← España

PS-00019-2023

1/15  Expediente N.º: EXP202211263 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 1 de marzo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Procedimiento Nº: EXP202211263 (PS/00019/2023) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, VODAFONE ESPAÑA SAU., CIF.: A80907397 (en adelante, “la parte reclamada”), en virtud de denuncia presentada por D. A.A.A. (en adelante, “la parte reclamante”), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) y la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 29/09/22, tiene entrada en esta Agencia, escrito presentado por la parte reclamante, en el que manifiesta lo siguiente: “Debido a que Vodafone me manda constantemente mensajes de texto y recibo llamadas de spam casi a diario, pese a haber solicitado que no me mande publicidad y que no deseo que se comparta mi número de teléfono móvil con terceros para fines comerciales. Vodafone recibió y firmó un acuerdo que incumplió, tras concederles 1 mes para que cesaran en su actitud. Por este motivo, me comuniqué de nuevo con los mediadores de la lista Robinson y les mandaron un nuevo documento que igualmente ha sido ignorado, por lo que me aseguraron que ellos ya no podían hacer nada más y que me pusiera en contacto con ustedes directamente” Junto al escrito de reclamación se presenta la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 - Certificado que acredita la inscripción de la línea receptora en la Lista Robinson, desde el 02/04/12 (Canal llamadas telefónicas) y desde el 04/02/2022 (Canal SMS/MMS). - Copia del SMS comercial recibido el día 20/09/22: “Solo para ti, consigue ahora tu Pack Familyfans por solo 3,5???. Más al mes durante 12 meses. +Info en m.vodafone.es/mejora—tv”. - Copia del SMS comercial recibido el 21/09/22: “Vodafone: ¡PARA TI, UN PATINETE ELECTRICO! Participa antes de las 23.59h y llévate uno con MiérooYE8! Estamos regalando 10 aquí: m.vodafone.es/mieroo4 15:22 - Copia del SMS comercial recibido el 25/09/22: “Ya están aquí las Novedades del mes! Llévate el Apple ¡Phone 13 Green 1286b desde 32,00 EUR al mes con tu tarifa móvil ilimitada y en solo 24 cuotas ¿A qué esperas? ¡Date prisa! Unidades limitadas. Para ti que eres cliente, esto y mucho más aquí: m.vodafone.es/pp-pr—iphone 17258” - Copia del SMS comercial recibido el 28/09/22: “Vodafone: La sorpresa de hoy en MiércoYE8 es…¡Regalamos 300 Auriculares Inalámbricos! Mira si has ganado al instante en la App ¡Solo hoy! m.vodafone.es/mieroo4 15231”. - Captura de pantalla donde se aprecia que permanece desactivada una casilla relativa a los Permisos: "Acepto a recibir comunicaciones con ofertas que pudieran ser de mi interés procedente de terceras empresas con las que Vodafone haya llegado a un acuerdo comercial". - Acuerdo de Mediación ante AUTOCONTROL, de fecha 21/07/22, en el que la operadora reclamada se compromete a no realizar llamadas ni envíos de SMS de carácter publicitario al reclamante. SEGUNDO: Con fecha 13/10/22, el reclamante presenta ante esta Agencia un nuevo escrito de reclamación manifestando en el mismo que, tras haber cumplido un año de permanencia con la operadora reclamada, desde que solicitó la portabilidad el 08/10/22 ha recibido 13 llamadas (el día 11/10/22) y una llamada el día 13/10/22 para intentar convencerle de que no cambie de compañía. Al escrito de reclamación se acompaña la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 - Dos capturas de pantalla del registro de llamadas entrantes donde se visualiza la recepción de llamadas procedentes de las líneas llamantes: ***TELÉFONO.1, ***TELÉFONO.2, ***TELÉFONO.3, ***TELÉFONO.4 y ***TELÉFONO.5, recibidas el día 11/10/22. TERCERO: Con fecha 24/10/22, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD, por parte de esta Agencia se envió escrito a la parte reclamada solicitando información con respecto a lo expuesto en la reclamación. CUARTO: Con fecha 09/12/22, se recibe en esta Agencia escrito de contestación a la solicitud realizada, en el que, la entidad reclamada manifiesta: A.- En referencia a las llamadas recibidas: Las llamadas desde los números de teléfono ***TELÉFONO.5 y ***TELÉFONO.3 fueron realizadas por su agente colaborador VOICEBOT para la realización de encuestas de calidad y mejora de la experiencia de los clientes. En este caso, no se trataría de una comunicación con fines comerciales, por el contrario, las llamadas recibidas por el reclamante se efectuaron con fines de control de la calidad en la prestación de servicios. Las llamadas desde los números ***TELÉFONO.4 y ***TELÉFONO.5 fueron efectuadas desde VODAFONE con motivo de la portabilidad de las líneas telefónicas, contratadas en ese momento con Vodafone, solicitadas por el reclamante. Dichas comunicaciones, fundamentadas en fomentar la retención de clientes que hayan informado su voluntad de causar baja de los productos y/o servicios contratados, para lo cual en ocasiones se ofrece al cliente una mejora en las condiciones contractuales o productos o servicios que puedan resultar de su interés. Paralelamente, la comunicación inicial permitió a Vodafone verificar que la petición de portabilidad había sido efectivamente realizada por la parte reclamante, descartando cualquier tipo de actuaciones fraudulenta o maliciosa por parte de terceros. Por otra parte, en cuanto al aparentemente alto número de llamadas realizadas con esta finalidad, es necesario aclarar que, habitualmente, los servicios de retención de Vodafone afectan una única interacción con el cliente con esta finalidad, por cada petición de portabilidad recibida. Si bien en el presente caso, el reclamante efectuó tres peticiones de portabilidad diferentes en hasta dos días distintos y en horarios espaciados: 1) Solicitud de portabilidad fija para la numeración ***TELÉFONO.6, efectuada el 11/10/2022; 2) Solicitud de portabilidad móvil para la numeración ***TELÉFONO.7, efectuada el 13/10/2022 a las 08:32:13; 3) Solicitud de portabilidad móvil para la numeración ***TELÉFONO.8, efectuada el 13/10/2022 a las 19:31:06. Estas circunstancias sumadas al hecho de que no se lograse contactar con el Sr. A.A.A. inicialmente, ocasionaron que Vodafone tratase de ponerse en contacto con el reclamante en diferentes ocasiones los días 11 y 12 de octubre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 de 2022 a fin de tratar con la parte reclamante dichas peticiones de portabilidad. B.- Respecto a los mensajes SMS recibidos: Han verificado que la parte reclamada está inscrita en la Lista Robinson para la oposición a la remisión de comunicaciones comerciales vía SMS/MMS. Por un error en sus sistemas de gestión de relaciones con los clientes (CRM) no se almacenaron adecuadamente en los sistemas de Vodafone las preferencias indicadas por el reclamante al agente de los servicios de atención al cliente. Igualmente, la oposición indicada por el reclamante a través de la reclamación interpuesta ante Vodafone, y posterior mediación, tampoco fue correctamente gestionada en el CRM empleado por esta entidad, lo que posibilitó la remisión de las comuniones SMS que han motivado la presente reclamación. Finalmente manifiestan que han subsanado los errores detectados, han inscrito las numeraciones de la parte reclamante en su lista de exclusión interna y han preparado una carta para la parte reclamante informándole de las acciones llevadas a cabo por Vodafone y pidiéndole disculpas por lo sucedido. Con fecha de 14 de diciembre de 2022, en el procedimiento AT/04581/2022 la Agencia Española de Protección de Datos acordó llevar a cabo las presentes actuaciones de investigación en relación con los hechos reclamados. QUINTO: Con fecha 14/12/22, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. SEXTO: A la vista de los hechos denunciados y de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos considera que lo indicado anteriormente, no cumple con la normativa vigente en materia de protección de datos, por lo que procede la apertura del presente procedimiento sancionador. FUNDAMENTOS DE DERECHO ICompetencia. Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley LSSI. IISíntesis de los hechos acaecidos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 Según certifica el reclamante, está inscrito en la Lista Robinson, desde el 02/04/12 en el canal llamadas telefónicas y desde el 04/02/22 en el canal SMS/MMS, pero no obstante, según indica en la reclamación, debido a que Vodafone le mandaba constantemente mensajes de texto y llamadas publicitarias, solicitó que no volvieran a enviarle más comunicaciones comerciales. Para ello, firmó con la compañía un acuerdo de Mediación ante la entidad “AUTOCONTROL”, el 21/07/22, en el que la operadora y en el que la operadora se comprometía a no volver a realizar llamadas ni envíos de SMS de carácter publicitario al reclamante. No obstante lo anterior, la operadora siguió enviando SMS publicitarios al reclamante, los días 20/09/22; 21/09/22; 25/09/22 y 28/09/22, según se puede constatar en la documentación aportada por el reclamante. Pero además, y aparte de lo anterior, cuando el reclamante solicita la portabilidad de sus líneas a otra compañía el 08/10/22, recibió hasta 13 llamadas, el día 11/10/22 y una llamada más, el día 13/10/22, según él, para intentar convencerle de que no cambiase de compañía. VODAFONE manifiesta, por su parte que, respecto a los SMS enviados con mensajes publicitarios después de haber firmado el acuerdo, fue a causa de un error en sus sistemas de gestión de relaciones con los clientes (CRM) y que las llamadas telefónicas realizadas estaban destinadas, aparte de corroborar su deseo de portabilidad, a fomentar la retención del cliente al informarle y ofrecerle una mejora en las condiciones contractuales, productos o servicios que pudieran resultar de su interés. III.-1 Tipificación de la posible infracción cometida por el envío de comunicaciones comerciales El hecho de que la entidad reclamada procediera a enviar comunicaciones comerciales al reclamante vía SMS sin que hubieran sido solicitadas o expresamente autorizadas puede constituir una vulneración de lo establecido en el artículo 21 de la LSSI, pues establece lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” III.-2 Propuesta y graduación de la sanción La citada infracción del artículo 21 de la LSSI, se encuentra tipificada como leve en el art. 38.4.

  1. d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. Tras las evidencias obtenidas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI: - La existencia de intencionalidad (apartado a).- ya que la parte reclamante tenía sus números de teléfono inscritos en la Lista Robinson, había deshabilitado en las preferencias de la aplicación de la parte reclamada las comunicaciones comerciales, y del acuerdo de exclusión adoptado por la reclamada a través de la entidad de intermediación Autocontrol, la parte reclamante recibió comunicaciones comerciales a través de mensajería de texto. Con arreglo a dichos criterios, se estima adecuado imponer una sanción inicial de 10.000 euros, (diez mil euros), por la infracción del artículo 21 de la LSSI, al enviar comunicaciones comerciales al reclamante sin haber sido expresamente autorizado para ello por el destinatario. IV.-1 Tipificación de la posible infracción cometida por las llamadas comerciales realizadas. Según se ha constatado, cuando el reclamante solicita la portabilidad de sus líneas a otra compañía, recibió de la entidad VODAFONE hasta 13 llamadas, el día 11/10/22 y una llamada más, el día 13/10/22, para confirmar su deseo de realizar la portabilidad de su línea telefónica pero también para intentar convencerle de que no cambiase de compañía con ofertas ventajosas, y conteniendo, por tanto, un carácter esencialmente comercial o promocional de los productos ofrecidos. Por su parte, la entidad confirma que dichas llamadas, fundamentadas en fomentar la retención de clientes fueron, aparte de corroborar su deseo de portar sus líneas, para ofrecerle una mejora en las condiciones contractuales, de productos o servicios que pudieran resultar de su interés y conseguir con ello que no dejara la compañía. En este sentido, la disposición final sexta de la ley la ley 11/2022, de 28 de junio, General de Telecomunicaciones, indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 1. La presente ley entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado», salvo lo dispuesto en el apartado siguiente. 2. El derecho de los usuarios finales a no recibir llamadas no deseadas con fines de comunicación comercial contemplado en el artículo 66.1.
  2. b)entrará en vigor en el plazo de un año a contar desde la publicación de la presente ley en el «Boletín Oficial del Estado». Hasta ese momento, los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración podrán seguir ejercitando el derecho a oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en el artículo 66.1.
  3. a)y a ser informados de este derecho. La publicación de esta norma se produjo 29/06/22 y en base al apartado primero de la disposición anterior entró en vigor el 30/06/22, salvo lo dispuesto en el apartado segundo que entrará en vigor el 30/06/23, por lo que, los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración podrán seguir ejercitando el derecho a oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en el artículo 66.1.
  4. a)y a ser informados de este derecho hasta esa fecha. Como en nuestro caso, el reclamante recibió hasta 13 llamadas, el día 11/10/22 y una llamada más, el día 13/10/22, es de aplicación lo expuesto anteriormente. Pues bien, el considerando 70) del RGPD indica, respecto que: “Si los datos personales son tratados con fines de mercadotecnia directa, el interesado debe tener derecho a oponerse a dicho tratamiento, inclusive a la elaboración de perfiles en la medida en que esté relacionada con dicha mercadotecnia directa, ya sea con respecto a un tratamiento inicial o ulterior, y ello en cualquier momento y sin coste alguno. Dicho derecho debe comunicarse explícitamente al interesado y presentarse claramente y al margen de cualquier otra información. Pues bien, el hecho de que la entidad reclamada no excluyera al reclamante de sus sistemas para recibir comunicaciones comerciales después de que se comprometiera a ello, mediante acuerdo firmado el 21/07/22, pero habiendo realizado llamadas con carácter comercial los días 11 y 13 de octubre de 2022, aparte de confirmar el deseo de realizar la portabilidad, pueden ser constitutivos de una infracción del artículo 21 del RGPD, pues dispone lo siguiente: 1.El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras
  5. e)(interés público) o
  6. f)(interés legítimo), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones. 2.Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. 3.Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. 4.A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5.En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas. 6.Cuando los datos personales se traten con fines de investigación científica o histórica o fines estadísticos de conformidad con el artículo 89, apartado 1, el interesado tendrá derecho, por motivos relacionados con su situación particular, a oponerse al tratamiento de datos personales que le conciernan, salvo que sea necesario para el cumplimiento de una misión realizada por razones de interés público. IV.-2 Propuesta de sanción Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
  7. b)del RGPD. el artículo 72.1.
  8. k)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento”. IV.-3 Graduación de la sanción La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  9. a)a
  10. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  11. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  12. b)la intencionalidad o negligencia en la infracción;
  13. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  14. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  15. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  16. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  17. g)las categorías de los datos de carácter personal afectados por la infracción;
  18. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  19. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  20. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  21. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
  22. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  23. a)El carácter continuado de la infracción.
  24. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  25. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  26. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  27. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  28. f)La afectación a los derechos de los menores.
  29. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  30. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer a la entidad reclamada, en una valoración inicial, se estiman concurrentes en el presente caso los siguientes factores: En calidad de agravantes: - La intencionalidad o negligencia de la infracción, por parte de la entidad, (apartado b), partiendo de que se trata de una entidad cuya actividad lleva aparejado un continuo tratamiento de datos personales de los usuarios. Se considera de especial importancia recordar en este punto, la SAN de 17 de octubre de 2007 (rec. 63/2006), donde se indica que: “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". Por tanto, si nos atenemos a la jurisprudencia del TS, podríamos considerar incluso este apartado como agravante cualificado, al constatarse la falta de diligencia debía en este caso, con respecto a la gestión de los datos personales. Se considera además que, procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el artículo 76.2 de la LOPDGDD: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (apartado b), considerando que en la actividad que se desarrolla se ven implicados los datos personales de los clientes de ésta. Considerando los factores expuestos, la valoración que alcanza la multa, por la Infracción del artículo 21 del RGPD, es de 10.000 euros (diez mil euros). Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: INICIAR: PROCEDIMIENTO SANCIONADOR a la entidad VODAFONE ESPAÑA SAU., CIF.: A80907397, por las siguientes infracciones: - Infracción del artículo 21 de la LSSI, respecto del envío de comunicaciones comerciales pese a que el reclamante se haya opuesto a ello. - Infracción del artículo 21 del RGPD, por el hecho de no excluir al reclamante de sus sistemas para recibir comunicaciones comerciales habiendo sido emitidos mensajes de carácter comercial dos meses después de su compromiso para ello. NOMBRAR: como Instructor a D. B.B.B., y Secretaria, en su caso, a Dª C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, todos ellos parte del presente expediente administrativo. QUE: a los efectos previstos en el art. 64.2
  31. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanciones que pudiera corresponder serían de: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 - 10.000 euros (diez mil euros) por la infracción del artículo 21 de la LSSI, sin perjuicio de lo que resulte de la instrucción del presente procedimiento sancionador. 10.000 euros (diez mil euros) por la infracción del artículo 21 del RGPD, sin perjuicio de lo que resulte de la instrucción del presente procedimiento sancionador. Siendo la sanción total de 20.000 euros (veinte mil euros). NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a la entidad, VODAFONE ESPAÑA SAU., otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  32. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 4.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta, equivalente en este caso a 4.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 12.000 euros, (doce mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos. >> SEGUNDO: En fecha 23 de marzo de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 16000 euros haciendo uso de una de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente. Por tanto, no ha quedado acreditado el reconocimiento de responsabilidad. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI), los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202211263, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  33. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 937-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.