23 a las 20:09 horas desde una dirección IP pública nacional. El reclamante defiende que el origen de sus datos es completamente falso ya que ese mismo día se encontraba en el extranjero. Documentación relevante aportada por la parte reclamante: - Audios con la grabación de las llamadas de fechas: 22/03/2024 (sin contenido), 25/03/2024 (sin contenido), 27/03/2024, 01/04/2024, 02/04/2024 (sin contenido), 03/04/2024 (sin contenido), 05/04/2024, 17/04/2024 (sin contenido). - Captura de pantalla del registro de llamadas en la que aparece el número entrante ***TELÉFONO.1 el 01/04 a las 12:26. - Datos de conexión al dominio ***DOMINIO.1 desde la IP (...), los días 12, 13 y 15 de agosto de 2023. - Contratos de los servicios de luz y gas con ***EMPRESA.1 de fecha 14/07/2023, en la dirección de CL. ***DIRECCIÓN.1 a nombre del reclamante y en los que no se autoriza el uso de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/12 - Facturas del 11/08/2023 y 12/09/2023 de ***EMPRESA.2 a nombre del reclamante para la línea ***TELÉFONO.2, con la dirección de facturación CL. ***DIRECCIÓN.2. - Factura del 1/10/2023 de ***EMPRESA.4 a nombre del reclamante para la línea ***TELÉFONO.3, con dirección de facturación CL. ***TELÉFONO.3. - DNI del reclamante, con dirección CL. ***DIRECCIÓN.2. - Correo del 01/04/2024 del reclamante a ***EMAIL.1 y ***EMAIL.2, solicitando el ejercicio de derecho de acceso. - Correo del 22/04/2024 de ***EMAIL.1 al reclamante en contestación al ejercicio de derechos solicitado. Informado que los datos que dispone del reclamante son: “[…] Nombre: A.A.A. Dirección: Calle ***DIRECCIÓN.1 CP: (…) Localidad: (…) Provincia: (…) Teléfono: ***TELÉFONO.3 Dirección IP: (…) Fecha inscripción: 14/08/2023 20:09:49 Sitio web: ***WEB.1 Regalo: Home Cinema 5.1 inalámbrico Auna Areal 653 […] el propio interesado nos ha facilitado la autorización al uso de sus datos personales con fines comerciales y publicitarios, así como comunicarlos a terceros, al inscribirse en la página web […] y marcar voluntariamente las casillas correspondientes […] […] hemos comprobado que sus datos no se han comunicado a ninguna entidad. En su correo nos informa que ha recibido una llamada comercial desde una empresa que se hace llamar ***EMPRESA.3, con CIF (…) y que le ha proporcionado la información de que los datos con los que me han llamado han partido de su empresa (…). En este sentido, le informamos que en ningún momento hemos comunicado sus datos a esta empresa. […]” - Correo del 23/04/2024 del reclamante a ***EMAIL.1 expresando su disconformidad a la contestación recibida por el reclamado. - Captura de pantalla con un mensaje recibido de ***EMPRESA.4 el 14/08/2023 a las 19:12 con información de roaming. - Copia del justificante de pago de la reserva de pago en el aeropuerto de (…) entre los días 14 y 18 de agosto de 2023. - Copia de la tarjeta de embarque del vuelo con destino a (…) el 14/08/2023, con salida desde (…) a las 15h. y llegada a las 17:25h. a nombre del reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/12 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada 1 y 2, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 21 de mayo de 2024 por la parte reclamada 1 y 2 como consta en el acuse de recibo que obra en el expediente. Con fecha 10 de junio de 2024 se recibe en esta Agencia escrito de respuesta de la parte reclamada 2 y el 20 de junio de 2024 de la parte reclamada 1 cuyas respuestas se indican en el Antecedente de Hecho Cuarto. TERCERO: Con fecha 25 de julio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. Respuesta de la parte reclamada 1 al escrito de traslado y solicitud de información: La parte reclamada 1 expresa que “ha revisado las líneas de teléfono contratadas […] y estas no coinciden con el teléfono indicado por el reclamante ***TELÉFONO.1”. Para acreditarlo presenta el contrato de prestación de servicio comercial de telefonía IP con ***EMPRESA.5, de los números ***TELÉFONO.4 y ***TELÉFONO.5. Fechado el 30/05/2023 en la Ciudad de Bogotá (Colombia). La firma del contratista es una firma digitalizada no comprobable. La firma del contratante o parte reclamada 1 no aparece. Así mismo, manifiesta que han “hecho la búsqueda y filtrado el teléfono proporcionado por el reclamante y no consta en nuestra BBDD ningún dato que pueda identificarlo”, adjuntando captura de pantalla del sistema. En la captura se observa una interfaz del registro de llamadas de la aplicación (…) software para la gestión de Contact Center. En el que no aparece ningún resultado de la búsqueda por el teléfono del reclamante en el periodo de la reclamación. 2. Respuesta de la parte reclamada 2 al escrito de traslado y solicitud de información. La parte reclamada 2 manifiesta que el proceso de alta en el sorteo se realiza a través de la web ***WEB.1 de forma gratuita y voluntaria. Siendo los únicos requisitos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/12 "[…] ser mayor de 18 años y no haberse inscrito previamente en el mismo sorteo." "Una vez introducido(
- s)los datos, validado el formato de los mismos y el requisito de la edad para participar en el sorteo (18 años), el usuario debe aceptar obligatoriamente el primer botón y de forma opcional los otros 2 botones. […] para evitar que un “robot” pueda dar de alta datos de forma automática, tiene un CAPTCHA que es obligatorio completar. […] el sistema registra los datos personales y dependiendo de las casillas de consentimiento que ha marcado, almacena los datos o bien solamente en la actividad de tratamiento “Sorteos” (si solamente ha marcado la primera casilla) o también en la actividad de tratamiento “Gestión Comercial” (si ha marcado voluntariamente las casillas para que sus datos puedan ser tratados para actividades comerciales) […] Asimismo, se almacena la dirección IP del dispositivo en el que el usuario ha realizado el registro. Una vez registrado, el sistema envía un correo electrónico a la dirección de correo electrónico que el usuario ha introducido al darse de alta. […] De esta forma si el usuario recibe el correo y no ha sido él el que se ha registrado, puede solicitar la baja de forma automática.". En el escrito se adjuntan pantallazos en los que se aprecia que junto a la primera casilla obligatoria aparece el texto “Acepto que mis datos sean tratados por (el reclamado 2) con la finalidad de participar en el sorteo (puede ejercer sus derechos enviando un correo a ***EMAIL.2). Información ampliada en la Política de Privacidad (enlace)”. Respecto al análisis de riesgo, el responsable manifiesta lo siguiente: "(el reclamado 2) tiene implantado un Sistema de Gestión de la Seguridad de la Información (SGSI) basado en la norma ISO/IEC 27001 integrado con el RGPD de forma que se realizan análisis de riesgos de forma periódica de las actividades de tratamiento en las dimensiones de seguridad de Confidencialidad, Integridad, Disponibilidad y de Privacidad. Asimismo, tiene nombrado Delegado de Protección de Datos […]. […] para calcular el riesgo (de que se produzca una suplantación de identidad) tenemos en cuenta el número total de solicitudes de derechos que se han recibido y las reclamaciones por altas no reconocidas. En este sentido, hasta la fecha tenemos 4381 solicitudes de derechos y 6 reclamaciones por altas no reconocidas, lo que hace que el porcentaje de reclamaciones es de un 0,14% desde el inicio del tratamiento a finales del año 2021. Por tanto, teniendo en cuenta la probabilidad (baja) y el impacto (bajo para el tratamiento ‘Sorteos’ y medio para el tratamiento ‘Gestión comercial’), el riesgo es bajo." En referencia a la reclamación, la parte reclamada explica que la parte reclamante ejerció el derecho de acceso a sus datos el 01/04/2024 "en el que nos informa (la parte reclamante) que (la parte reclamada 1) le ha realizado una llamada comercial y le ha informado que el origen de los datos es (la parte reclamada 2)." El día 22/04/2024 la parte reclamada 2 "informa (al reclamante) que los datos no han sido comunicados (a la parte reclamante 1) ni a ninguna otra empresa. Asimismo, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/12 le informa que el origen de los datos que dispone es la inscripción en el Sorteo ‘Home Cinema 5.1 inalámbrico Auna Areal 653’ a través del sitio web***WEB.1 el día 14/08/2023 a las 20:09:49 y desde la IP pública (…)" Aportando el documento de contestación al reclamante. Dice la parte reclamada 2 que el día 23/04/2024 recibe un correo del reclamante en el que les señala que no reconoce la inscripción en el sorteo. Por lo que, el 24/04/2024 la parte reclamada 2 siguiendo su procedimiento abre una reclamación e informa al reclamante de que van a analizar lo ocurrido aportando el número de reclamación. El 29/04/2024 la parte reclamada 2 informa al reclamante de que "no podemos garantizar la autenticidad del registro" y "que sus datos han sido debidamente bloqueados". Adjuntando documento enviado al reclamante. Se comprueba que la descripción de los hechos ocurridos por parte de la parte reclamada 2 coincide con los documentos aportados en la reclamación. Por otra parte, señala la parte reclamada 2 que no es la primera vez que un centro de llamadas informa de forma errónea del origen de sus datos. Finaliza la parte reclamada 2 argumentando que: "[…] al ser una empresa privada, no está obligada a cumplir con la dimensión de seguridad de “Autenticidad” ya que no es de obligado cumplimiento para las empresas privadas que no presten servicios para la administración pública el cumplimiento del Esquema Nacional de Seguridad (ENS) que obliga a implementar medidas para garantizar la Autenticidad del usuario. Por tanto, en nuestro sistema de tratamiento no podemos garantizar la autenticidad del usuario que registra los datos, tal y como le informamos en la reclamación. Obviamente, el Reclamante tampoco puede demostrar de forma fehaciente que, teniendo en cuenta el estado de la tecnología, en la que cualquier persona puede establecer una VPN (Red Privada Virtual) y acceder a cualquier servicio web desde un IP distinta a la del dispositivo del usuario incluso puede utilizar para el acceso IP de países distintos al que se encuentra, que no haya sido el registrante el que se haya inscrito en el servicio web. En este sentido, aportar como pruebas billetes de avión o que dispone de IP pública y estática, teniendo en cuenta el estado actual de la tecnología y la facilitad con la que cualquier usuario puede instalar una VPN en su dispositivo, no es una prueba que pueda ser no refutable de que no ha sido el propio interesado el que se haya registrado. […] […] De hecho, se han analizado distintas opciones para intentar minimizar el riesgo de tratamiento de posibles datos incorrectos, pero analizados los planes de tratamiento del riesgo propuestos, ninguno nos garantiza al 100% la autenticidad del usuario. En este caso concreto y una vez analizados los datos del Reclamante, hemos comprobado que en el caso que el usuario no introduzca el correo electrónico, el sistema no puede enviar el comprobante de alta en el sorteo. Por lo que se ha abierto la Acción Correctiva […] para que el campo “E-mail” sea obligatorio y siempre se envíe un correo electrónico con la confirmación de participación en el sorteo.”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/12 3. Grabaciones de las llamadas comerciales aportadas por el reclamante La parte reclamante adjunta a la reclamación un documento con varios archivos de audio incrustados con las grabaciones de las llamadas recibidas. Las fechas de las llamadas son las indicadas por el reclamante. Sólo puede comprobarse la de fecha 01/04/2024 con la captura de pantalla del listado de llamadas del teléfono móvil que se aportó en la reclamación. Resumen de las grabaciones: 1. Las de fecha 22/03/204, 25/03/2025, 02/04/2024, 03/04/2024 y 17/04/2024 no incluyen contenido que sea relevante para las actuaciones. 2. Grabación del 27/03/2024: - llaman de una asesoría energética para darle una bonificación en el suministro de la CL ***DIRECCIÓN.1, - el reclamante pregunta de qué empresa le están llamando. Le contestan que de parte de la reclamada 1, - el reclamante pregunta cómo han obtenido los datos y cómo puede acceder a sus derechos, le contestan que cuando firma el contrato le señalan una página web de cómo acceder. 3. Grabación del 01/04/2024: - vuelven a llamar para ofertarle un descuento en el suministro de la CL. ***DIRECCIÓN.1, - el reclamante pide que le digan qué tiene que hacer para que no le vuelvan a llamar, - le facilitan la dirección postal y el correo electrónico de la parte reclamada 2, - el reclamante pregunta de qué empresa le llaman y cómo han obtenido sus datos, - el operador le contesta que pertenecen a la parte reclamada 1 y que los datos los obtienen de los ficheros de la parte reclamada 2. 4. Grabación del 05/04/2024: - vuelven a llamar por el mismo motivo, - el reclamante pregunta de qué entidad llaman y le contestan que trabajan con (…), - el reclamante pide cómo acceder a sus datos para que no vuelvan a llamarle y finaliza el audio sin escuchar la respuesta. 4. Número de teléfono origen de las llamadas comerciales Para comprobar la titularidad de la línea ***TELÉFONO.1, origen de las llamadas comerciales, se consulta en el registro de numeración y operadores de telecomunicaciones de la Comisión Nacional de los Mercados y la Competencia el operador del número y se envía requerimiento de información. El 20/11/2024, se recibe respuesta del operador en el que informa que la línea ***TELÉFONO.1 estuvo de alta entre el 13/01/2023 y el 28/10/2024 a nombre del siguiente titular: ***EMPRESA.6 4. Respuesta de ***EMPRESA.6 al requerimiento de información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/12 El 22/08/2025 se recibe en esta Agencia, respuesta de ***EMPRESA.6 manifestando que: “[…] No hay relación mercantil entre (con la parte reclamada 1)”. “[…] Tras analizar los registros de comunicaciones y aplicar los filtros por fechas indicadas, no constan llamadas realizadas desde la línea ***TELÉFONO.1 al ***TELÉFONO.3 entre el 22 y el 27 de marzo de 2024. Se adjuntan capturas del filtro aplicado y de los listados exportados que así lo evidencian”. Sobre la relación con la parte reclamada 2 y el origen de los datos del reclamante, ***EMPRESA.6 informa de que: “[…] Actualmente ni en ese ejercicio, salvo error, no consta tener relación mercantil con (la parte reclamada2)”. “[…] Que el consentimiento u obtención de los datos personales (del reclamante), fue obtenido por la entidad subcontratada ***EMPRESA.7” Presentando documento de obtención ***EMPRESA.7 en el que certifica: de datos personales emitido por “1. Que ***EMPRESA.7 es titular y responsable del tratamiento de los datos personales denominado ACEPTACIÓN DE DATOS 2023 que incluye teléfono, y/o correo electrónico e IP […]. 2. Que los datos personales que figuran en el registro de actividades del tratamiento denominado y que han sido obtenidos por medio de la participación e inscripción Voluntaria de los usuarios titulares de los datos a través del enlace ***WEB.1 los datos son los siguientes: 3. a. Teléfono: ***TELÉFONO.3 b. Fecha Alta: 19/10/2023 c. Hora: 16:32H d. IP: (…) e. (…) 4. En el formulario de participación que se ha recibido, aparece que el usuario otorgó ***EMPRESA.7, su consentimiento inequívoco, libre y expreso, para el tratamiento de sus datos personales para fines comerciales, por medio de la aceptación de la política de privacidad y bases legales en ese momento, accesibles en ***WEB.1 de forma transparente […]” Respecto a ***EMPRESA.7, también se comprueba que la empresa se creó en 2020 y que su última actividad con el registro mercantil fue en noviembre de 2024 con el cierre provisional de la hoja registral por revocación del NIF. No habiendo presentado nunca las cuentas anuales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/12 Con fecha 21/10/2025 se envían requerimientos de información a la parte reclamada 2 y ***EMPRESA.7 para conocer la relación que existe entre ambas entidades. 5. Respuesta de la parte reclamada 2 al requerimiento de información sobre su relación con ***EMPRESA.7 El 28/10/2025, se recibe escrito de contestación de la parte reclamada 2, en el que manifiesta que: “[…] no haber mantenido en ningún momento relación comercial, contractual, técnica o de cualquier otro tipo con la mercantil ‘***EMPRESA.7’, ni haber realizado comunicación, cesión o acceso a datos personales a favor de dicha empresa.” […] dicho registro nunca se había cedido o comunicado a ***EMPRESA.3 ni a ninguna otra empresa, en ningún momento. “[…] el registro correspondiente al reclamante causó baja definitiva en sus sistemas el 15 de abril de 2024, sin que desde entonces se haya realizado tratamiento activo alguno sobre esos datos personales. […] el reclamante fue dado de baja definitivamente el día 15 de abril de 2024, procediéndose en esa misma fecha a la cancelación y bloqueo de sus datos personales […] Desde dicha fecha, no se ha realizado tratamiento alguno sobre su información personal, ni se han efectuado comunicaciones, envíos comerciales o accesos ulteriores a su expediente […]”. Para acreditar este último punto, la parte reclamada 2, aporta pantallazo de una búsqueda realizada, en la tabla de bajas de suscriptores de su base de datos, con el resultado de que el número de teléfono del reclamante fue dado de baja el 15/04/2024. 6. Respuesta del ***EMPRESA.7 al requerimiento de información: ***EMPRESA.7 no ha accedido al requerimiento de información puesto a disposición en la plataforma electrónica. 7. Origen de los datos y consentimiento para el tratamiento de datos del reclamante Se ha comprobado que el titular del número de teléfono origen de las llamadas comerciales al reclamante pertenece ***EMPRESA.6 Según éste, el origen de los datos de los que dispone del reclamante es del ***EMPRESA.7. ***EMPRESA.6 aporta un documento de ***EMPRESA.7, que certifica que tiene los datos de teléfono móvil del reclamante y la fecha y hora y la IP en el que se apuntó en un sorteo de la página ***WEB.1 dando el consentimiento para el tratamiento de datos para fines comerciales. Aunque este sitio web no pertenece a ***EMPRESA.7 sino a la parte reclamada 2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/12 La parte reclamada 2 también tiene datos del reclamante porque se inscribió en el sorteo de ***WEB.1, pero, según él, nunca han sido cedidos a ninguna entidad y además, nunca ha tenido ninguna relación comercial con ***EMPRESA.7. Debido a la diferencia entre los datos aportados y a la afirmación de la parte reclamada 2 de que nunca ha cedido los datos del reclamante y que además no ha tenido ninguna relación comercial con el ***EMPRESA.7, no se puede conocer cuál ha sido el origen de los datos del reclamante. Por otra parte, la parte reclamada 2 dispone de varios dominios, entre ellos ***WEB.1, con el fin de recabar datos mediante la participación en sorteos. Según la parte reclamada 2 los datos los obtiene porque los usuarios rellenan un formulario web para la participación en un sorteo en el que existen tres opciones de aceptación del consentimiento para el tratamiento de datos: - con la finalidad de participar en el sorteo - para recibir comunicaciones comerciales - para la cesión de datos a patrocinadores y terceras empresas La primera casilla es obligatoria para poder inscribirse en el sorteo, el resto son opcionales. La parte reclamada 2 para demostrar la inscripción en el sorteo del reclamante y por tanto la aceptación del tratamiento de sus datos aporta la fecha, la hora y la IP pública que utilizó el dispositivo desde el que se realizó dicha inscripción. Aunque durante las actuaciones de investigación no ha sido posible comprobar ninguna de las dos direcciones IP proporcionadas por la parte reclamada 2 y ***EMPRESA.6, desde las que se realizaron la inscripción en el sorteo, debido a que dada la antigüedad de utilización excede la obligatoriedad de conservación de este dato según lo establecido en el artículo 5.1 de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. Pero el reclamante para demostrar que no pudo realizar la inscripción en el sorteo en la fecha y desde la IP pública nacional que señala la parte reclamada 2, aporta copia de la tarjeta de embarque por la que se encontraba fuera del país. Se comprueba que efectivamente la IP pública pertenece a un rango asignado a un operador para uso en España. La parte reclamada 2 a lo manifestado por el reclamante alega que éste podría haber utilizado en su dispositivo una aplicación que le proporcionara conexión a Internet con una VPN conectada a un servidor español por lo que podría estar fuera del país y seguir utilizando una IP pública española. Siendo correcto la anterior afirmación, la parte reclamada 2 confirma que el dato de la IP no identifica el lugar en el que se encuentra el dispositivo y por tanto la persona que ha realizado la acción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/12 Así mismo la parte reclamada 2 manifiesta en su escrito de respuesta que no puede garantizar la autenticidad del usuario por lo que, no conoce si la persona que proporciona los datos y los envía es quien dice ser. Por lo tanto, la parte reclamada 2 no puede afirmar que fue el reclamante el que introdujo los datos del formulario y el que marcó las casillas dando el consentimiento para el tratamiento de sus datos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 114.1.
- b)de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones (en lo sucesivo LGTel) y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados El artículo 66.1 de la LGTel, relativo al “Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados” incluido en su Título III, que dispone lo siguiente: “1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración tendrán los siguientes derechos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/12
- a)a no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de comunicación comercial sin haber prestado su consentimiento previo para ello;
- b)a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que la comunicación pueda ampararse en otra base de legitimación de las previstas en el artículo 6.1 del Reglamento (UE) 2016/679 de tratamiento de datos personales. Asimismo, finaliza dicho artículo estipulando lo siguiente en su apartado quinto: “5. Lo dispuesto en este artículo será sin perjuicio de la aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y su normativa de desarrollo, y, en particular, de la aplicación del concepto de consentimiento que figura en la misma.” II Conclusión En el presente caso, el reclamante manifiesta que en diversas fechas recibió llamadas comerciales no consentidas en una línea de teléfono móvil de su titularidad. La recepción de llamadas comerciales no deseadas, automáticas o no, requiere el consentimiento previo del interesado, y recae sobre el responsable la carga de la prueba del otorgamiento del consentimiento necesario. Para que esta Agencia pueda apreciar la existencia de una infracción del Reglamento General de Protección de Datos (RGPD), es imprescindible que concurran dos elementos esenciales: por un lado, que se haya producido un tratamiento de datos personales; y, por otro, que dicho tratamiento resulte ilícito por carecer de base jurídica, infringir principios del RGPD o vulnerar derechos del interesado, entre otras obligaciones del responsable del tratamiento. Además, la responsabilidad debe ser atribuible a una persona física o jurídica identificada que actúe como responsable o encargado del tratamientoPor lo tanto, y al no haberse podido identificar al responsable de las llamadas objeto de reclamación, procede el archivo las actuaciones de investigación.. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por la realización de las llamadas de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a FIORUCCI INVESTMENT, S.L, y Z99M DIGITAL CONSULTING, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es