← España

PS-00019-2021

1/14  Procedimiento Nº PS/00019/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 24 de enero de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ONO, S.A.U. con NIF A62186556 (en adelante, la reclamada). Los motivos en que basa la reclamación son los siguientes: El reclamante presenta reclamación por la recepción de llamadas comerciales de VODAFONE en la línea receptora (***TELEFONO.1), inscrita en la Lista Robinson. Aporta un listado de 4 llamadas recibidas: en fecha 16/01/2020 a 13:44 horas desde la línea ***TELEFONO.3; en fecha 16/01/2020 a las 13:35 horas desde la línea ***TELEFONO.4, en fecha 22/01/2020 a las 13:29 horas desde la línea ***TELEFONO.2 y en fecha 22/01/2020 a las 13:45 horas. Ha intentado manifestar su oposición, pero las llamadas no cesan. Fecha en la que tuvieron lugar los hechos reclamados: 16/01/2020 y 22/01/

  1. Documentación relevante aportada por el reclamante: - Copia del anverso de su DNI. - Copia del certificado de su registro en Lista Robinson emitido el 22/01/2020, en que consta su línea telefónica ***TELEFONO.1 inscrita contra llamadas telefónicas comerciales desde el 29/10/
  2. - Copia de pantalla del registro de llamadas de su teléfono móvil en que aparecen las llamadas telefónicas comerciales objeto de su reclamación. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante / de los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 ANTECEDENTES Fecha de entrada de la reclamación: 24 de enero de 2020 Reclamante: A.A.A. (el reclamante) Reclamado: VODAFONE ONO, S.A.U. (la reclamada). Con fecha 27/04/2020 y número de registro de entrada 015255/2020, asociado al procedimiento E/02262/2020, la Agencia Española de Protección de Datos confirmó que la reclamada reconoció que las siguientes líneas telefónicas están asociadas a los siguientes colaboradores suyos para la realización de llamadas publicitarias de captación de clientes:  ***TELEFONO.2: ATENTO SPAIN HOLDCO.  ***TELEFONO.3: ATENTO SPAIN HOLDCO. La reclamada en ese mismo documento manifestó que el reclamante le constaba inscrito en la Lista Robinson correspondiente. Además, la reclamada informa haber incluido en la lista Robinson interna de su entidad a la línea telefónica ***TELEFONO.1 del reclamante, a raíz del traslado de la reclamación, pasando a constar como inscrita en ella desde el 01/04/
  3. La reclamada aportó el contrato suscrito con ATENTO TELESERVICIOS ESPAÑA, S.A. como colaborador de televenta y el acuerdo de encargado del tratamiento de datos suscrito entre ambas partes. La reclamada expuso no haber contactado con el reclamante para notificarle las gestiones realizadas por no disponer de sus datos de contacto. ENTIDADES INVESTIGADAS ATENTO SPAIN HOLDCO, S.L.U., con NIF B86445731 y domicilio en C/ Santiago de Compostela 94 - 9º, 28035 Madrid (en adelante ASH). ATENTO TELESERVICIOS ESPAÑA, S.A., con NIF A78751997 y domicilio en C/ Santiago de Compostela 94 - 9º, 28035 Madrid (en adelante la investigada). RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN  La investigada expone que la mercantil que presta servicios a la reclamada de televenta comercial, como encargada del tratamiento, se corresponde con la de su grupo empresarial: ATENTO TELESERVICIOS ESPAÑA, S.A., con NIF A
  4.  La investigada confirma la realización de las siguientes llamadas desde sus líneas ***TELEFONO.4, ***TELEFONO.3 y ***TELEFONO.2, a la línea telefónica ***TELEFONO.1 del reclamante en las siguientes fechas y horas: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 o 16/01/2020 (13:35 horas): atendida por el reclamante durante 1 minuto y 31 segundos. o 16/01/2020 (13:44 horas) y 22/01/2020 (13:09 horas): atendida por el reclamante durante 54 segundos y no contestada por el reclamante, respectivamente. o 22/01/2020 (13:29 horas): no contestada por el reclamante.  La investigada manifiesta que el motivo de realización de las anteriores llamadas era la captación de nuevos clientes para la reclamada, según consta en el contrato de prestación de servicios de televenta entre ellas en la condición de encargada del tratamiento. La investigada aporta copia de dicho contrato suscrito por su parte y el de la investigada a los efectos de proveer sus servicios en la captación telefónica de clientes para la reclamada.  La investigada identifica la realización de las llamadas comerciales desde su sucursal ubicada en Tetuán, Marruecos.  La investigada informa de que el único dato del reclamante que dispone es su número de teléfono (***TELEFONO.1), encontrándose en la base de datos recibida desde la reclamada (un total de 36.992 contactos), a través de correo electrónico el 03/01/2020 en un fichero comprimido y protegido con contraseña, para ser contactado en el marco del contrato de servicios de captación de clientes suscrito entre ellas. La investigada aporta copia del citado correo electrónico que contiene la base de datos en cuestión.  La investigada determina literalmente que: “Los parámetros de la campaña fueron establecidos por Vodafone. Dicha sociedad nos facilita una BB.DD. con los registros a contactar, en los que sólo aparece el número de teléfono. La base de datos es generada a partir de rangos aleatorios, respetando el tiempo pertinente de tres

(3)meses por su posible utilización anterior y filtrándola previamente con los clientes activos en la compañía y los listados Robinson vigentes en la fecha de envío.”  La investigada establece literalmente que: “Es Vodafone quien en primera instancia compara los números de teléfono generados aleatoriamente que conforman la BB.DD. con la Lista Robinson con el objetivo de eliminar los números coincidentes, realizando Atento una comparación adicional y posterior a esta, utilizando para ello un listado de exclusión remitido periódicamente por Vodafone. En el caso del número de teléfono objeto de revisión, este fue comunicado por Vodafone en el listado de exclusión enviado el 05/02/2020.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 La investigada aporta copia de dicho correo electrónico en que se actualizan los números de teléfono inscritos en Lista Robinson para no emitirles llamadas comerciales. TERCERO: Con fecha 9 de febrero de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del art. 48.1.
  1. b)de la LGT en relación con el art. 21 del RGPD y 23 de la LOPDGDD, tipificada como grave en el artículo 77.37 de la citada LGT, y por la presunta infracción del art. 28 del RGPD, tipificado en el artículo 83.4.
  2. a)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestó lo siguiente: 1.- La actividad de ATENTO se centra en la prestación de servicios a través de centros de llamadas, call centers, con la finalidad de llevar a cabo trabajos de gestión y atención vía telefónica a clientes y usuarios de los servicios comercializados por terceros. Estos terceros - clientes de ATENTO - dictan las reglas y directrices que rigen los contactos efectuados con los usuarios finales, toda vez que la percepción de estos últimos es, en la totalidad de los casos, que la llamada telefónica es efectuada directamente por la entidad para la que ATENTO presta servicios. No hay casuísticas en las que ATENTO se identifique como emisor de la llamada, ni en los que la misma sea efectuada en el marco de un trabajo de obtención o explotación de datos personales de los que sea responsable del tratamiento. En el marco de dicha actividad y conforme fue señalado en la respuesta remitida al requerimiento de información inicial, ATENTO es prestadora de servicios del grupo empresarial VODAFONE (en adelante, “VDF”), de lo que se deriva que, en virtud de los acuerdos alcanzados, sólo sean tratados datos personales de usuarios que bien mantienen una relación contractual con VDF o sobre los que dicha entidad se encuentra habilitada para llevar a cabo contactos. En el contexto indicado, en la fecha de los hechos que motivaron la reclamación, ATENTO prestaba servicios a VDF, para llevar a cabo el contacto telefónico con usuarios finales, con el propósito de ofrecerles un producto de VDF. La dinámica seguida entre ambas entidades para el servicio prestado ha sido expuesta por ATENTO con anterioridad; VDF proporciona a ATENTO una base de datos que contiene números de teléfono que deben ser objeto de la campaña comprometida. Si bien es cierto que la relación negocial mantenida entre ambas, parte de la premisa de que dichos teléfonos son generados aleatoriamente, si estos tuvieran origen distinto (por ejemplo, que fuera un listado de clientes potenciales de la propia VDF), la operativa seguida no se vería afectada, así como tampoco en los compromisos adquiridos por parte de VDF, en lo referido a la legitimación de dichos datos. Por lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 tanto, es siempre VDF quien lleva a cabo los filtros relativos a la exclusión de clientes que se han opuesto a la recepción de comunicaciones comerciales. En relación con esta cuestión, ha referido VDF en su atención al requerimiento de información formulado por esta Agencia, que existen dos casuísticas diferenciadas en la ejecución de campañas comerciales: una, en la que es ella misma quien proporciona las bases de datos; otra, en la que son sus proveedores, los que generan y tratan los datos en su propio nombre. Sin perjuicio de que esta parte no duda de que dichas diferencias concurran, es relevante hacer constar que el procedimiento seguido por ATENTO queda circunscrito, exclusivamente, a la primera casuística. Por lo tanto, no hay casuística en la que ATENTO trate datos que no sean proporcionados por VDF. En consecuencia, la totalidad de las bases de datos proporcionadas por VDF han de ser sometidas a un proceso de depuración antes del envío a ATENTO, tanto con su propia lista de exclusiones interna, como con la contenida en Adigital. Este extremo consta corroborado por la propia VDF, al hacer constar que: “Para las campañas realizadas por la plataforma de televenta es Vodafone quien facilita la base de datos objeto de la campaña y es la entidad encargada de filtrarla previamente por las listas Robinson tanto de ADigital como por la propia de Vodafone” (Página 24 del expediente administrativo del presente procedimiento). En lo que se refiere a las circunstancias concretas que ocasionaron la reclamación, el 3 de enero de 2020 VDF remite a ATENTO por correo electrónico una base de datos con los números de teléfono a los que da instrucciones de llamar, referenciado como Documento nº 1. Dicha base de datos, la cual conforme el procedimiento anteriormente mencionado debía encontrarse previamente filtrada con las listas de exclusión publicitaria internas y externas, incluye el número de teléfono del reclamante, dado de alta en la Lista Robinson desde el 29 de noviembre del 2019. ATENTO llama en nombre de VDF al número del reclamante dos veces el 16 de enero de 2020, y dos veces el 22 de enero del mismo año, sin que las dos últimas llamadas resulten contestadas. A continuación, el 5 de febrero de 2020, VDF envía a ATENTO por correo electrónico un fichero que contiene datos que ATENTO debe excluir de la base de datos que le remitió el 3 de enero, por hallarse incluidos en la Lista Robinson, entre los que se encuentra el número del reclamante. Este correo electrónico y sus adjuntos se aportan como Documento nº 2. A partir de esa fecha, ATENTO tiene instrucciones de VDF no impactar, y por tanto no impacta, al reclamante. Por lo tanto, de lo anterior se deduce que, las listas que fueron empleadas por ATENTO para la prestación de sus servicios y de las que, a resultas, se derivaron los hechos que motivaron el presente procedimiento debían de haber sido filtradas por VDF, en virtud de los acuerdos contractualmente alcanzados, sin que ATENTO tuviese potestad de tratar los datos para la realización de cualquier cruce de la información con cualesquiera otras bases de datos (internas o externas). Es decir, los datos que son objeto de tratamiento por parte de ATENTO son exclusivamente los que, en el caso concreto, le proporciona VDF. Los cuales, en función de los acuerdos contractualmente alcanzados, debían de encontrarse debidamente filtrados y ser legítimos para el tratamiento de los mismos para la prestación de los servicios acordados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 2.- La atribución de la infracción a ATENTO parece fundamentarse en el incumplimiento de las obligaciones asumidas en su rol de encargado, por el hecho de transferir datos fuera de la Unión Europea, a consideración de la AEPD, sin que concurran los requisitos definidos en RGPD. 3.- Así las cosas, consta en el presente expediente administrativo copia de la regularización de la transferencia internacional de datos (páginas 188 a 196) (Referencia TI/00052/2018), a la luz de las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países, de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo. QUINTO: Con fecha 19/04/2021, el órgano instructor acordó abrir periodo de práctica de pruebas, acordando practicar las siguientes: <1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ATENTO TELESERVICIOS ESPAÑA, S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/09378/2020. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00019/2021 presentadas por ATENTO TELESERVICIOS ESPAÑA, S.A., y la documentación que a ellas acompaña. 3. Incorporar al expediente la resolución de la AEPD de referencia TD/00052/20218, relativa a la autorización para realizar transferencia internacional a Marruecos en el seno del contrato de encargado del tratamiento con Vodafone ONO según contrato identificado como 2017MA007124 y entre Atento Teleservicios España, S.A. sucursal en Marruecos de referencia 2017MA007315, aportados por Vodafone ONO. El resultado de estas pruebas podrá dar lugar a la realización de otras>. HECHOS PROBADOS PRIMERO: El reclamante presentó ante la AEPD reclamación por la recepción de llamadas comerciales no deseadas de VODAFONE. La línea receptora (***TELEFONO.1) se encuentra inscrita en la Lista Robinson de ADigital. Aporta un listado de 4 llamadas recibidas:     En fecha 16/01/2020 a las 13:35 horas desde la línea ***TELEFONO.4. En fecha 16/01/2020 a las 13:44 horas desde la línea ***TELEFONO.3. En fecha 22/01/2020 a las 13:29 horas desde la línea ***TELEFONO.2. En fecha 22/01/2020 a las 13:45 horas desde la línea ***TELEFONO.3. SEGUNDO: Copia del certificado de su registro en Lista Robinson emitido el 22/01/2020, en que consta la línea telefónica del reclamante ***TELEFONO.1 inscrita contra llamadas telefónicas comerciales desde el 29/10/2019. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 Consta que para la campaña comercial se incorporó al listado de llamadas el teléfono del reclamante en fecha 12/12/2019 y se remitieron (un total de 36.992 contactos) a la entidad encargada del tratamiento en Marruecos a través de su matriz en España (investigada). TERCERO: La investigada confirma la realización de las siguientes llamadas desde sus líneas ***TELEFONO.4, ***TELEFONO.3 y ***TELEFONO.2, a la línea telefónica ***TELEFONO.1 del reclamante:     En fecha 16/01/2020 a las 13:35 horas desde la línea ***TELEFONO.4 (1m 31 seg). En fecha 16/01/2020 a las 13:44 horas desde la línea ***TELEFONO.3 (54 seg). En fecha 22/01/2020 a las 13:29 horas desde la línea ***TELEFONO.2 (no atendida). En fecha 22/01/2020 a las 13:45 horas desde la línea ***TELEFONO.3 (no atendida). CUARTO: El motivo de realización de las anteriores llamadas era la captación de nuevos clientes según consta en el contrato de prestación de servicios de televenta suscrito con Atento Teleservicios España, S.A.U. -en la condición de encargada del tratamiento de la reclamada- a través de la sucursal en Marruecos. QUINTO: La reclamada y la investigada alegan que la acción publicitaria ahora analizada se debió a un error puntual en el filtrado de números de teléfonos con el Listado Róbinson de Adigital, debido a los cambios de operativa de acceso a dicho Listado desde principios de 2020 ajenos a la mercantil. Una vez que la reclamada tuvo conocimiento del error, procedió a comunicar su corrección a la investigada para el cese de llamadas. SEXTO: En esa acción publicitaria se cruzaron 36.992 números de teléfono con el Listado Róbinson y solo uno consta denunciado ante esta AEPD. SÉPTIMO: Consta en esta AEPD el documento con registro de entrada O00007128e2100006171, relativo a otro procedimiento en curso en esta AEPD y sujeto a información reservada al contener operativas internas de la entidad que lo ha facilitado, en el que confirma en el ámbito de sus competencias en relación con la operativa de acceso y cruce con el Listado Róbinson, que se produjeron fallos puntuales -aunque no sistémicos- en el proceso transitorio interno de consulta al Listado Róbinson durante 2020 y hasta febrero de 2021. OCTAVO: Consta autorizada por esta AEPD, en el expediente de referencia TI/00052/2018 de fecha 24/04/2018, a la entidad Atento Teleservicios España, S.A.U. -entidad encargada del tratamiento de datos ahora analizado por cuenta de la investigada-, la realización de transferencia internacional de datos de carácter personal a la entidad Atento Teleservicios España, sucursal en Marruecos, con la finalidad de prestación de servicios de teleasistencia (CallCenter). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el artículo 84.3) de la LGT, la competencia para iniciar y resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 89.1.
  3. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, señala lo siguiente: <Artículo 89. Propuesta de resolución en los procedimientos de carácter sancionador. 1. El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:
  4. c)Cuando los hechos probados no constituyan, de modo manifiesto, infracción administrativa.> En el presente caso concurre lo dispuesto en el art. 89.1.
  5. c)arriba citado, tal y como se razona en los fundamentos de derechos siguientes, por lo que procede resolver el presente procedimiento sancionador. III Los hechos detallados en los antecedentes podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 48.1.
  6. b)de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo, LGT), incluido en su Título III, que señala: <<Artículo 48. Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados. 1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones electrónicas tendrán los siguientes derechos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 (…)
  7. b)A oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a ser informado de este derecho.>> Si bien, el citado artículo no configura tal derecho, por lo que debemos acudir a las normas de protección de datos en las que se regula el derecho de oposición: artículo 21 del RGPD, (Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos) y artículo 23 de la LOPDGDD (Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales). No obstante, de la instrucción del presente procedimiento y en especial de las pruebas practicadas en el mismo, se debe aceptar la alegación vertida tanto por la por la reclamada como por la investigada en fase de alegaciones respecto de que la supuesta infracción relativa la art 48.1.
  8. b)de la LGT se debió a un error puntual del sistema de filtrado de numeraciones con el listado róbinson de Adigital no existiendo culpabilidad en su conducta, toda vez que se debió a un cambio en el sistema de filtrado de numeraciones róbinson de Adigital durante el periodo comprendido entre el año 2020 y febrero de 2021 ajeno a su voluntad, según ha manifestado la entidad encargada de los tratamientos del sistema de información róbinson de Adigital. En este sentido, consta que la inclusión de la línea del reclamante en el listado róbinson de Adigital es de fecha 29/10/2019 por lo que el registro róbinson de Adigital de exclusión de llamadas publicitarias, según su propia normativa, no quedó actualizado con la línea del reclamante hasta el 29/12/2019 (dos meses desde la inclusión según el antiguo sistema de acceso al listado robinson de ADigital). Consta, asimismo, que con fecha 12/12/2019 la reclamada captó del listado róbinson de Adigital el número del reclamante y lo facilitó al encargado del tratamiento (Investigada), por lo que al no haber transcurrido el plazo de dos meses desde su inclusión la línea del reclamante no figuraba en el listado. Una vez cruzados los datos con el listado róbinson de Adigital e iniciada la campaña de captación de clientes con la investigada, la reclamada envió por correo electrónico de fecha 3/01/2020 el listado de numeraciones al encargado del tratamiento (investigada) que a su vez lo envió a su sucursal en Marruecos, quien procedió en el marco del contrato de servicios de captación de clientes suscrito a realizar materialmente la acción comercial en nombre y por cuenta de la reclamada. Consta acreditado que con motivo de los cambios que fueron impuestos por la propia ADigital en relación al sistema de consultas del listado Robinson oficial -que pasó de un sistema de descargas de la bases de datos completa a un sistema de consultas de bases de datos- las entidades han tenido que desarrollar específicamente bajo los requisitos impuestos por Adigital una API y, una vez detectado que la SQL aplicada a la base de datos en cuestión no estaba actualizando correctamente todos los Robinson, la reclamada identificó la incidencia con el fin de actualizar la SQL aplicada, subsanando por completo la incidencia y actualizando las bases de datos diariamente (nuevo sistema de acceso al listado robinson de Adigital). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 Por ello, la reclamada remitió en fecha 5/02/2020 de un listado actualizado a Atento SUC-MARRUECOS, quedando subsanado el error de la inclusión del teléfono del reclamante. En consecuencia, la reclamada, antes de conocer la incidencia en las descargas del listado róbinson de Adigital, procedió a corregir diligentemente ese error, tal como se deduce de la cronología de los hechos y del contenido del expediente administrativo, motivo por el que la conducta inicialmente imputada a la reclamada carece de elemento volitivo de culpabilidad al resultar como consecuencia de un error ajeno y en consecuencia, la ahora investigada carece de responsabilidad en los hechos inicialmente imputados. En este sentido se pronuncia la SAN de fecha 26/02/2021: < TERCERO.- Pasamos a analizar seguidamente, la cuestión referente a la existencia de culpabilidad, invocada su ausencia por la parte actora. Se dice por la sociedad recurrente que para que pueda ser atribuida la responsabilidad prevista por el ordenamiento jurídico por la comisión de una infracción administrativa, se requiere un doble título de imputación: (
  9. i)la imputación objetiva, esto es, que pueda ser atribuido desde el punto de vista de la acusación material, y (
  10. ii)la imputación subjetiva, es decir, la atribuibilidad volitiva. No es suficiente, pues, con el puro desvalor del resultado ni con la lesión objetiva de un bien jurídico protegido, se requiere también el desvalor de la acción por la comisión dolosa o culposa de la conducta. La simple inobservancia puede entenderse referida a una norma, pero la inobservancia objetiva de la norma no justifica por sí sola la imposición de la sanción. Así las cosas, es sabido que se puede incurrir en responsabilidad por la infracción que estamos examinando tanto de manera intencionada o dolosa o culposa (art. 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público-). Y procede ahora recordar que, como señala el Tribunal Supremo en la Sentencia de 23 de enero de 1998, "... aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".> En el presente caso, consta que la reclamada, una vez tuvo conocimiento de los errores que se estaban produciendo en el cruce de datos con el listado Róbinson de Adigital, actuó con la diligencia debida corrigiendo el error detectado enviando en fecha 5/02/2020 un nuevo listado corregido a la investigada e incorporando a su listado interno la numeración objeto de reclamación, cesando en lo sucesivo las llamadas al reclamante. En consecuencia, no se aprecia por la investigada el elemento volitivo de culpabilidad en la conducta inicialmente imputada. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 Los hechos conocidos también podrían ser constitutivos de una infracción, imputable a la investigada en calidad de encargada del tratamiento ahora analizado, por vulneración del artículo 28.3.
  11. h)in fine del RGPD, tipificada en el artículo 83.4 de dicha norma, considerada leve a efectos de prescripción en el artículo 74.
  12. j)de la LOPDGDD, por los siguientes motivos: El artículo 28 del RGPD señala lo siguiente: “Art. 28, Encargado del tratamiento. 1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  13. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
  14. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
  15. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  16. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  17. e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  18. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  19. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  20. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  21. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. (el subrayado es de la AEPD). 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.” En el presente caso, y según consta en la documentación obrante en el PS/00017/2021 traída ahora al procedimiento en fase de práctica de pruebas, consta acreditado que la investigada estaba autorizada por la AEPD en el procedimiento de referencia TI/00052/2018 resuelto en fecha 24/04/2018 para realizar la transferencia internacional de datos a Marruecos en nombre y por cuenta de la reclamada. En consecuencia, decae la infracción del art. 28.3.
  22. h)del RGPD imputada inicialmente a la investigada. En consecuencia, procede archivar el presente procedimiento sancionador. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento a ATENTO TELESERVICIOS ESPAÑA, S.A., con NIF A78751997. SEGUNDO: NOTIFICAR la presente resolución a ATENTO TELESERVICIOS ESPAÑA, S.A., con NIF A78751997 y domicilio en C/ Santiago de Compostela 94 - 9º, 28035 Madrid (en adelante la investigada). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  23. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 815-141020 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.