AI-00409-2024

1/6  Expediente N.º: EXP202410481 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 11 de junio de 2024 se presentó una reclamación ante la Agencia Española de Protección de Datos contra 7 PLAY HOLDINGS, S.L. con NIF B10756427 (en adelante, la parte reclamada o 7 PLAY HOLDINGS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone la recepción de una serie de llamadas, en las que se identificaban como ***COMPAÑÍA.1, indicándole que habían cambiado su política de facturación, debiendo aceptar las nuevas condiciones. Señala que los comerciales con lo que habló se identificaron como empleados de las empresas ***COMPAÑÍA.1, 7 PLAY HOLDINGS y ***COMPAÑÍA.2. Con motivo de estas llamadas, la parte reclamante remitió una copia de su DNI y número de cuenta bancaria al número de teléfono ***TELÉFONO.1 a través de la aplicación Whatsapp. Posteriormente, recibió un mensaje de texto de "***COMPAÑÍA.3" en el que se le solicitó aceptar el enlace: ***URL.1, que la reclamante pinchó y aceptó. Tras contactar con ***COMPAÑÍA.1, le informaron de que era una estafa. Junto a la reclamación se aporta: - Transcripción de la conversación de la aplicación WhatsApp entre la parte reclamante y el número de teléfono ***TELÉFONO.1 el 27/05/2024 entre las 20:40 y las 20:50h, en el que la parte reclamante, según se indica en la denuncia presentada ante la Guardia Civil, envió tres documentos. - Imágenes del anverso y reverso del DNI de la reclamante. - Certificado de cuenta bancaria de titularidad de la parte reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha 22 de julio de 2024 se dio traslado de dicha reclamación a 7 PLAY HOLDINGS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 El traslado se practicó por medios electrónicos conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), habiendo caducado el 2 de agosto de 2024 por superarse el plazo para la comparecencia en la plataforma de notificaciones; reiterándose el traslado por correo postal, se notificó el 5 de septiembre de 2024. TERCERO: Con fecha 11 de septiembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: Con fecha 10 de octubre de 2024 se recibe en esta Agencia escrito de 7 PLAY HOLDINGS dando respuesta al traslado de la reclamación, en el que se manifiesta lo siguiente: “Realizadas las comprobaciones pertinentes confirmamos que no disponemos en nuestros sistemas de información, documentación ni referencia alguna relacionada con la reclamante […] ya que no es cliente de ninguna de las sociedades de Grupo 7Play. […] En 7Play también hemos sido objeto de estas actuaciones fraudulentas […] (denunciadas

1. en)la Policía Nacional. […] En ambos casos el procedimiento que han utilizado es muy similar: un tercero (ajeno a 7Play) llama y/o envía carta a un cliente y/o potencial cliente diciendo ser de 7Play (no es cierto ya que no pertenece a nuestra Compañía), utiliza la marca comercial de 7Play para suponemos generar una mayor credibilidad y confianza (no está autorizado dicho uso por 7Play), reclama el pago de un importe elevado que dice adeudar (no es cierto) y facilita un número de cuenta bancaria para que proceda a realizar dicho pago (cuenta bancaria que tampoco es de 7Play). El cliente y/o potencial cliente abona la cantidad que le han solicitado creyendo que lo hace a 7Play cuando la realidad es que desde nuestra Compañía no le hemos reclamado nada. […] Las llamadas a las que hace referencia el reclamante han podido ser realizadas por un tercero que se ha hecho pasar por 7Play sin tener relación de ningún tipo con 7Play.” QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Debido a que, según la parte reclamada, ésta no dispone de datos de la parte reclamante ni ha realizado las llamadas reclamadas, y tras realizar consulta al registro de numeración y operadores de telecomunicaciones de la CNMC del operador del número de teléfono ***TELÉFONO.1 desde el cual la reclamante recibió los mensajes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 de la aplicación WhatsApp, se envió requerimiento de información al operador para conocer los datos de titularidad de la línea. El 09/05/2025 se recibe escrito de respuesta del operador en el que manifiesta que: "la línea ***TELÉFONO.1 en la fecha indicada no se encontraba a nombre de ningún titular en la compañía ***COMPAÑÍA.4, por lo que no existe tráfico de llamadas y SMS". Por tanto, en el momento de los hechos reclamados la línea de teléfono ***TELÉFONO.1 no se encontraba vinculada a ningún titular y por la información facilitada se trataría de un caso de spoofing o suplantación del número de teléfono, para que las llamadas entrantes parezcan provenir de números oficiales de empresas reconocidas, lo que no permite la averiguación del origen de las llamadas. Por tanto, se confirma la existencia de la llamada, pero no se ha acreditado al responsable de la misma. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 114.1.
2. b)de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones (en lo sucesivo, LGTel) y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Llamadas comerciales no deseadas: artículo 66.1.
3. b)de la LGTel El artículo 66.1.
4. b)de la LGTel, relativo al “Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 tráfico y de localización y con las guías de abonados” incluido en su Título III, dispone lo siguiente: “1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración tendrán los siguientes derechos:
5. a)a no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de comunicación comercial sin haber prestado su consentimiento previo para ello;
6. b)a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que la comunicación pueda ampararse en otra base de legitimación de las previstas en el artículo 6.1 del Reglamento (UE) 2016/679 de tratamiento de datos personales. Para que esta Agencia pueda apreciar la existencia de una infracción de la LGTel es imprescindible que la responsabilidad de la llamada ilícita pueda ser atribuible a una persona física o jurídica identificada. En el presente caso, los hechos objeto de reclamación se basan en una presunta serie de llamadas recibidas por la parte reclamante, en las cuales los comerciales se identificaban como empleados de 7 PLAY HOLDINGS. A la vista de las actuaciones realizadas, se ha podido constatar que la línea de teléfono ***TELÉFONO.1, número desde el cual la parte reclamante habría recibido mensajes de WhatsApp, y al cual habría remitido copia de su DNI y número de cuenta bancaria, no se encontraba asignada en el momento de los hechos, motivo por el cual se trataría de un caso de “spoofing” o suplantación telefónica que no permite la averiguación del origen de las llamadas. La aparición de nuevas herramientas tecnológicas permite el “spoofing”, la suplantación del número de teléfono de la llamada entrante en el visor del usuario por números oficiales de empresas de su confianza. Los suplantadores crean así una apariencia de confianza para las víctimas, aprovechando para obtener información adicional para ulteriores estafas u otros delitos y derivar además la responsabilidad de sus acciones a las empresas suplantadas. En consecuencia, la investigación no ha podido confirmar el origen de las llamadas ni vincularlas de forma directa con un uso no autorizado de datos personales por parte de 7 PLAY HOLDINGS. Por tanto, aunque pueden existir indicios de una comunicación ilícita en el marco de lo dispuesto en la LGT el, la ausencia de un sujeto identificado al que atribuir la responsabilidad imposibilita continuar con el procedimiento sancionador. En consecuencia, se acuerda el archivo de las actuaciones, sin perjuicio de que esta Autoridad pueda ejercer en el futuro sus potestades de investigación y corrección en caso de que se obtengan elementos adicionales que permitan determinar al responsable de la llamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 En definitiva, el principio de presunción de inocencia impide imputar a 7 PLAY HOLDINGS una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. En este caso, como se ha expuesto, no existen esos indicios racionales que permitirían imputar a 7 PLAY HOLDINGS la comisión de las infracciones de la normativa de protección de datos personales denunciadas, por lo que no cabe estimar enervado el derecho a la presunción de inocencia que le ampara. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, si bien se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, no ha sido posible atribuir la responsabilidad de los hechos investigados. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por la realización de la llamada de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a 7 PLAY HOLDINGS, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
7. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 1245-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es