1/5 Expedientes Nº E/09732/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS Las reclamaciones interpuestas en los expedientes de admisión a trámite acumulados en este expediente con Nº: E/00245/2020, E/00262/2020, E/00916/2020, E/00920/2S020, E/00921/2020, E/00925/2020, E/00934/2020, E/00936/2020, E/00941/2020, E/11290/2019 y E/11663/2019 (en lo sucesivo, las partes reclamantes) se dirigían contra VODAFONE ESPAÑA, S.A.U. (en adelante, VODAFONE). Los motivos en que basaban su reclamación eran la recepción de llamadas comerciales en nombre de VODAFONE. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el artículo 84.3) de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo, LGT), la competencia para resolver el presente Procedimiento corresponde a la Directora de la Agencia Española de Protección de Datos. De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La LGT se ocupa en el Título III, Capítulo V, de los “Derechos de los usuarios finales” y les otorga, entre otros, el derecho a oponerse a las llamadas no deseadas con fines comerciales. Así, el artículo 48 de la LGT, bajo la rúbrica “Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas”, dispone, en su apartado 1, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 “1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones electrónicas tendrán los siguientes derechos:
- a)A no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de comunicación comercial sin haber prestado su consentimiento previo e informado para ello.
- b)A oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a ser informado de este derecho.” III En relación con las llamadas telefónicas, se regula el ejercicio del derecho de oposición en el artículo 21 del RGPD, donde se establece que: “1. El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras
- e)o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones. 2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. 3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. 4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas. 6. Cuando los datos personales se traten con fines de investigación científica o histórica o fines estadísticos de conformidad con el artículo 89, apartado 1, el interesado tendrá derecho, por motivos relacionados con su situación particular, a oponerse al tratamiento de datos personales que le conciernan, salvo que sea necesario para el cumplimiento de una misión realizada por razones de interés público.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 IV En relación con las reclamaciones presentadas y admitidas a trámite por esta Agencia, les informamos de la incoación del expediente nº PS/00059/2020 contra VODAFONE ESPAÑA, S.A.U. Asimismo, les comunicamos que con fecha 11 de febrero de 2021 se ha dictado la resolución del procedimiento, que ha sido publicada en la página web de la Agencia http://www.aepd.es. En la citada resolución se hace constar que: “…Los hechos expuestos, suponen la comisión por parte de VDF, de una infracción del artículo 48.1.
- b)de la Ley LGT, recogido en su Título III, que señala del derecho: (…)
- b)A oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a ser informado de este derecho”. Si bien, el citado artículo no configura de forma explícita tal derecho, se debe acudir a las normas de protección de datos ya indicadas en los Fundamentos anteriores en las que se regula el derecho de oposición: artículo 21 del RGPD, y artículo 23 de la LOPDGDD. Esta Infracción se encuentra tipificada como “grave”, en el artículo 77.37) de dicha norma, que considera como tal: “37. La vulneración grave de los derechos de los consumidores y usuarios finales, según lo establecido en el título III de la Ley y su normativa de desarrollo”. VODAFONE ha sido sancionada con multa de 2.000.000 €, de acuerdo con el artículo 79.1.
- c)de la citada LGT. “…los colaboradores de VDF no contrastaban con la Lista Robinson, la lista Robinson interna de VDF ni con la lista Robinson interna de los colaboradores; y que VDF tampoco controlaba el proceso de contraste, o sea, desconocía si sus colaboradores estaban cumpliendo con sus instrucciones y con la normativa de protección de datos…” “…VDF tiene la obligación de controlar el tratamiento de sus colaboradores como si lo hiciera él mismo, implantando todo tipo de sistemas y medidas de seguridad y monitoreo que verifiquen el cumplimiento de sus instrucciones y el cumplimiento de la normativa de protección de datos…” “La obligación prevista en el artículo 28.1 del RGPD -de seleccionar un encargado del tratamiento que ofrezca garantías suficientes para garantizar la aplicación del Reglamento y los derechos y libertades del interesado- no se agota en la actuación previa de selección y contratación de encargado de tratamiento. Esto obliga al responsable del tratamiento a evaluar en todo momento durante la ejecución del contrato si las garantías (técnicas u organizativas) ofrecidas por el encargado del tratamiento son suficientes. …” “En consecuencia, conforme lo citado, VDF ha infringido de forma grave -reiterada y sistemática- las obligaciones impuestas en calidad de responsable de los tratamientos llevados a cabo en su nombre de lo dispuesto en el 28 del RGPD, en relación con las responsabilidades que exige a todo responsable del tratamiento el art 24 del RGPD, en especial a lo concerniente a los principios y responsabilidad proactiva declarados en los artículos 5.1.
- f)y 5.2) del RGPD”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 VODAFONE ha sido sancionada con multa de 4.000.000 €, de acuerdo con el artículo 83.4.
- a)del RGPD. También ha sido sancionada VODAFONE por infracción del artículo 44 del RGPD tipificada conforme el artículo 83.5.
- c)del RGPD, con sanción administrativa de cuantía dos millones de euros (2.000.000 €). Y por infracción del artículo 21 de la LSSICE, tipificada como grave en el artículo 38.3.
- d)y
- c)de dicha norma, con sanción de cuantía ciento cincuenta mil euros (150.000 €). A VODAFONE, además, se le han impuesto medidas, para que, en el plazo de seis meses a contar desde la notificación de la Resolución, acredite ante esta AEPD que ha ajustado a lo dispuesto en el RGPD y LOPDGDD todas las operaciones de tratamiento analizados en el presente procedimiento referidos los artículos 17, 21, 24, 28 y 44 a 49 del RGPD y 12, 15, 18, 23, 40 a 43 de la LOPDGDD. De esta forma, se da cumplimiento a lo establecido en el art. 77.2 del Reglamento (UE) 016/679 (Reglamento General de Protección de Datos), que establece que la autoridad de control ante la que se haya presentado la reclamación informará al reclamante sobre el curso y el resultado de la reclamación. Finalmente, el artículo 31 de la Ley 40/2015, de Régimen Jurídico del Sector Público, sobre la concurrencia de sanciones, establece: “1. No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y fundamento.” En este caso, examinados los expedientes administrativos, se observa identidad de hechos, sujeto y fundamento jurídico. Por tanto, conforme a lo señalado, la Directora de la Agencia Española de Protección de Datos, ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente Resolución a las partes reclamantes y a VODAFONE ESPAÑA, S.A.U. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 897-150719 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es