1/24 Procedimiento Nº: PS/00030/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante el reclamante) interpuso reclamación ante la Agencia española de Protección de Datos (en adelante AEPD) por la recepción el ***FECHA.1, a las 11:34 horas, de una llamada comercial en nombre de “Vodafone España, S.A.U.”, con CIF A80907397 (en adelante la reclamada o VDF), a su línea telefónica ***TELÉFONO.1, que se encuentra inscrita en la lista de exclusión publicitaria Robinson, desde la línea ***TELÉFONO.
(10)días hábiles siguientes a la recepción de la notificación escrita del Encargado de Tratamiento establecida en la Cláusula 6.1.1, incluyendo la información establecida en la Cláusula 6.1.3; y 6.2. En todos los casos, el Encargado de Tratamiento será responsable ante Vodafone de cualquier acto u omisión realizada por el Subencargado de Tratamiento o cualquier otra tercera parte designada por él como si los actos u omisiones hubieran sido llevados a cabo por el Encargado de Tratamiento, independientemente de si el Encargado de Tratamiento cumplió con sus obligaciones especificadas en la Cláusula 6.1. 6.3. En caso de incumplimiento de las obligaciones recogidas en el presente Acuerdo por la comisión de acciones llevadas a cabo por un Subencargado de Tratamiento, el Encargado de Tratamiento deberá, en caso de que lo solicitara Vodafone, asignarle el derecho a Vodafone de actuar como considere necesario para la protección y salvaguada los Datos Personales, en virtud del contrato del Encargado de Tratamiento con el Subencargado de Tratamiento>. NOVENO: El apartado 9 del Anexo IV del citado contrato señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24 < 9. DERECHO DE AUDITORÍA. El Encargado de Tratamiento se asegurará de que cualquier Subencargado de Tratamiento permita a Vodafone, sus clientes (incluidos los subcontratistas, auditores u otros agentes de Vodafone y sus respectivos clientes) y / o las Autoridades de Privacidad (cada una de ellas una "Parte de Auditoría") acceder a sus sistemas informáticos y otros sistemas de información, registros, documentos y acuerdos que razonablemente requiera la Parte de Auditoria, para comprobar que el Encargado de Tratamiento y / o sus SubEncargados de Tratamientos están cumpliendo con sus obligaciones establecidas bajo el presente Acuerdo (o cualquier contrato de subTratamiento subsiguiente) o cualquier Legislación de Privacidad Aplicable, siempre que dicha revisión no implique la revisión de datos de terceros y que dicha entidad auditora cumpla con las obligaciones de confidencialidad del Encargado de Tratamiento o con el Subencargado de Tratamiento pertinente, respetando la confidencialidad de los intereses comerciales del Encargado de Tratamiento o Subencargado de Tratamiento y los datos e información de terceros de los cuales la entidad auditora pueda tomar conocimiento en el curso de la realización de la auditoría…> DÉCIMO: Consta que el procedimiento sancionador de referencia PS/00026/2021 incoado contra investigada#2 (Vamavi), fue resuelto por pago anticipado y reconocimiento de los hechos (los descritos en el Hecho Probado Segundo), lo que conoce la reclamada toda vez que lo alega. Asimismo, en el procedimiento sancionador de referencia PS/00031/2021 se resuelve en el sentido de archivar los hechos imputados a Solivesa toda vez que en el hecho probado duodécimo consta que Vamavi actuó por cuenta y en nombre de VDF en calidad de encargada del tratamiento en la realización de la llamada ahora investigada al reclamante. Consta que VDF tiene conocimiento de lo anterior al constar acreditado en el hecho probado duodécimo de la resolución del citato PS/00031/2021, lo siguiente: <DUODÉCIMO: Tras el acuerdo de inicio del presente procedimiento sancionador, SOLIVESA solicitó una reunión con el DPD de Vodafone para que informen cómo Vamavi disponía de clave de acceso directa de Vodafone para altas en servicios contratados, momento en que Vodafone informa a SOLIVESA que efectivamente Vamavi dispone de clave directa de Vodafone como distribuidor autorizado desde septiembre de 2019.> (en subrayado es de la AEPD). FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24 En relación con las alegaciones vertidas por el responsable tras el acuerdo de inicio, se contestan en los siguientes términos: 1R) Se debe señalar que el objeto de la reclamación no es debido directamente a la recepción de una llamada no deseada, sino a una llamada a una línea inscrita en el listado de exclusión publicitaria desde el 3/08/2018, vulnerando lo dispuesto en el art 23 de la LOPDGDD. Tal y como se desarrolla en los Fundamentos de Derecho, el responsable debe tener control absoluto sobre los tratamientos de datos objeto de encargo debiendo, no solo previamente comprobar los medios organizativos y técnicos de los que dispone la entidad encargada, sino realizar las auditorias posteriores precisas a fin de garantizar los derechos y libertades de los afectados en los tratamientos llevados a cabo en nombre y por cuenta del responsable. 2R) Tal y como se indica en los Fundamentos de Derecho, la imputación a VDF en el presente procedimiento sancionador no exonera de responsabilidad a otras entidades involucradas en los tratamientos de datos de responsabilidad VDF y objeto de encargo a otras entidades en calidad de encargadas, si bien cada una deberá responder por su conducta contraria al RGPD, en su caso, en procedimientos separados. 3R) En el presente caso, VDF es la responsable de los tratamientos llevados a cabo por las entidades encargadas de los mismos. La llamada publicitaria recibida por el reclamante estando incluido en el listado de exclusión publicitaria Robinson de Adigital debió evitarse aplicando medios organizativos y técnicos eficaces en la contratación del/los encargado/s, que no consta que existieran implantados. 4R) VDF alega que los encargados deberán presentarse ante los potenciales clientes en su nombre. Sin perjuicio de las normas internas de cortesía ante un potencial cliente, se debe señalar que en el tratamiento objeto de análisis se realiza en nombre y por cuenta de VDF en todo momento, con independencia de las bases de datos que se usen. 5R) En cuanto al sistema de enrutamiento de llamadas a través de la troncal de VDF, se debe señalar que no consta su eficacia toda vez que en el presente caso no se ha realizado ni verificado el correcto filtrado de llamadas con el listado de exclusión publicitaria Adigital. 5, 6 y 7R) Además, según ha manifestado VDF en otros procedimientos, dicho sistema de enrutamiento debía estar activado en febrero de 2020 y ahora VDF alega que no estará efectiva hasta febrero de 2021, lo que denota falta grave de diligencia sobre la actividad comercial que realizan los encargados del tratamiento en nombre y por cuenta de VDF. 8.1R) Como ya se ha reiterado, en cuanto a la aplicación del agravante del art 76.1.
- b)de la LOPDGDD en relación con el art 83.2.
- k)del RGPD, es evidente su aplicación toda vez que VDF es una de las grandes operadoras de telecomunicaciones del país y actúa como responsable de los datos objeto de tratamiento en sus campañas publicitarias de captación de clientes y, en el presente caso, actuando sin la diligencia debida en la contratación y seguimiento de entidades encargadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24 8.2R) Se debe insistir en que VDF es la responsable de los tratamientos objeto de análisis en el presente procedimiento, tal y como se acredita en los hechos probados y se desarrolla en los Fundamentos de Derecho. 8.3R) Se debe indicar que el artículo 83.2.
- e)del RGPD señala como agravante: “toda infracción …”, es decir, la reiteración de conductas contrarias a la normativa de competencia la AEPD. III En relación con las alegaciones vertidas por el responsable tras el acuerdo de inicio, se contestan en los siguientes términos: 1R) VDF no es la responsable de los tratamientos que realizan sus “colaboradores … que utilizan sus propias bases de datos en el desarrollo de su propia actividad”. De la definición de responsable del tratamiento del art. 4.7 de RGPD, consta que VDF es la que determina los fines y medios del tratamiento. En el presente caso, consta que Vamavi materializa la llamada al reclamante en nombre y por cuenta de VDF según consta en el contrato suscrito entre ambas entidades en septiembre de 2019. En los Fundamentos de Derecho siguientes se concreta el concepto de responsable del tratamiento, encargado del tratamiento y las obligaciones de uno y otro conforme dispone el art. 28 del RGPD. En consecuencia la alegación debe desestimarse. 2R) La AEPD ha investigado sobre la numeración llamante y ha concluido que la misma es de titularidad de la entidad Vamavi, entidad que ha reconocido haber efectuado la llamada al reclamante para promocionar los servicios de VDF. Esta entidad ha identificado ante la Agencia como subagente de Solivesa. Según consta en los hechos probados de la presente resolución, la alegación debe desestimarse toda vez que consta acreditado que VDF y Vamavi suscribieron contrato directo e independiente (en septiembre de 2019) del suscrito previamente con Solivesa, por lo que en el presente caso Vamavi actuó en calidad de encargada del tratamiento por cuenta y en nombre de VDF en la realización de la llamada al reclamante en fecha 31 enero de 2020. En consecuencia, la realización de la llamada comercial por Vamavi en nombre y por cuenta de VDF (responsable) en fecha 31/01/2020 cuando el reclamante estaba incluido en el listado de exclusión publicitaria Róbinson de Adigital desde el 3/08/2018, es de total responsabilidad de VDF al no haber tenido la diligencia debida en ordenar y asegurarse previamente y durante todo el periodo de ejecución del contrato que su encargado (Vamavi) eliminaba los registros incluidos en el listado de exclusión publicitaria Róbinson de Adigital, conforme dispone el art 28 del RGPD y art. 23 de la LOPDGDD. IV El artículo 24 del RGPD, establece lo siguiente: <Responsabilidad del responsable del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/24 1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2. Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3. La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.> El Informe 0064/2020 del Gabinete Jurídico de la AEPD ha expresado con rotundidad que “El RGPD ha supuesto un cambio de paradigma al abordar la regulación del derecho a la protección de datos personales, que pasa a fundamentarse en el principio de «accountability» o «responsabilidad proactiva» tal y como ha señalado reiteradamente la AEPD (Informe 17/2019, entre otros muchos) y se recoge en la Exposición de motivos de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)”. Sigue diciendo el citado informe que “…los criterios sobre cómo atribuir los diferentes roles siguen siendo los mismos (apartado 11), reitera que se trata de conceptos funcionales, que tienen por objeto asignar responsabilidades de acuerdo con los roles reales de las partes (apartado 12), lo que implica que en la mayoría de los supuestos deba atenderse a las circunstancias del caso concreto (case by case) atendiendo a sus actividades reales en lugar de la designación formal de un actor como "responsable" o "encargado" (por ejemplo, en un contrato), así como de conceptos autónomos, cuya interpretación debe realizarse al amparo de la normativa europea sobre protección de datos personales (apartado 13), y teniendo en cuenta (apartado 24) que la necesidad de una evaluación fáctica también significa que el papel de un responsable del tratamiento no se deriva de la naturaleza de una entidad que está procesando datos sino de sus actividades concretas en un contexto específico…”. Los conceptos de responsable y encargado de tratamiento no son formales, sino funcionales y deben atender al caso concreto. La denominación por parte de VDF de “responsables del tratamiento” a sus colaboradores, no les confiere automáticamente tal condición. El responsable del tratamiento lo es desde el momento que decide los fines y los medios del tratamiento, no perdiendo tal condición el hecho de dejar cierto margen de actuación al encargado del tratamiento o por no tener acceso a las bases de datos del encargado. Así se expresa indubitadamente en las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD -la traducción es nuestra-, “Un responsable del tratamiento es quien determina los propósitos y los medios del tratamiento, es decir, el porqué y el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 cómo del tratamiento. El responsable del tratamiento debe decidir sobre ambos propósitos y medios. Sin embargo, algunos aspectos más prácticos de la implementación ("medios no esenciales") se pueden dejar en manos del encargado del tratamiento. No es necesario que el responsable tenga realmente acceso a los datos que se están tratando para calificarse como responsable”. En el presente caso, consta que VDF es la responsable del tratamiento de datos ahora analizado (llamada al reclamante en fecha ***FECHA.1 realizada por Vamavi en calidad de encargada del tratamiento en nombre y por cuenta de VDF) toda vez que, conforme define el art 4.7 del RGPD, es la entidad que determina la finalidad y medios de los tratamientos realizados en acciones de mercadotecnia directa de la encargada. Por lo que en su condición de responsable del tratamiento está obligada a cumplir con lo dispuesto en el transcrito art 24 del RGPD y, en especial, en cuanto al control efectivo y continuado de “medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento” entre las que se encuentran las dispuestas en el artículo 28 del RGPD en relación con los encargados de los tratamientos que actúan en nombre y por cuenta de VDF. En este sentido, y en relación con la alegación vertida por VDF en su escrito de alegaciones sobre que los responsables de los tratamientos que las entidades encargadas realizan por cuenta y nombre de VDF y, por tanto, aquellas que disponen de sus propios ficheros no actúan en calidad de encargadas sino en calidad de responsables de esos tratamientos, se debe señalar, que en las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD -la traducción es nuestra-,“42. No es necesario que el responsable del tratamiento tenga realmente acceso a los datos que se están procesando. Quien externalice una actividad de tratamiento y, al hacerlo, tenga una influencia determinante en la finalidad y los medios (esenciales) del tratamiento (por ejemplo, ajustando los parámetros de un servicio de tal manera que influya en cuyos datos personales serán tratados), debe ser considerado como responsable aunque nunca tendrá acceso real a los datos”. Recordemos que VDF determina a quién se pueden realizar las llamadas, pues no cabe efectuarlas a quienes ya son clientes de la compañía, amén del filtrado respecto de listas de exclusión publicitaria (Robinson ADigital) o lo que corresponda respecto del ejercicio de oposición (Robinson interno). Asimismo, siguiendo el informe jurídico de la AEPD de fecha 20/11/2019, con referencia interna 0007/2019 y STS 1562/2020 (por todas), hemos de reseñar que se analiza la figura jurídica de encargado del tratamiento desde la perspectiva del RGPD que la regula de forma exclusiva. V El artículo 28 del RGPD, establece lo siguiente: Encargado del tratamiento <1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/24 tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
- a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
- b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
- c)tomará todas las medidas necesarias de conformidad con el artículo 32;
- d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
- e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
- f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
- g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
- h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24 para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
- h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24 La definición de «encargado del tratamiento» incluye una amplia gama de actores, ya sean personas físicas o jurídicas, autoridades públicas, agencias u otros organismos. La existencia de encargado del tratamiento depende de una decisión adoptada por el responsable del tratamiento (VDF), que podrá decidir realizar ella misma determinadas operaciones de tratamiento o contratar la totalidad o parte del tratamiento con un encargado. La esencia de la función de «encargado del tratamiento» es que los datos personales sean tratados en nombre y por cuenta del responsable del tratamiento. En la práctica, es el responsable el que determina la finalidad y los medios, al menos los esenciales, mientras que el encargado del tratamiento tiene una función de prestar servicios a los Responsables del Tratamiento. En otras palabras, «actuando en nombre y por cuenta del responsable del tratamiento» significa que el encargado del tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo una tarea específica y que, por tanto, sigue las instrucciones establecidas por el responsable del tratamiento, al menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado. El artículo 28, apartado 1, del RGPD establece que “Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado”. La obligación prevista en el artículo 28.1 del RGPD -de seleccionar un encargado del tratamiento que ofrezca garantías suficientes para garantizar la aplicación del Reglamento y los derechos y libertades del interesado- no se agota en la actuación previa de selección y contratación de encargado de tratamiento. Esto obliga al responsable del tratamiento a evaluar en todo momento durante la toda la ejecución del contrato si las garantías (técnicas u organizativas) ofrecidas por el encargado del tratamiento son suficientes para garantizar los derechos y libertades de los interesados. Las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD -la traducción es nuestra- disponen, sin lugar a dudas que “97. La obligación de utilizar únicamente los encargados de tratamiento "que proporcionan garantías suficientes" contenidas en el artículo 28, apartado 1, del RGPD es una obligación continua. No termina en el momento en que el responsable y el encargado del tratamiento celebran un contrato u otro acto legal. En su lugar, el responsable debe, a intervalos apropiados, verificar las garantías del encargado, incluso a través de auditorías e inspecciones cuando corresponda”. Y ello, porque el responsable del tratamiento es quien tiene la obligación de garantizar la aplicación de la normativa de protección de datos y la protección de los derechos de los interesados, así como ser capaz de demostrarlo (artículos 5.2, 24, 28 y 32 del RGPD). El control del cumplimiento de la legalidad se extiende durante todo el tratamiento, desde el principio hasta el final. El responsable del tratamiento debe actuar, en cualquier caso, de forma diligente, consciente, comprometida y activa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/24 Ese mandato del legislador es independiente de que el tratamiento lo realice directamente el responsable del tratamiento o de que lo efectúe valiéndose de un encargado del tratamiento. Donde la Ley no distingue, no podemos distinguir nosotros. Además, el tratamiento ejecutado materialmente por un encargado de tratamiento por cuenta del responsable del tratamiento pertenece la esfera de actuación de éste último, de igual forma que si lo realizara directamente él mismo. El encargado de tratamiento, en el supuesto examinado, es una extension del responsable del tratamiento. El responsable del tratamiento tiene la obligación de integrar y desplegar la protección de datos dentro de todo lo que constutiya su organización, en todos sus ámbitos. Se debe de tener muy presente que, en última instancia, la finalidad determinante es la de garantizar la protección del interesado. Interpretarlo en sentido contrario -las obligaciones que el artículo 28 del RGPD impone al responsable del tratamiento se limitan a verificar las capacidades del encargado ab initio y a suscribir el contrato de encargado del tratamiento- no sólo contravendrían la legalidad vigente constituyendo una actuación claramente fraudulenta, sino que violaría el espíritu y finalidad del RGPD. A la luz del principio de responsabilidad proactiva (art 5.2 RGPD), el responsable del tratamiento debe poder demostrar que ha tomado en cuenta todos los elementos previstos en el RGPD. En el presente caso, VDF se ha desentendido de la contratación por la entidad encargada de los tratamientos inicialmente encomendados. El responsable del tratamiento debe tener en cuenta si el encargado del tratamiento aporta documentación adecuada que demuestre dicho cumplimiento, políticas de protección de la intimidad, las políticas de gestión de archivos, las políticas de seguridad de la información, los informes de auditoría externa, las certificaciones, gestión de los ejercicios de derechos … etc. El responsable del tratamiento debe también tener en cuenta los conocimientos técnicos especializados del encargado del tratamiento, la fiabilidad y sus recursos. Solo si el responsable del tratamiento puede demostrar (principio de responsabilidad proactiva del art 5.2 del RGPD) que el encargado del tratamiento es adecuado durante toda la fase del tratamiento (en todo momento) para llevar a cabo el encargo encomendado podrá celebrar un acuerdo vinculante que cumpla los requisitos del artículo 28 del RGPD, sin perjuicio de que el responsable del tratamiento debe seguir cumpliendo el principio de rendición de cuentas y comprobar periódicamente la conformidad del encargado y las medidas en uso. Antes de externalizar un tratamiento y a fin de evitar posibles vulneraciones de derechos y libertades de los afectados, el responsable del tratamiento debe celebrar un contrato, otro acto jurídico o un acuerdo vinculante con la otra entidad que establezca obligaciones claras y precisas en materia de protección de datos (en el presente caso consta contrato de septiembre de 2019 con Vamavi). El encargado del tratamiento solo puede realizar tratamientos sobre las instrucciones documentadas del responsable, a menos que esté obligado a hacerlo por el Derecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24 de la Unión o de un Estado miembro, que no es el caso. El encargado del tratamiento tiene también la obligación de colaborar con el responsable en garantizar los derechos de los interesados y cumplir las obligaciones del responsable del tratamiento de conformidad con lo dispuesto en el citado art 28 del RGPD (y conexos). Por tanto, se insiste, en que el responsable del tratamiento debe establecer modalidades claras para dicha asistencia y dar instrucciones precisas al encargado del tratamiento sobre cómo cumplirlas de forma adecuada y documentarlo previamente a través de un contrato o bien en otro acuerdo (vinculante) y comprobar en todo momento del desarrollo del contrato su cumplimiento en la forma establecida en el mismo. Sin embargo, a pesar de las obligaciones del responsable, el artículo 28 del RGPD parece sugerir que la responsabilidad del encargado del tratamiento sigue siendo limitada en comparación con la responsabilidad del responsable del tratamiento. En otras palabras, aunque los responsables del tratamiento pueden, en principio, ser responsables de los perjuicios derivados de cualquier infracción relacionada con el tratamiento de datos personales (incluidos los que se hayan cometido por el encargado del tratamiento) o el incumplimiento del contrato u otro acuerdo (vinculante) los encargados podrán ser considerados responsables cuando hayan actuado al margen del mandato otorgado por el responsable del tratamiento, o no hayan cumplido sus propias obligaciones contractulaes o con arreglo al RGPD. En estos casos, el encargado del tratamiento puede ser considerado total o parcialmente responsable de la «parte» de la operación de tratamiento en la que participa. Solo será el encargado plenamente responsable cuando sea enteramente responsable de los perjuicios ocasionados en cuanto a los derechos y libertades de los interesados afectados ; todo ello, sin eludir la responsabilidad en la que el responsable del tratamiento haya incurrido a fin de evitarlos. En el presente caso, y conforme al contenido del contrato suscrito la investigada #2 actúa en calidad de encargada toda vez que, con arreglo a la definición, actúan plenamente en nombre y por cuenta del responsable (VDF) a todos lo efectos en materia de protección de datos. Basta con traer a colación el contenido de la ya mencionada STS 1562/2020 (por todas), que señala lo siguiente : << En tal sentido, ya la Sentencia del Tribunal Supremo de 5 de junio de 2004, que confirma, en casación para Unificación de Doctrina, la de esta AN de 16 de octubre de 2003, haciéndose eco de lo argumentado por esta Sala refiere la diferenciación de dos responsables en función de que el poder decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específica. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/24 Con ello, como asimismo argumenta la STS de 26 de Abril de 2005 (casación para unificación de doctrina 217/2004 ), el legislador español pretende adaptarse a las exigencias de la Directiva 95/46/CE, que tiene como objetivo dar respuesta legal al fenómeno, que cada vez es más frecuente, de la llamada externalización de los servicios informáticos, donde actúan múltiples operadores, muchos de ellos insolventes, creados con el objetivo de buscar la impunidad o irresponsabilidad de los que le siguen en los eslabones siguientes de la cadena. En la actualidad, el nuevo Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (por el que se deroga la Directiva 95/46/CE, y de aplicación directa a partir del 25 de mayo de 2018) distingue asimismo entre las figuras del responsable y del encargado del tratamiento. La primera se define en el apartado 7) del artículo 4 como " persona física o jurídica (...) que determine los fines y medios del tratamiento" . Y el encargado de tratamiento en el apartado 8) del mismo artículo 4 como aquel que "trate datos personales por cuenta del responsable del tratamiento". Ello en relación con los Artículos 24 y 28 del mismo Reglamento Europeo de Protección de Datos. Responsable y encargado del tratamiento de datos que, sin lugar a dudas, resultan asimismo responsables de las infracciones en materia de protección de datos, en tal nuevo marco normativo, de conformidad con lo previsto en el artículo 82.2 del repetido Reglamento (UE) 2016/679 a cuyo tenor: « Cualquier responsable que participe en la operación de tratamiento responderá de los daños y perjuicios causados en caso de que dicha operación no cumpla lo dispuesto por el presente Reglamento. Un encargado únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del presente Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable ». Se desprende de todo lo anterior que la concurrencia, en el presente supuesto, de un encargado del tratamiento ZZZZ en absoluto exime de responsabilidad a la entidad XXXX ahora recurrente, y ello a pesar de la contundencia de las cláusulas que figuran en el contrato y anexo al mismo firmados por ambas compañías (hechos probados 9 y 10) en cuanto los datos personales tratados lo fueron con la finalidad de llevar a cabo una campaña publicitaria respecto de seguros de coche y moto que comercializaba la (XXXX), en definitiva en beneficio de dicha XXXX, siendo tal entidad actora la que, en último termino, determina los fines y medios del repetido tratamiento de datos, por lo que la misma no puede ser exonerada de responsabilidad.>> Continua la STS, en relación con la posible exoneración de responsabilidad alegada en cuanto a lo suscrito en el contrato de «encargado del tratamiento», lo siguiente : << La conducta sancionada de obstaculización o impedimento por XXXX del ejercicio por su cliente del derecho de oposición al tratamiento de sus datos, se manifiesta en que dicha sociedad no adoptó ninguna clase de medida o de cautela para evitar el envío de publicidad a las direcciones de correo electrónico de su cliente por parte de aquellas empresas a las que encomendó la realización de las campañas publicitarias. La adopción de las medidas o cautelas necesarias para asegurar la efectividad del derecho de oposición al tratamiento de sus datos por parte de XXXX, como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/24 responsable del fichero, subsisten aunque las campañas publicitarias no se realicen a partir de los datos de sus propios ficheros, sino con bases de datos de otras compañías contratadas por XXXX, y en este caso quedó acreditado que la recurrente no comunicó a las empresas con las que contrató la realización de servicios de publicidad la oposición del denunciante a recibir publicidad de la Mutua, ni en definitiva adoptó previsión alguna para asegurar la exclusión de su cliente de los envíos publicitarios contratados con terceras entidades >> y como en el presente caso, resultando la línea llamada incluida en los listados de exclusión publicitaria desde el 3/08/2018. En consecuencia, se debe concluir que el tratamiento analizado en los antecedentes en sus diversas modalidades por el encargado, el responsable del tratamiento es Vodafone España, S.A.U. (VDF) y actuando en calidad de encargado aquella otra entidad que actúa en nombre y por cuenta de VDF y en beneficio de esta (Vamavi). De la documentación que obra en el expediente a la que se hace mención en la presente resolución a partir de la información recabada por la Inspección de esta AEPD y propios actos y manifestaciones de VDF, se acredita el incumplimiento por VDF como responsable de los tratamientos encomendados del control efectivo y continuado en el tiempo de las medidas dispuestas en el arriba transcrito art 28 del RGPD. Al respecto, añadir que la obligación dispuesta en el art 28.3.
- h)RGPD, utilizando en el inicio el término imperativo «pondrá» referido al encargado del tratamiento, genera la obligación de «exigir» al responsable « el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable.” Así, consta que los encargados del tratamiento (y en su caso sucesivos subencargados) que actúan en nombre y por cuenta de VDF no ofrecen las garantías suficientes para aplicar las medidas técnicas y organizativas apropiadas al tratamiento encargado por VDF. Y tampoco constan debidamente documentadas por VDF las tareas encomendadas que llevan a cabo los tratamientos en nombre y por cuenta del responsable (VDF). VDF, como responsable del tratamiento, desconoce en que condiciones contrata a un encargado para actuar por su cuenta y nombre y bajo sus especificaciones concretas -que no existen en cuanto al cruce y exclusión de lineas llamadas incluidas previamente en robinson Adigital- y acepta en estas condiciones y sin reparos esta conducta aún teniendo conocimiento de esta anomalía. Nada consta en la relación entre VDF y encargados respecto a los requisitos enumerados en el art 28.3 arriba citado que, en resumen, se concretan en definir previamente por el responsable del tratamiento (VDF) el objeto, duración, naturaleza, finalidad, tipos de datos, categorías, obligaciones y derechos de los interesados, y facultades obligatorias de control continuo … etc. Tan sólo en ocasiones puntuales se cita haber comunicado informalmente unas u otras pautas concretas de actuación sin que ello implique control efectivo alguno de VDF con los tratamientos encomendados por su cuenta y en su nombre. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/24 Por lo tanto, el incumplimiento de la normativa sobre protección de datos debe ser imputada también, y en primer lugar, al responsable del tratamiento (VDF) al no actuar de forma clara, activa y eficaz en estipular y hacer efectivas las especificaciones oportunas para llevar a cabo adecuadamente en el tiempo el tratamiento encomendado en su nombre. Lo anterior, sin perjuicio de la responsabilidades en las que hayan incurrido las entidades encargadas y subencragadas de los tratamientos que deberán dirimirse en otros procedimientos, que a la fecha ya han sido resueltos. En consecuencia, no consta que VDF haya realizado un seguimiento continuo durante todo el ciclo de ejecución de los tratamientos encargados a pesar de las numerosas reclamaciones conocidas e investigaciones en curso llevadas a cabo por AEPD y de las que VDF tiene pleno conocimiento VI Art 23 LOPDGDD. Artículo 23. Sistemas de exclusión publicitaria. <<1. Será lícito el tratamiento de datos personales que tenga por objeto evitar el envío de comunicaciones comerciales a quienes hubiesen manifestado su negativa u oposición a recibirlas. A tal efecto, podrán crearse sistemas de información, generales o sectoriales, en los que solo se incluirán los datos imprescindibles para identificar a los afectados. Estos sistemas también podrán incluir servicios de preferencia, mediante los cuales los afectados limiten la recepción de comunicaciones comerciales a las procedentes de determinadas empresas. 2. Las entidades responsables de los sistemas de exclusión publicitaria comunicarán a la autoridad de control competente su creación, su carácter general o sectorial, así como el modo en que los afectados pueden incorporarse a los mismos y, en su caso, hacer valer sus preferencias. La autoridad de control competente hará pública en su sede electrónica una relación de los sistemas de esta naturaleza que le fueran comunicados, incorporando la información mencionada en el párrafo anterior. A tal efecto, la autoridad de control competente a la que se haya comunicado la creación del sistema lo pondrá en conocimiento de las restantes autoridades de control para su publicación por todas ellas. 3. Cuando un afectado manifieste a un responsable su deseo de que sus datos no sean tratados para la remisión de comunicaciones comerciales, este deberá informarle de los sistemas de exclusión publicitaria existentes, pudiendo remitirse a la información publicada por la autoridad de control competente. 4. Quienes pretendan realizar comunicaciones de mercadotecnia directa, deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuación, excluyendo del tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa al mismo. A estos efectos, para considerar cumplida la obligación anterior será suficiente la consulta de los sistemas de exclusión incluidos en la relación publicada por la autoridad de control competente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/24 No será necesario realizar la consulta a la que se refiere el párrafo anterior cuando el afectado hubiera prestado, conforme a lo dispuesto en esta ley orgánica, su consentimiento para recibir la comunicación a quien pretenda realizarla.>> VII Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;”
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. VIII Por lo tanto, VDF en calidad de responsable de los tratamientos llevados por cuenta y en su nombre y de conformidad con las evidencias de las que se dispone en el presente momento, se considera que los hechos expuestos incumplen lo establecido en el artículo 28, con el alcance expresado en los Fundamentos de Derecho anteriores, y suponen la comisión de una infracción tipificada en el artículo 83.4.
- a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: El artículo 83.4.
- a)del RGPD, establece lo siguiente: <4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; …>. Artículo 71 de la LOPDGDD. Infracciones. Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica. El artículo 73 apartado
- p)de la LOPDGDD, establecen lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/24 <Infracciones consideradas graves. En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- p)El tratamiento de datos personales sin llevar a cabo una previa valoración de los elementos mencionados en el artículo 28 de esta ley orgánica.> De conformidad con las evidencias de las que se dispone, los hechos constituyen infracción del art. 28 en relación con el art 24 del RGPD, infracción tipificada en el art. 83.4.
- a)de dicha norma y considerada grave a efectos de prescripción en el art. 73 apartado
- p)de la LOPDGDD. IX En el presente caso, la reclamada, en calidad de responsable del tratamiento de datos personales ahora imputado, no ha acreditado llevar a cabo con sus obligaciones ni la debida diligencia a la que está obligada conforme señala el art 28 y 24 del RGPD en el seguimiento y control sucesivo y permanente durante todo el ciclo completo del tratamiento de los servicios encargados con la entidad encargada del tratamiento (Vamavi), lo que ha dado lugar a la vulneración de derechos y libertades del reclamante. X A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/24
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. Por su parte, en relación con el art 83.2.
- k)RGPD, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: <1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679. 4. Será objeto de publicación en el Boletín Oficial del Estado la información que identifique al infractor, la infracción cometida y el importe de la sanción impuesta cuando la autoridad competente sea la Agencia Española de Protección de Datos, la sanción fuese superior a un millón de euros y el infractor sea una persona jurídica. Cuando la autoridad competente para imponer la sanción sea una autoridad autonómica de protección de datos, se estará a su normativa de aplicación>. De acuerdo con los preceptos transcritos, y derivado de la instrucción del procedimiento a efectos de fijar el importe de la sanción por infracción del art 28 del RGPD a VDF como responsable de la citada infracción tipificada en el artículo 83.4.
- a)del RGPD, procede graduar la multa que corresponde imponer como sigue: Infracción por incumplimiento de lo establecido en el artículo 28 en relación con el 24 del RGPD, tipificada en el artículo 83.4.
- a)y calificada como grave a efectos de prescripción en el artículo 73, apartados
- p)de la LOPDGDD: Se estiman agravantes concurrentes los criterios de graduación siguientes, según artículo 83.2 del RGPD y 76 de la LOPDGDD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/24 Art. 76.1.
- b)LOPDGDD. La alta vinculación de la actividad del infractor con la realización de tratamientos de datos personales. Consta conocido que VDF es una entidad con más de quince millones de clientes cuyos datos personales son tratados de forma sistemática en el ejercicio de sus atribuciones como una de las principales operadoras de telecomunicaciones. Art. 83.1 y 83.2.
- k)y RGPD. La condición de gran empresa de la entidad responsable y su volumen de negocio (según el informe de cuentas anual auditado correspondiente al periodo de marzo 2018 a marzo 2019, más 1.600 millones de euros de cifra de negocio y con más de 4.000 empleados). Art. 83.2.
- b)RGPD. La entidad reclamada no tiene implantados procedimientos adecuados de actuación en la contratación y seguimiento continuo, permanente y efectivo durante toda la vigencia de contrato con los encargados del tratamiento de modo que la infracción no es consecuencia de una anomalía puntual en el funcionamiento de dichos procedimientos sino un defecto persistente y continuado del sistema de gestión de los datos personales diseñado por la responsable en cuanto a los tratamientos delegados a los encargados de los mismos, que denota una negligencia grave. Art. 83.2.
- e)Toda infracción anterior: Constan en esta AEPD más de cincuenta procedimientos sancionadores finalizados en los dos últimos años. Considerando los factores expuestos, y teniendo en cuenta el rango de la sanción posible de hasta 10 millones de euros, la valoración de la cuantía de la multa por la infracción imputada es de 100.000 € (cien mil euros), resultando en el presente caso adecuada al ser proporcional, efectiva y disuasoria (art 83.1 RGPD). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a VODAFONE ESPAÑA, S.A.U., con CIF A80907397, por una infracción del Artículo 28 del RGPD, tipificada en el Artículo 83.4 del RGPD, una multa de 100.000 euros (cien mil euros). SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/24 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es