← España

PS-00048-2025

1/22  Expediente N.º: EXP202311107 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 23/06/2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por la que se han conocido hechos que podrían ser constitutivos de una posible infracción imputable a B3C CONSULTORÍA DE SERVICIOS 2010 S.L. con NIF B42880484 (en adelante, B3C). Con fechas 21/07/2023 y 24/07/2023 se aportó documentación adicional en relación con dicha reclamación. Los hechos que se pusieron en conocimiento de esta autoridad son los siguientes: La parte reclamante tenía un contrato de telefonía en el que la empresa AIRE NETWORKS DEL MEDITERRÁNEO, S.L.U. (en adelante, AIRE NETWORKS) era la operadora y la empresa ADENET SYSTEMS, S.L. (en adelante, ADENET) se encargaba de la facturación y el cobro. Sin embargo, a partir de noviembre de 2022, sus facturas pasan a ser emitidas por la empresa TELCO & HOSTING, S.L.U. (en adelante, TELCO). En relación con dicho cambio afirma lo siguiente: “hasta donde he podido saber por gestiones telefónicas, actualmente AIRE NETWORKS DEL MEDITERRÁNEO, S.L. UNIPERSONAL ha cedido la cesión de cobro a favor de B3C CONSULTORÍA DE SERVICIOS 2010, S.L en detrimento de la empresa con la cual contraté ADENET SYSTEMS, S.L., sin mi consentimiento como cliente ya que el contrato lo tengo firmado con la mercantil ADENET SYSTEMS, S.L.” Junto con la reclamación consta la siguiente documentación: - Contrato con número C154338 firmado el 19/07/2016 entre la reclamante y ADENET, con la tarifa denominada “SIETEVOZ CRISTAL”. En relación con dicho contrato, cabe destacar que al mismo se acompaña una solicitud de portabilidad en cuyas cláusulas se especifica, como condiciones para el cliente (la reclamante): “1. Darse previamente de alta con Aire Networks del Mediterráneo, S.L.U., en adelante el Operador, mediante la suscripción del correspondiente contrato de prestación de servicios”. - Relación de facturas correspondientes a cuatro números de teléfono: ***TELÉFONO.1, ***TELÉFONO.2, ***TELÉFONO.3 y ***TELÉFONO.4. El C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/22 número, fecha, periodo de facturación y empresa que emite cada una de las facturas aportadas son los siguientes: Nº factura (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) Fecha factura 01/08/2022 01/09/2022 01/10/2022 01/11/2022 01/12/2022 01/01/2023 01/02/2023 01/03/2023 01/04/2023 01/05/2023 01/06/2023 01/07/2023 Periodo facturado 01/07/2022 - 31/07/2022 01/08/2022 - 31/08/2022 01/09/2022 - 30/09/2022 01/10/2022 - 31/10/2022 01/11/2022 - 30/11/2022 01/12/2022 - 31/12/2022 01/01/2023 - 31/01/2023 01/02/2023 - 28/02/2023 01/03/2023 - 31/03/2023 01/04/2023 - 30/04/2023 01/05/2023 - 31/05/2023 01/06/2023 - 30/06/2023 Emisor ADENET ADENET ADENET TELCO TELCO TELCO TELCO TELCO TELCO TELCO TELCO TELCO - Respuestas de Registros de Numeración y Operadores de Telecomunicaciones, de la Comisión Nacional de los Mercados y la Competencia (en adelante, CNMC), a consultas de la parte reclamada, en las que se informa de que los números objeto de su contrato (citados en el punto anterior) corresponden al operador AIRE NETWORKS. - Copia de la denuncia de la reclamante ante la CNMC por los mismos hechos objeto de esta reclamación. - Copia de los correos electrónicos enviados por la reclamante, con fecha 07/07/2023 y 11/07/2023, a la dirección ***EMAIL.1, solicitando el contrato correspondiente a las líneas ***TELÉFONO.1 y ***TELÉFONO.2. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se dio traslado de dicha reclamación a ADENET, TELCO, B3C y AIRE NETWORKS, para que procediesen a su análisis e informasen a esta Agencia, en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se recibió respuesta a dicho traslado por parte de ADENET, TELCO ni B3C. El 13/09/2023 se recibió respuesta de AIRE NETWORKS, en la que comunica lo siguiente: AIRE NETWORKS señalaba que es un operador mayorista que presta servicios a través de agentes comercializadores. En lo que afecta a la protección de datos de sus clientes, AIRE NETWORKS afirmaba que actúa como responsable y sus agentes comercializadores como encargados del tratamiento, dejando constancia de ello en los contratos suscritos con sus agentes comercializadores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/22 En ese marco, con fecha 14/10/2013 suscribió un contrato con ADENET, en base al cual esta empresa asumía la facturación y el cobro del servicio “Telefonía Móvil operador.es Mod. II marca blanca” y que se comercializaría con la marca “SIETEVOZ” (servicio coincidente con el que la reclamante suscribió con ADENET en fecha 19/07/2016). AIRE NETWORKS aportó copia de dicho contrato con ADENET (que, a efectos del contrato, es denominado “OPERADOR”). De las cláusulas de dicho contrato cabe destacar las siguientes, por ser relevantes para este procedimiento: “9.3. El OPERADOR informará al Usuario, a través del contrato de uso de los Servicios de Telecomunicaciones, que los datos de carácter personal que se faciliten a AIRE NETWORKS se incorporarán a un fichero automatizado de datos de carácter personal conservado por AIRE NETWORKS con la finalidad de asegurar la mejor prestación de los Servicios de Telecomunicaciones”. “13.2. De acuerdo con lo expresado en el artículo 12 de la Ley Orgánica 15/1999, de 15 de diciembre, de Protección de Datos de Carácter Personal, no será considerado comunicación de datos el acceso por el OPERADOR a los datos de carácter personal de AIRE NETWORKS, ya que dicho acceso, y el correspondiente tratamiento, es necesario para realizar la prestación del servicio contratado. Es por ello que, a todos los efectos de normativa de protección de datos, el OPERADOR será considerada como “encargado del tratamiento” de los datos de la entidad AIRE NETWORKS DEL MEDITERRÁNEO, S.L.U. y, de acuerdo con ello, se establece expresamente que el OPERADOR únicamente tratará los datos conforme a las instrucciones de AIRE NETWORKS, expresadas en el presente contrato, que no los utilizará con fin distinto al que figura en lo pactado entre las partes, ni los comunicará a otras personas, debiendo informar a AIRE NETWORKS de las actualizaciones de los mismos”. De acuerdo con AIRE NETWORKS, el 18/11/2022 se firmó, con la autorización de AIRE NETWORKS, un contrato de cambio de titularidad entre las empresas ADENET y B3C, mediante el cual se acordaba la cesión de una serie de contratos, entre ellos mencionado anteriormente, así como la cesión de retribuciones en relación con los clientes. AIRE NETWORKS aporta copia de dicho contrato. En la cláusula quinta del contrato aportado por AIRE NETWORKS las partes acuerdan lo siguiente: “QUINTO. Que ADENET en su calidad de encargado del Tratamiento según el Reglamento General de Protección de Datos en sus artículos 13 y 14 cumplirá con el deber de informar a todos los clientes indicados en el Anexo I en un plazo máximo de 72 horas del cambio de competencias de refacturación y atención al cliente a B3C CONSULTORÍA que actuará en calidad de encargado del tratamiento”. En el anexo I se relacionan cuatro contratos, entre ellos el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/22 “Servicio: ***SERVICIO.1 Nº Contrato relacionado: 13108230 Fecha Contrato: 14/10/2013 Fecha activación: 27/11/2013” De acuerdo con AIRE NETWORKS: “en fecha de 24 de noviembre de 2022, como consecuencia del contrato mencionado anteriormente se procede por parte de nuestra empresa a regularizar la nueva relación jurídica con ***EMPRESA.1 mediante la firma del Contrato de “***SERVICIO.1” (Contrato n.º (...)) (…) en las mismas condiciones y obligaciones que se había firmado originariamente entre Aire Networks y ADENET”. AIRE NETWORKS aportó copia de dicho contrato. En la primera página de dicho contrato figura como cliente B3C y como servicio contratado “***SERVICIO.1”, indicando que “este contrato se comercializará bajo la marca de sietevoz”. De dicho contrato cabe destacar, en lo que afecta al presente procedimiento, las siguientes cláusulas: “9.3. El OPERADOR (en el contrato se refiere a B3C) informará al Usuario, a través del contrato de uso de los Servicios de Telecomunicaciones, que los datos de carácter personal que se faciliten a AIRE NETWORKS serán tratados por AIRE NETWORKS con la finalidad de asegurar la mejor prestación de los Servicios de Telecomunicaciones”. “11.1. El presente contrato no podrá ser cedido, en todo o en parte, por ninguna de las partes, sin el previo consentimiento escrito de la otra parte”. “13.1. El OPERADOR y todo su personal se obliga a: (…)

  1. e)Subcontratación: No subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato que comporten el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el normal funcionamiento de los servicios de AIRE NETWORKS. Si fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito a AIRE NETWORKS indicando los tratamientos que se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto”. AIRE NETWORKS afirmaba que no le consta que la empresa TELCO figure como cliente de AIRE NETWORKS, pues no es uno de sus agentes comercializadores, que de acuerdo con sus registros las líneas de teléfono ***TELÉFONO.1 y ***TELÉFONO.2 están asociadas al agente comercializador B3C y que no tiene constancia de ningún acuerdo entre B3C y TELCO. De acuerdo con lo anterior, afirmaba AIRE NETWORKS que por su parte no ha habido una cesión de datos personales de la reclamante ni tampoco una sustitución de operador, sino la continuación de un tratamiento en el marco del cual hay un cambio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/22 del agente comercializador (que pasa de ser ADENET a B3C) y, por tanto, de encargado del tratamiento. En cuanto a la información a la reclamante, afirmaba AIRE NETWORKS que, de acuerdo con los contratos antes citados, correspondía a ADENET informar a los clientes (entre ellos la reclamante), del cambio en el encargado del tratamiento (de ADENET a B3C). En relación con TELCO, reiteraba que no le constaba ninguna comunicación respecto de dicha empresa, por lo que de haber una subcontratación por parte de B3C con dicha empresa, supondría un incumplimiento de la cláusula 13.1.
  2. e)del contrato entre AIRE NETWORKS y B3C, que obliga a contar para ello con la autorización de AIRE NETWORKS. Por ello, concluía que correspondería, en su caso, a ADENET acreditar que realizó la comunicación del cambio a los clientes y a B3C aclarar su vínculo con TELCO. TERCERO: Con fecha 23/09/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: El 04/10/2023 la parte reclamante presentó como documentación adicional la impresión de un correo electrónico que habría sido enviado desde la dirección ***EMAIL.2 a las direcciones ***EMAIL.3 y ***EMAIL.4. En este documento se lee que la empresa TELCO informa de que no se han abonado las facturas adjuntas al mismo (que no constan en la documentación que aporta la reclamante), que el impago se alarga tres meses y que, de no regularizar la situación en 72 horas procederán a la suspensión del servicio. En el mismo documento figura una impresión de un reenvío del correo anterior, desde la dirección ***EMAIL.3 a las direcciones ***EMAIL.4 y ***EMAIL.5, indicando que se ha recibido ese correo cuando no era el destinatario correcto. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII de la LOPDGDD. En el marco de dichas actuaciones se requirió información adicional a las cuatro empresas mencionadas en los antecedentes, habiéndose recibido respuestas a dichos requerimientos por parte de B3C y de AIRE NETWORKS. En su respuesta al requerimiento, B3C comunicó lo siguiente: En primer lugar, afirmó que existe un abuso de derecho en la reclamación, (…). En relación con el vínculo contractual entre B3C y AIRE NETWORKS, B3C manifestó lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/22 “La mercantil ADENET SYSTEM S.L, y ante la situación económica por la que pasaba, procedió, tras un periodo de pérdidas, a la venta de los activos de la empresa, entre los cuales se encontraba el fondo de comercio constituido por los clientes a los que suministraba telefonía, que previamente adquiriera a la mercantil AIRE NETWORKS. La venta de este fondo de comercio se hizo a la mercantil TELCO & HOSTING., Acuerdo comercial que se hizo aproximadamente a finales de agosto/septiembre del año 2022. Copia del referido contrato, se ha solicitado a las mercantiles implicadas, sin que al día de la fecha se pueda aportar, si bien por otrosí se solicitará una prorroga prudencial a los efectos oportunos para su aportación. De la existencia de este contrato tiene conocimiento esta parte requerida, por cuanto en su condición de consultoría de servicios, tiene su cartera a ambas empresas como clientes. Posteriormente, TELCO va a formular contrato de suministro de telefonía con AIRE NETWARE, pero previo el análisis económico de esta última hace de la anterior, y partiendo de una supuesta de insuficiencia de garantía para pago de la facturación mensual que la mercantil AIRE NETWOKS proporcionare a TELCO, se exige por AIRE NETWORKS, un garante en el pago por lo cual se formula el contrato acuerdo comercial entre B3C CONSULTORÍA DE SERVICIOS Y AIRE NETWORKS.” En cuanto a la relación de B3C con la reclamante, B3C indicó lo siguiente: “En ningún caso A.A.A. ha sido clienta de la mercantil requerida, pues como antes hemos referido B3C consultoría exclusivamente es garante del pago de la prestación de servicios que AIRE NETWARE realiza a TELCO HOSTING lo que motiva la relación comercial de la empresa requerida con TELCO HOSTING.” En cuanto a la comunicación a los clientes del cambio de empresa comercializadora, B3C afirmó que le consta una comunicación por correo electrónico de fecha 21/10/2022 de ADENET a todos los clientes que pasaron de ADENET a TELCO. B3C aportó la impresión de un correo electrónico con fecha 21/10/2022, que habría sido enviado desde la dirección ***EMAIL.2, figurando como en “para:” la misma dirección, sin que consten en la copia otros destinatarios. Como texto del correo se puede leer lo siguiente: “ESTIMADO CLIENTE., De acuerdo con las conversaciones telefónicas mantenida con ustedes, por la presente le participamos que desde el pasado 01 de Octubre de 2022, los servicios contratados le vienes siendo prestados por la mercantil TELCO & HOSTING S.L, de los que usted ya viene disfrutando desde el pasado día 01 de Octubre de 2022. En los próximos días se le informará de nuevos servicios que mejoraran notablemente las prestaciones que usted recibe y que usted podrá suscribir si lo considera de su interés.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/22 Por último, B3C afirmó no haber mantenido contacto con la reclamante por entender que no es su cliente. No obstante, adjunta facturas de septiembre y agosto de 2023, que afirma que están impagadas por la reclamante, en las que consta que tiene designado el correo de su esposo para comunicaciones. Asimismo, adjunta impresión de un correo electrónico que se habría remitido desde la dirección ***EMAIL.2 a la reclamante, con fecha 21/09/2023, en el que se le informa del impago de dos facturas. En base a esta información, B3C afirma que dicho impago podría ser la causa de la reclamación. B3C aportó copia de la primera página de un acuerdo comercial suscrito entre AIRE NETWORKS y B3C, de fecha 07/03/2023, en el que consta que ambas partes suscribieron un contrato con número (...) y que modifican determinadas condiciones económica del mismo. En las dos cláusulas que figuran en la documentación enviada, se hace mención a las modificaciones realizadas (relativas a las condiciones económicas del contrato) y a que en lo no modificado el contrato anterior sigue vigente. Por último, en su respuesta al requerimiento B3C no aportó copia del contrato que le vincula a TELCO, solicitando una prórroga del plazo para presentarlo, sin que haya sido presentado posteriormente. B3C tampoco ha aportado documentación relativa a la relación de “garante del pago de la prestación de servicios que AIRE NETWARE realiza a TELCO HOSTING”, que alega en su escrito de respuesta al requerimiento. Por su parte, AIRE NETWORKS informó lo siguiente en su respuesta al requerimiento: En primer lugar, manifestó que la información facilitada por B3C no se corresponde con la realidad. Reiteró lo que comunicó en su respuesta al traslado de la reclamación, en el sentido de que, en relación con el tratamiento correspondiente a la línea de la reclamante, el encargado fue ADENET desde 01/10/2013 y B3C a partir del 23/11/2023, como se desprende de los contratos que aporta con ambas empresas. Por otro lado, hizo hincapié en que el apoderado de las tres empresas (ADENET, B3C y TELCO) es la misma persona: B.B.B.. Afirmaba que, en contra de lo que manifiesta B3C, AIRE NETWORKS no ha vendido ningún fondo de clientes ni a ADENET ni a B3C, sino que ha suscrito sendos contratos con dichas empresas como agentes comercializadores de AIRE NETWORKS, reiterando las alegaciones y documentación aportadas como respuesta al traslado de la reclamación. Por otro lado, AIRE NETWORKS hizo mención a la afirmación de B3C según la cual: “TELCO & HOSTING suscribe un contrato de suministro de telefonía con AIRE NETWORKS, y para ello se exige un garante en el pago por lo cual se formula C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/22 un contrato acuerdo comercial entre B3C CONSULTORÍA DE SERVICIOS y AIRE NETWORKS”. Al respecto, AIRE NETWORKS manifestó que TELCO suscribió con AIRE NETWORKS un "CONTRATO DE COMERCIALIZACIÓN DE TELEFONÍA MÓVIL PARA OPERADORES" con fecha de 22/02/2024. No obstante, señaló que dicha fecha de firma es posterior al contrato suscrito entre AIRE NETWORKS y B3C y también posterior a la reclamación (de fecha 23/06/2024). Por ello, concluía que hubo un periodo de tiempo durante el cual TELCO emitió facturas por el servicio objeto de la reclamación sin que AIRE NETWORKS tuviera conocimiento de ello y sin que dicha facturación estuviera amparada por una relación contractual entre TELCO y AIRE NETWORKS. En cuanto a la comunicación del cambio de encargado a los usuarios del servicio (entre ellos la reclamante), AIRE NETWORKS reiteraba lo manifestado en su respuesta al traslado de la reclamación, indicando que, de acuerdo con la cláusula quinta del contrato de cambio de titularidad suscrito entre ADENET y B3C el 18/11/2024, correspondía a ADENET hacer esa comunicación. SEXTO: Con fecha 11/03/2025 la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra B3C, por la presunta infracción de los artículos 28.2 (pues B3C, en cuanto encargado del tratamiento, no contaría con la autorización de AIRE NETWORKS, como responsable del tratamiento, para contratar a TELCO como subencargado) y 28.4 (pues no constaría que B3C haya impuesto a TELCO las obligaciones impuestas por AIRE NETWORKS, como responsable del tratamiento, mediante contrato u otro acto jurídico) del RGPD, tipificadas en el artículo 83.4 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
  3. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, las infracciones del RGPD atribuidas a B3C y la sanción que podría imponerse. Por ello, tomando en consideración que B3C no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  4. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. OCTAVO: De acuerdo con el informe recogido de la herramienta AXESOR, de fecha 29/01/2025, según diligencia que consta en el expediente, la entidad B3C es una empresa constituida en el año 2021, con un volumen de negocios de 21.500 euros en el año 2021, último ejercicio del que se dispone información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/22 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Con fecha 14/10/2013, AIRE NETWORKS y ADENET suscribieron un contrato en base al cual ADENET asume la comercialización, facturación y cobro del servicio “Telefonía Móvil operadores Mod. II marca blanca” de AIRE NETWORKS, a través de la marca “SIETEVOZ”, en el que se especifica que AIRE NETWORKS es responsable del tratamiento de los datos de los clientes y ADENET el encargado. SEGUNDO: Con fecha 19/07/2016 la parte reclamante contrató con ADENET el servicio “Telefonía Móvil operadores Mod. II marca blanca” con la marca SIETEVOZ”. TERCERO: Con fecha 18/11/2022 ADENET y B3C suscribieron un contrato por el que la primera cede a la segunda una serie de contratos, entre ellos, el citado contrato de 14/10/2023 entre AIRE NETWORKS y ADENET, relativo al servicio “Telefonía Móvil operadores Mod. II marca blanca” con la marca “SIETEVOZ”. En la cláusula quinta de dicho contrato se menciona expresamente que B3C “actuará en calidad de encargado del tratamiento”. CUARTO: Con fecha 24/11/2022 AIRE NETWORKS y B3C suscribieron un contrato que regula la relación entre ambas empresas en relación con el servicio objeto de este procedimiento (“***SERVICIO.1”, con la marca “SIETEVOZ”). Dicho contrato entró en vigor, según su cláusula cuarta, en el momento de la firma: el 24/11/2022. La cláusula decimoprimera establece que el contrato no podrá ser cedido por ninguna de las partes sin previo consentimiento por escrito de la otra. La cláusula decimotercera establece previsiones sobre subcontratación y “subencargos”. QUINTO: Con fechas 01/08/2022, 01/09/2022 y 01/10/2022, la parte reclamante recibió facturas relativas al servicio “SIETEVOZ”, correspondientes a los números ***TELÉFONO.1, ***TELÉFONO.2, ***TELÉFONO.3 y ***TELÉFONO.4, emitidas por ADENET. SEXTO: Con fechas 01/11/2022, 01/12/2022, 01/01/2023, 01/02/2023, 01/03/2023, 01/04/2023, 01/05/2023, 01/06/2023 y 01/07/2023 la parte reclamante recibió facturas relativas al servicio “SIETEVOZ”, correspondientes a los números ***TELÉFONO.1, ***TELÉFONO.2, ***TELÉFONO.3 y ***TELÉFONO.4, emitidas por TELCO. SÉPTIMO: El 03/10/2023 la parte reclamante recibió un correo electrónico enviado desde la dirección ***EMAIL.2 a las direcciones ***EMAIL.3 y ***EMAIL.4 en el que TELCO informa de que no se han abonado las facturas adjuntas al mismo (que no constan en la documentación que aporta la reclamante), que el impago se alarga tres meses y que, de no regularizar la situación en 72 horas procederán a la suspensión del servicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/22 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. En el presente caso, consta la realización de un tratamiento de datos personales, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, toda vez que se realiza, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/22 entre otros tratamientos, la recogida, conservación y comunicación de datos de personas físicas (nombre y apellidos, número de documentos identificativos, datos de contacto y datos bancarios) con la finalidad de prestar un servicio de telefonía. Dicho tratamiento se realiza en el marco de un contrato entre AIRE NETWORKS, como operador mayorista que presta el servicio, y las empresas que se encargan de la comercialización de los productos que ofrece, una de las cuales sería B3C. El tratamiento está reflejado en los contratos que constan como HECHOS PROBADOS. Las operaciones de tratamiento que se describen en los contratos, en síntesis, serían las siguientes: las comercializadoras recogen, en el momento de la firma del contrato de telefonía, los datos de los clientes (nombre y apellidos, número de documentos identificativos, datos de contacto y datos bancarios), que comunican a AIRE NETWORKS. Esta empresa trata dichos datos en relación con la prestación del servicio de telefonía y los comunica de nuevo a las empresas comercializadoras añadiendo los datos sobre consumo. A partir de los datos de consumo, las empresas comercializadoras elaboran las facturas del servicio que se remitirían a cada cliente. En particular, en la relación entre la empresa AIRE NETWORKS y B3C (que se analiza más adelante), el tratamiento está descrito en las cláusulas segunda, tercera, quinta, sexta y octava del contrato entre AIRE NETWORKS y B3C, de fecha 24/11/2022, que regula la relación entre ambas empresas en relación con el servicio objeto de este procedimiento (“***SERVICIO.1”, con la marca “SIETEVOZ”). Como ha quedado detallado en los antecedentes, en el expediente constan cuatro contratos que son relevantes para el presente procedimiento: - Contrato entre AIRE NETWORKS y ADENET, de fecha 14/10/2013, en base al cual ADENET asume la comercialización, facturación y cobro del servicio “Telefonía Móvil operadores Mod. II marca blanca a través de la marca “SIETEVOZ”. En lo que afecta a la protección de datos de los clientes dicho servicio, en dicho contrato se especifica que AIRE NETWORKS es responsable del tratamiento y ADENET encargado del tratamiento - Contrato entre la parte reclamante y ADENET, de fecha 19/07/2016, en el que la parte reclamante contrata el servicio mencionado en el contrato anterior (“SIETEVOZ”). Cabe entender por tanto que, a partir de la formalización de este contrato, los datos personales de la parte reclamante son objeto de un tratamiento del que AIRE NETWORKS es responsable y ADENET encargado. En este contrato figuran nombre y apellidos, datos de contacto y datos bancarios. A estos datos habría que añadir, como parte del tratamiento, los datos sobre llamadas y consumo objeto del servicio. - Contrato entre ADENET y B3C, de fecha 18/11/2022, que tiene por objeto la cesión de la primera a la segunda de una serie de contratos, entre ellos el citado contrato de 14/10/2013 entre AIRE NETWORKS y ADENET, relativo al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/22 servicio “Telefonía Móvil operadores Mod. II marca blanca” con la marca “SIETEVOZ”. En la cláusula quinta de dicho contrato se menciona expresamente que B3C “actuará en calidad de encargado del tratamiento”. - Contrato entre AIRE NETWORKS y B3C, de fecha 24/11/2022, que regula la relación entre ambas empresas en relación con el servicio objeto de este procedimiento (“***SERVICIO.1”, con la marca “SIETEVOZ”). En cuanto al contenido de dicho contrato cabe destacar lo siguiente: o o o o o o o o Incluye instrucciones precisas sobre cómo han de tratarse los datos personales de los clientes en el marco de la facturación que asume B3C (cláusula sexta) Menciona la finalidad del tratamiento y el compromiso de B3C de informar de ella (cláusula 9.3) Menciona la limitación del tratamiento de los datos por parte de B3C a la finalidad del tratamiento y a las instrucciones de AIRE NETWORKS (cláusula 9.4) Prevé cómo han de conservarse los datos (cláusula 9.5) Prevé la adopción de medidas de seguridad de los datos por parte de B3C (cláusula 9.6) Contiene la obligación de B3C de informar a sus empleados sobre normas de seguridad, obligación de secreto y, en su caso, deber de guarda y custodia en relación con los datos (cláusula 9.7) Alude expresamente a que el contrato no podrá ser cedido por ninguna de las partes sin previo consentimiento por escrito de la otra (cláusula decimoprimera) Establece las obligaciones que asume B3C y todo su personal en relación con los datos personales en el marco del encargo objeto del contrato, entre otras: limitación de la finalidad, seguir las instrucciones de AIRE NETWORKS, llevar un registro, no comunicar datos a terceros, previsiones sobre subcontratación y “subencargos”, asistir al responsable en la respuesta a ejercicio de derechos de protección de datos, notificación de violaciones de seguridad, apoyo en evaluaciones de impacto relativas a protección de datos (cláusula decimotercera). El contrato entra en vigor, según su cláusula cuarta, en el momento de la firma, esto es, el 24/11/2022. De acuerdo con estos cuatro contratos, constan evidencias de que, a partir del 24/11/2022, el tratamiento de los datos personales de la parte reclamante, en el marco del servicio de telefonía que tiene contratado, tiene como responsable a AIRE NETWORKS y pasa a tener como encargado del tratamiento a B3C. En este sentido, en el contrato firmado entre AIRE NETWORKS y B3C, la primera figura como responsable y determina los fines y medios del tratamiento (de acuerdo con el artículo 4.7 del RGPD) y B3C figura como encargada (de acuerdo con el artículo 4.8 del RGPD), actuando por cuenta de la primera. Asimismo, dicho vínculo ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/22 quedado documentado en un contrato que contendría referencias a lo previsto en el artículo 28.3 del RGPD, que establece obligaciones en relación con el encargado del tratamiento. En particular, el contrato entre AIRE NETWORKS y B3C contiene instrucciones del responsable, compromiso de confidencialidad, medidas de seguridad, asistencia al responsable, destino de los datos al finalizar la prestación, etc. Por tanto, hay evidencias de que, cuando en noviembre de 2022 la parte reclamante comienza a recibir las facturas emitidas por TELCO y no por ADENET, la empresa encargada del tratamiento es B3C. En principio, esta conclusión es contradictoria con la siguiente afirmación realizada por B3C en el marco de las actuaciones previas de investigación: “B3C consultoría exclusivamente es garante del pago de la prestación de servicios que AIRE NETWARE realiza a TELCO HOSTING lo que motiva la relación comercial de la empresa requerida con TELCO HOSTING.” Sin embargo, B3C no ha aportado ningún documento que acredite la condición alegada de “garante del pago”. Sí constan, por el contrario, los contratos de 18/11/2022 y 24/11/2022 citados, en los que B3C figura expresamente como encargado del tratamiento. Así pues, con las evidencias que obran en el procedimiento, no cabe aceptar la afirmación de B3C. Constatada la condición de B3C como encargado del tratamiento desde 24/11/2022, procede examinar el hecho de que, a partir de ese mes, las facturas del servicio de la reclamante pasen a ser emitidas por la empresa TELCO, como ha quedado documentado y figura como HECHOS PROBADOS. En lo que afecta a la protección de datos personales, la emisión de las facturas por parte de TELCO implica que esta empresa gestionaba la facturación y cobro del servicio de telefonía y, por tanto, actuaba como subencargado del tratamiento de B3C. También constan en el expediente la impresión del correo electrónicos de 03/10/2023, en el que TELCO se dirige a la parte reclamante en relación con un supuesto impago de facturas. Por otro lado, hay evidencia de la existencia de una relación entre B3C y TELCO en relación con la prestación del contrato, como pone de manifiesto que la primera haya aportado como documentación, en el marco de las actuaciones de investigación, las comunicaciones relativas a impagos de facturas entre TELCO y la parte reclamante y que, de no tener relación con la parte reclamante, como afirma, no tendría por qué conocer. Así pues, constan en el procedimiento evidencias de que TELCO habría estado actuando como subencargado del tratamiento del que era encargado B3C. De todo lo anterior se desprende que AIRE NETWORKS realiza las actividades de tratamiento objeto de este procedimiento en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Por su parte, B3C actúa en condición de encargado del tratamiento, dado que trata los datos personales por cuenta del responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/22 tratamiento, en virtud del artículo 4.8 del RGPD. En este caso, además, al elegir el medio (un subencargado para el que no tenía la autorización del responsable del tratamiento), el encargado ha actuado, en el caso objeto de análisis en este procedimiento sancionador, como un responsable del tratamiento, de acuerdo a la definición del mismo contenida en el artículo 4.7 del RGPD. Por último, cabe hacer referencia al argumento utilizado por B3C en el marco de las actuaciones de investigación, en cuanto a la posible motivación de la reclamante, entendiendo que supone un abuso de derecho que invalidaría su reclamación. Al respecto cabe señalar que el presente procedimiento sancionador se inicia de oficio, por lo que el denunciante carece de la condición de interesado, de acuerdo con lo dispuesto en el 62.5 de la LPACAP. En este sentido, el objeto del presente procedimiento es determinar si ha existido un incumplimiento de lo dispuesto en el RGPD y no procede, en el marco del mismo, analizar la motivación de la reclamación presentada. III Obligación incumplida. Encargado del tratamiento, artículo 28.2 Las previsiones respecto al encargado del tratamiento están recogidas en el artículo 28 del RGPD que, en su apartado 2 estipula lo siguiente: "2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios.” En el presente caso constan evidencias de que B3C, desde el 24/11/2022 es encargado del tratamiento (en concreto, los contratos suscritos entre ADENET y B3C y entre AIRE NETWORKS y B3C). También constan evidencias de que TELCO está actuando en la práctica como “subencargado” (en particular, las facturas emitidas por esa empresa y los correos electrónicos comunicándose con la parte reclamante). El citado artículo 28 del RGPD prevé la posibilidad de que un encargado del tratamiento lo encargue a su vez a otro (“subencargado”), si bien impone para ello determinadas obligaciones, una de las cuales es no recurrir a otro encargado “sin la autorización previa por escrito, específica o general, del responsable”. B3C niega su condición de encargado del tratamiento aludiendo a su condición de “garante del pago de la prestación de servicios que AIRE NETWARE realiza a TELCO”, afirmación que ya ha sido analizada y rechazada anteriormente. En cualquier caso, a efectos del presente procedimiento, consta que B3C era encargado de tratamiento y no ha aportado ninguna documentación que acredite que cuenta con la autorización de AIRE NETWORKS como responsable, para contratar a un subencargado. Por ello, se considera que los hechos conocidos son constitutivos de una infracción, imputable a B3C, por vulneración del artículo 28.2 del RGPD, transcrito anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/22 IV Tipificación de la infracción del artículo 28.2 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  5. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  6. l)La contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles." V Sanción por infracción del artículo 28.2 A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  7. a)a
  8. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  9. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/22 así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  10. b)la intencionalidad o negligencia en la infracción;
  11. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  12. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  13. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  14. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  15. g)las categorías de los datos de carácter personal afectados por la infracción;
  16. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  17. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  18. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  19. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  20. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  21. a)El carácter continuado de la infracción.
  22. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  23. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  24. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  25. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  26. f)La afectación a los derechos de los menores.
  27. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  28. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/22 En el presente caso, considerando la gravedad de la infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa, además de la adopción de medidas. La multa debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de B3C de 21.500 euros en el año 2021. En el presente caso, de conformidad con las evidencias puestas de manifiesto en la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 28.2 del RGPD, permite fijar una sanción de multa administrativa de 400,00 euros. VI Obligación incumplida. Encargado del tratamiento, artículo 28.4 Entre las previsiones respecto al encargado del tratamiento, el artículo 28.4 del RGPD, establece lo siguiente: “4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado.” En el presente caso constan evidencias de que B3C, desde el 24/11/2022, es encargado del tratamiento (en concreto, los contratos suscritos entre ADENET y B3C y entre AIRE NETWORKS y B3C). También constan evidencias de que TELCO está actuando en la práctica como “subencargado” (en particular, las facturas emitidas por esa empresa y los correos electrónicos comunicándose con la parte reclamante). De acuerdo con el artículo 28.4 del RGPD transcrito, cuando un encargado recurra a otro se impondrán a este mediante contrato u otro acto jurídico las mismas obligaciones estipuladas en el contrato mencionado en el apartado 3. En el presente caso, dicho contrato sería el suscrito AIRE NETWORKS y B3C, de fecha 24/11/2022, que regula la relación entre ambas empresas en relación con el servicio objeto de este procedimiento (“***SERVICIO.1”, con la marca “SIETEVOZ”). Como ya se ha mencionado, B3C niega su condición de encargado del tratamiento aludiendo a su condición de “garante del pago de la prestación de servicios que AIRE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/22 NETWARE realiza a TELCO”, pero tal afirmación, analizada anteriormente, no cabe ser tenida en cuenta. En consecuencia, a efectos del presente procedimiento, consta que B3C era encargado de tratamiento y TELCO subencargado, sin que la primera haya aportado ninguna documentación que acredite que se han cumplido la obligación de imponer a TELCO las obligaciones impuestas por AIRE NETWORKS, como responsable del tratamiento, mediante contrato u otro acto jurídico. Por ello, se considera que los hechos conocidos son constitutivos de una infracción, imputable a B3C, por vulneración del artículo 28.4 del RGPD, transcrito anteriormente. VII Tipificación de la infracción del artículo 28.4 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  29. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  30. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679." VIII Sanción por infracción del artículo 28.4 A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/22 presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  31. a)a
  32. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  33. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  34. b)la intencionalidad o negligencia en la infracción;
  35. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  36. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  37. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  38. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  39. g)las categorías de los datos de carácter personal afectados por la infracción;
  40. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  41. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  42. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  43. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  44. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  45. a)El carácter continuado de la infracción.
  46. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  47. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  48. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/22
  49. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  50. f)La afectación a los derechos de los menores.
  51. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  52. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa, además de la adopción de medidas. La multa debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de B3C de 21.500 euros en el año 2021. En el presente caso, de conformidad con las evidencias puestas de manifiesto en la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 28.4 del RGPD, permite fijar una sanción de multa administrativa de 400,00 euros. IX Medidas correctivas Al confirmarse la infracción, puede acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2.
  53. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” En el presente caso, la medida consistirá en acreditar, en el plazo de 3 meses a contar desde la fecha de ejecutividad de esta resolución, la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 28.2 y 4 del RGPD. Dicha medida correctiva, atendiendo a las circunstancias presentes en el caso, se cumpliría, previa obtención de la preceptiva autorización del responsable del tratamiento y de acuerdo a los términos de la misma, formalizando el correspondiente contrato de encargo de tratamiento en los términos establecidos en el artículo 28.4 del RGPD. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/22 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B3C CONSULTORÍA DE SERVICIOS 2010 S.L., con NIF B42880484, una multa administrativa de OCHOCIENTOS EUROS (800,00 euros), correspondiente a las siguientes infracciones: - Por infracción del artículo 28.2 del RGPD, tipificada en el artículo 83.4 del RGPD, multa administrativa de CUATROCIENTOS EUROS (400,00 euros). Por infracción del artículo 28.4 del RGPD, tipificada en el artículo 83.4 del RGPD, multa administrativa de CUATROCIENTOS EUROS (400,00 euros). SEGUNDO: ORDENAR a B3C CONSULTORÍA DE SERVICIOS 2010 S.L., con NIF B42880484, que en virtud del artículo 58.2.
  54. d)del RGPD, en el plazo de 3 meses a contar desde la fecha de ejecutividad de esta resolución, acredite haber adoptado la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 28.2 y 4 del RGPD. Dicha medida correctiva, atendiendo a las circunstancias presentes en el caso, se cumpliría, previa obtención de la preceptiva autorización del responsable del tratamiento y de acuerdo a los términos de la misma, formalizando el correspondiente contrato de encargo de tratamiento en los términos establecidos en el art. 28.4 RGPD. TERCERO: NOTIFICAR la presente resolución a B3C CONSULTORÍA DE SERVICIOS 2010 S.L. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  55. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/22 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  56. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.