1/6 Expediente N.º: EXP202415805 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 6 de noviembre de 2024 se presentó reclamación ante la Agencia Española de Protección de Datos contra TELEFÓNICA MÓVILES ESPAÑA, S.A. con NIF A78923125 (en adelante, Telefónica). Los motivos en que basa la reclamación son los siguientes: Recepción el 5 de noviembre de 2024 de una llamada comercial al número de teléfono ***TELÉFONO.1 desde la línea ***TELÉFONO.2, en nombre de Telefónica, que es el operador telefónico de la línea de teléfono de la parte reclamante. Se afirma que l titular de la línea de teléfono de la línea receptora de la llamada comercial se encuentra inscrito en Lista Robinson desde 2017. Junto a la notificación se aporta: - Certificado de inscripción en lista Robinson desde el 06/7/2017. - Captura de pantalla de la llamada entrante a las 19:47h de 1 minuto de duración y otra cancelada a las 19:48h. - Factura acreditativa de la titularidad de la línea. - Grabación en audio de la llamada donde se identifican como Movistar. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha 19/11/2024 se dio traslado de dicha reclamación a la Asociación para la Autorregulación de la Comunicación Comercial (Asociación para la Autorregulación, en lo sucesivo), organismo responsable de la supervisión del Código de conducta para el “Tratamiento de datos en la actividad publicitaria”, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes. En su contestación de fecha 03/12/2024, la Asociación para la Autorregulación comunica que ha dado trámite a la reclamación a Telefónica Móviles España, S.A.U. (Movistar, Tuenti, O2) (en adelante, "Telefónica"), que ha alegado que Telefónica no ha emitido ninguna llamada comercial a la parte reclamante y que es XFERA MÓVILES, S.A. UNIPERSONAL (en lo sucesivo XFERA) el titular de la línea de teléfono ***TELÉFONO.2, desde la que se emitieron las llamadas tal como se acredita en los Registros de Numeración y Operadores de Telecomunicaciones publicados en internet a disposición de los usuarios, cuyo pantallazo acreditativo de la titularidad de la línea aporta Telefónica como anexo a su contestación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 Apunta Telefónica la posibilidad de que terceras empresas estén realizando prácticas fraudulentas consistentes en suplantar la identidad de Telefónica. En consonancia con la declaración de Telefónica sobre la titularidad de la línea en cuestión, la parte reclamante manifiesta ante la Asociación para la Autorregulación su voluntad de proseguir la reclamación ante la AEPD contra el titular de línea llamante (XFERA). TERCERO: Con fecha 19 de diciembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos (en lo sucesivo, la Inspección) procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: De la respuesta de la parte reclamada al traslado se comprueba la posibilidad de que se haya hecho spoofing o suplantación del número de teléfono, en este caso suplantación de un n.º no asignado por el operador telefónico: el delincuente falsifica el identificador de llamada (Caller ID), de modo que que las llamadas entrantes parezcan provenir de números oficiales de empresas reconocidas. Esto se logra utilizando herramientas tecnológicas que permiten modificar el número de origen que aparece en el dispositivo del usuario. Como resultado, los estafadores pueden hacerse pasar por entidades de confianza, como bancos, compañías eléctricas o proveedores de telecomunicaciones, generando confianza en sus víctimas. Nota: consultada https://www.incibe.es/ciudadania/blog/spoofing-telefonicocuando-lallamada-parece-legitima La Inspección confirma que efectivamente XFERA es el operador de telecomunicaciones del n.º llamante tal y como Telefónica indicó en su respuesta al traslado; en respuesta al requerimiento de la Inspección y con fecha de 28/1/2025 manifiesta XFERA que la línea N.º ***TELÉFONO.2 no ha tenido ningún titular asociado desde el fecha día de la llamada (05/11/2024), hasta la remisión de esta contestación y que tampoco consta llamada alguna emitida desde la línea N.º ***TELÉFONO.2 a la línea N.º ***TELÉFONO.1 de la parte reclamante. Por su parte, el 20/2/2025, a requerimiento de la Inspección, confirma Telefónica como operadora del teléfono de la parte reclamante, la realización de una llamada de 65” de duración el día 05/11/2024 desde la línea ***TELÉFONO.2. Por tanto, se confirma la existencia de la llamada, pero no se ha acreditado al responsable de la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 114.1.
- b)de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones (en lo sucesivo LGTel) y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Llamadas comerciales no deseadas Artículo 66.1.
- b)de la LGTel Como el hecho que origina la reclamación han tenido lugar en noviembre de 2024, ya se aplica para este caso el artículo 66.1.
- b)de la nueva LGTel de 2022, según lo previsto en su Disposición Final Sexta, apartado segundo, que pospone hasta el 29 de junio de 2023 la entrada en vigor del artículo 66.1.b): “El derecho de los usuarios finales a no recibir llamadas no deseadas con fines de comunicación comercial contemplado en el artículo 66.1.
- b)entrará en vigor en el plazo de un año a contar desde la publicación de la presente ley en el «Boletín Oficial del Estado». Hasta ese momento, los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración podrán seguir ejercitando el derecho a oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en el artículo 66.1.
- a)y a ser informados de este derecho.” Asimismo, finaliza dicho artículo estipulando lo siguiente en su apartado quinto: “5. Lo dispuesto en este artículo será sin perjuicio de la aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y su normativa de desarrollo, y, en particular, de la aplicación del concepto de consentimiento que figura en la misma.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 El artículo 66.1 de la LGTel, relativo al “Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados” incluido en su Título III, dispone lo siguiente: “1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración tendrán los siguientes derechos:
- a)a no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de comunicación comercial sin haber prestado su consentimiento previo para ello;
- b)a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que la comunicación pueda ampararse en otra base de legitimación de las previstas en el artículo 6.1 del Reglamento (UE) 2016/679 de tratamiento de datos personales. Para que esta Agencia pueda apreciar la existencia de una infracción de la LGTel, es imprescindible que la responsabilidad de la llamada ilícita pueda ser atribuible a una persona física o jurídica identificada. En este caso, la operadora de la línea n.º ***TELÉFONO.2, XFERA, niega la existencia tanto de la llamada objeto de la reclamación, como la del titular asociado a la línea llamante; mientras que Telefónica confirma, como operadora de la línea de teléfono de la reclamante, lo contrario: la recepción de la llamada desde ese número de la operadora XFERA a la línea de la parte reclamante. La aparición de nuevas herramientas tecnológicas permite el “spoofing”, la suplantación del número de teléfono de la llamada entrante en el visor del usuario por números oficiales de empresas de su confianza, como bancos, compañías eléctricas o proveedores de telecomunicaciones. Los suplantadores crean así una apariencia de confianza para las víctimas, aprovechando para obtener información adicional para ulteriores estafas u otros delitos y derivar además la responsabilidad de sus acciones a las empresas suplantadas. Nos encontraríamos, por tanto, ante un posible supuesto de suplantación del n.º llamante (“spoofing”), que impide la averiguación la identidad del responsable de la llamada reclamada, cuya existencia sí ha quedado evidenciada. En el presente caso, las actuaciones de investigación han permitido confirmar la existencia de la llamada comercial denunciada, si bien no ha podido determinarse la identidad del responsable de la misma. La Inspección constató que la línea llamante figuraba sin titular asociado y que, según la operadora XFERA, no constaba actividad alguna desde dicho número, pese a que Telefónica acreditó la recepción de la llamada. Ello, unido a la posibilidad técnica del “spoofing” o suplantación del identificador de llamada, impide vincular con certeza la llamada a una entidad concreta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 Por tanto, aunque pueden existir indicios de una comunicación ilícita en el marco de lo dispuesto en la LGTel, la ausencia de un sujeto identificado al que atribuir la responsabilidad imposibilita continuar con el procedimiento sancionador. En consecuencia, se acuerda el archivo de las actuaciones, sin perjuicio de que esta Autoridad pueda ejercer en el futuro sus potestades de investigación y corrección en caso de que se obtengan elementos adicionales que permitan determinar al responsable de la llamada. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, si bien se han encontrado evidencias que acreditan la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, no ha sido posible atribuir la responsabilidad de los hechos investigados. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por la realización de la llamada de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA MÓVILES ESPAÑA, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es