1/46 Expediente N.º: EXP202205208 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR ANTECEDENTES..........................................................................................................2 PRIMERO: Reclamación presentada.........................................................................2 SEGUNDO: Traslado de la reclamación a la parte reclamada...................................3 TERCERO. Resolución de archivo.............................................................................3 CUARTO. Recurso de reposición...............................................................................3 QUINTO: Actuaciones previas de investigación.........................................................3 SEXTO: Inicio de procedimiento sancionador............................................................5 SÉPTIMO: Alegaciones al acuerdo de inicio..............................................................5 OCTAVO: Propuesta de resolución..........................................................................10 NOVENO: Alegaciones a la propuesta de resolución...............................................10 DÉCIMO: Volumen de negocio.................................................................................11 HECHOS PROBADOS................................................................................................12 PRIMERO................................................................................................................ 12 SEGUNDO............................................................................................................... 12 TERCERO................................................................................................................ 12 CUARTO.................................................................................................................. 12 QUINTO................................................................................................................... 13 SEXTO..................................................................................................................... 13 SÉPTIMO................................................................................................................. 13 OCTAVO .................................................................................................................. 13 FUNDAMENTOS DE DERECHO.................................................................................13 I.Competencia.......................................................................................................... 13 II.Procedimiento.......................................................................................................13 III.Cuestiones previas...............................................................................................14 IV.Alegaciones de la parte reclamada......................................................................14 1.Caducidad de actuaciones.................................................................................15 2.Supuesto de hecho del procedimiento...............................................................16 3.Competencia de la AEPD..................................................................................18 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/46 3.Modelo de comercialización de tarjetas prepago. Encargado del tratamiento....19 4.Inexactitud de los datos.....................................................................................34 5.Proporcionalidad de la sanción..........................................................................36 V.Práctica de prueba propuesta...............................................................................39 VI.Obligación. Artículo 5.1
(30)días naturales después de dicha notificación, se considerará que el PROVEEDOR ha incumplido el Contrato y XFERA tendrá derecho a rescindirlo de conformidad con lo establecido en el mismo. Revisado el contrato de encargo de tratamiento (anexo 4), en el mismo se señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/46 i. El objeto y naturaleza del encargo del tratamiento viene definido en la cláusula 1 del Contrato Principal, en el que se incluyen diversos servicios prestados por el PROVEEDOR. ii. El tratamiento a realizar por el Encargado tiene como finalidad la prestación de los servicios de tramitación y gestión de las solicitudes de recarga de saldo cursadas por los Clientes del servicio de comunicaciones electrónicas móviles prepago de XFERA; la comercialización de tarjetas SIM (incluyendo la identificación e inclusión de datos en el Libro Registro); y el desarrollo, mantenimientos y gestión del Portal único de Ventas para la red de distribución de XFERA. iii. Los datos personales tratados en los términos del presente serán datos identificativos, de contacto y de pago de clientes de XFERA que realicen recargas, así como los datos de nacionalidad y número de documento acreditativo de la identidad que se proporcionarán en el momento de adquisición de la tarjeta SIM. Sobre estos datos se desarrollarán las siguientes actividades de tratamiento: recogida, registro, estructuración, extracción, consulta, comunicación por transmisión y conservación. En su cláusula 2.1 se señala lo siguiente: El ENCARGADO DE TRATAMIENTO, llevará a cabo el tratamiento de datos personales derivado de la prestación del servicio contratado, de conformidad con las siguientes obligaciones: • Limitarse a realizar las actuaciones que resulten necesarias para prestar al RESPONSABLE DEL TRATAMIENTO el servicio contratado, de conformidad con lo establecido en el Contrato Principal de servicios En concreto, el ENCARGADO DEL TRATAMIENTO se compromete a realizar el tratamiento de los datos personales ajustándose a las instrucciones que, en cada momento, le indique el RESPONSABLE DEL TRATAMIENTO, así como a lo dispuesto en la normativa que le resulte aplicable en materia de protección de datos personales, inclusive con respecto a las transferencias de datos personales a un tercer país o a una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al ENCARGADO DEL TRATAMIENTO, en cuyo caso, el ENCARGADO DEL TRATAMIENTO informará al RESPONSABLE DEL TRATAMIENTO de esa exigencia legal con carácter previo al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. En la cláusula 3- Obligaciones del RESPONSABLE DEL TRATAMIENTO- se indica lo siguiente: Corresponden al RESPONSABLE DEL TRATAMIENTO las siguientes obligaciones: (…) • Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD por parte del ENCARGADO DEL TRATAMIENTO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/46 De todo cuanto antecede cabe concluir que XFERA tenía- y debió ejercer- capacidad de supervisión respecto de la actuación de FULLCARGA y, por ende, de los puntos autorizados por ésta. A lo que debe añadirse la condición de encargado del tratamiento FULLCARGA respecto de los datos personales tratados por esta entidad en atención a los fines y medios previamente identificados por el responsable, XFERA Ello implica, a sensu contrario y conforme determina la normativa de protección de datos, las sentencias precitadas y las Directrices 7/2020, que el responsable del tratamiento responde de las actuaciones llevadas a cabo por su encargado de tratamiento a salvo que este determine fines y medios, resultando que esta última cuestión no ha quedado acreditada en el procedimiento tramitado. Por tanto, de acuerdo con lo expuesto, XFERA MÓVILES es la responsable del tratamiento que se realiza, es quien ha decidido encomendar a un encargado del tratamiento que lo realice en su nombre y por su cuenta, es la entidad que tiene la verdadera capacidad para ejercer el control sobre el tratamiento de datos personales, quien determina qué datos personales serán tratados en su nombre y por su cuenta, el por qué y el cómo deberán tratarse estos, pues define la finalidad del tratamiento de datos personales que su actividad comprende y elige los medios que considera oportuno. Y conforme a todo lo antedicho y para el caso concreto XFERA MÓVILES es responsable de la infracción del RGPD aun cuando la contratación de una línea móvil prepago concreta se haya producido materialmente a través de su encargado del tratamiento. Esto se relaciona directamente con el principio de responsabilidad proactiva del responsable del tratamiento previsto en el artículo 5.2 del RGPD que establece que «el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”)». Esto significa que el responsable deberá garantizar la aplicación efectiva de los principios del tratamiento tanto en el momento de determinar los medios del tratamiento como durante el tratamiento en sí, bien lleve a cabo el tratamiento de datos personales directamente o encargue a un encargado del tratamiento que lo realice por su cuenta (a efectos de la normativa de protección de datos es lo mismo), a través de la articulación de una serie de medidas técnicas y organizativa de todo tipo, las cuales deberán ser objeto de revisión y actualización periódica. Ello implica que el citado responsable es el que asume su propia responsabilidad dirigiendo, revisando y coordinando el tratamiento, incluyendo la del personal y la del encargado del tratamiento que le presta servicios. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, cuyas previsiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/46 control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. Se tiene en cuenta a estos efectos lo señalado en el considerando 74 del RGPD, “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas.” (el subrayado es nuestro) Completando lo anterior y en desarrollo del artículo 5.2 del RGPD se ha de citar el artículo 24 y 25 del mismo texto legal, indicando este último respecto a la “Protección de datos desde el diseño y por defecto” que el derecho fundamental a la protección de los datos personales es mucho más que mera tecnología, pues su enfoque es en los riesgos en los derechos y libertades de los interesados derivados del tratamiento de los datos personales, “1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento…” XFERA MÓVILES parece sostener que la responsabilidad la tiene el encargado del tratamiento con el que suscribió un contrato y en cuya virtud se obligaba a la implementación de las medidas organizativas de seguridad adecuadas al riesgo. Como se ha motivado por esta Agencia en párrafos precedentes es XFERA quien ha determinado fines y medios del tratamiento, que es responsable del tratamiento, que es responsable de la exactitud de los datos conservados por las actuaciones de tratamiento efectuadas por su encargado de tratamiento por cuenta de aquella y que está sujeta a las obligaciones del RGPD, especialmente en cuanto a la responsabilidad proactiva. Ello es responsabilidad de XFERA por cuanto, es la responsable del tratamiento y es quien tiene la obligación de integrar y desplegar la protección de datos dentro de todo lo que constituya su organización, en todos sus ámbitos de actuación, ya afecten a sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/46 empleados o a sus encargados del tratamiento. Se debe de tener muy presente que en última instancia la finalidad determinante es la de garantizar la protección del interesado, pues el foco está los riesgos en los derechos y libertades de los interesados derivados del tratamiento de datos personales que realiza el responsable del tratamiento. Por consiguiente, el responsable del tratamiento debe llevar a cabo un análisis de los riesgos de los derechos y libertades de las personas físicas en los tratamientos de datos, implantando las medidas técnicas y organizativas apropiadas para aplicar los principios de protección de datos e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del RGPD, debiendo poder demostrar que el tratamiento es conforme con lo previsto en la citada norma. Y a la luz del principio de responsabilidad proactiva (art 5.2 RGPD), el responsable del tratamiento debe poder demostrar que ha tomado en cuenta todos los elementos previstos en el RGPD. Y, dentro de las actuaciones que lleve a cabo para garantizar que su encargado del tratamiento respeta los principios del RGPD, no se encuentran las meramente preventivas, como la firma del contrato de encargo, establecimiento de obligaciones en el mismo, e incluso dictado de instrucciones, sino que puede y debe complementarse con medidas reactivas o de control a posteriori, como sería la realización de controles o auditorías tendentes a comprobar la posible existencia de errores o inexactitudes. En este caso, referidos a los datos de identificación de titulares de líneas prepago, de las que, como se ha dicho XFERA es responsable del tratamiento. Todo ello no hace sino reflejar una falta de diligencia por parte de la entidad responsable a la hora de garantizar la exactitud de los datos objeto de tratamiento. En este sentido, no debe olvidarse que en la base de datos afectada se encuentran almacenados datos personales de miles de clientes, lo cual supone un tratamiento a gran escala. Y la ley establece que los datos tienen que permanecer a disposición de las Fuerzas y cuerpos de seguridad para la realización de investigaciones penales, con lo que posibles inexactitudes o errores en los datos pueden desembocar a su vez en el fracaso o ralentización de dichas investigaciones. Tal y como se ha venido demostrando y argumentando a lo largo del presente procedimiento sancionador, se considera que XFERA no había implantadas unas medidas y controles adecuados para garantizar la corrección de los datos personales de los clientes, lo que determinó en este supuesto que la investigación de la AEPD no pudiera prosperar por no corresponderse la identidad proporcionada con los verdaderos titulares de las líneas prepago Es mucho más, es una falta de cumplimiento de las obligaciones impuestas por el RGPD. Por tanto, se insiste, en que el responsable del tratamiento debe establecer, en su relación con el encargado del tratamiento, modalidades claras para dicha asistencia y dar instrucciones precisas al encargado del tratamiento sobre cómo cumplirlas de forma adecuada y documentarlo previamente a través de un contrato o bien en otro acuerdo (vinculante) y también posteriormente durante la vigencia del mismo y comprobar en todo momento del desarrollo del contrato su cumplimiento en la forma establecida en el mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/46 A este respecto, nada se ha acreditado, ni siquiera aportado, en relación con medidas ex post (esto es, posteriores a la incorporación de los datos por parte del encargado del tratamiento) tendentes a comprobar la exactitud o veracidad de los datos. La única afirmación al respecto, contenida en las alegaciones a la propuesta de resolución es la siguiente: “Derivado de lo anterior, cabe concluir que XFERA sí ejerció un control y una supervisión respecto de la actuación de FULLCARGA y de los puntos autorizados por ésta, contando con controles tendentes a garantizar la exactitud de los datos recabados, sin que quepa exigir la infalibilidad de estos.” Pero no aclara, ni mucho menos justifica, cuáles serían esos controles. En relación con este aspecto, procede traer a colación el contenido de la STS 1562/2020, de 15 de junio de 2020, rec. 601/2019, que señala lo siguiente: “En tal sentido, ya la Sentencia del Tribunal Supremo de 5 de junio de 2004, que confirma, en casación para Unificación de Doctrina, la de esta AN de 16 de octubre de 2003, haciéndose eco de lo argumentado por esta Sala refiere la diferenciación de dos responsables en función de que el poder decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específica. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento. Con ello, como asimismo argumenta la STS de 26 de abril de 2005 (casación para unificación de doctrina 217/2004), el legislador español pretende adaptarse a las exigencias de la Directiva 95/46/CE, que tiene como objetivo dar respuesta legal al fenómeno, que cada vez es más frecuente, de la llamada externalización de los servicios informáticos, donde actúan múltiples operadores, muchos de ellos insolventes, creados con el objetivo de buscar la impunidad o irresponsabilidad de los que le siguen en los eslabones siguientes de la cadena. En la actualidad, el nuevo Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (por el que se deroga la Directiva 95/46/CE, y de aplicación directa a partir del 25 de mayo de 2018) distingue asimismo entre las figuras del responsable y del encargado del tratamiento. La primera se define en el apartado 7) del artículo 4 como " persona física o jurídica (...) que determine los fines y medios del tratamiento”. Y el encargado de tratamiento en el apartado 8) del mismo artículo 4 como aquel que "trate datos personales por cuenta del responsable del tratamiento". Ello en relación con los Artículos 24 y 28 del mismo Reglamento Europeo de Protección de Datos. Responsable y encargado del tratamiento de datos que, sin lugar a duda, resultan asimismo responsables de las infracciones en materia de protección de datos, en tal nuevo marco normativo, de conformidad con lo previsto en el artículo 82.2 del repetido Reglamento (UE) 2016/679 a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/46 cuyo tenor: Cualquier responsable que participe en la operación de tratamiento responderá de los daños y perjuicios causados en caso de que dicha operación no cumpla lo dispuesto por el presente Reglamento. Un encargado únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del presente Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable. Se desprende de todo lo anterior que la concurrencia, en el presente supuesto, de un encargado del tratamiento ZZZZ en absoluto exime de responsabilidad a la entidad XXXX ahora recurrente, y ello a pesar de la contundencia de las cláusulas que figuran en el contrato y anexo al mismo firmados por ambas compañías (hechos probados 9 y 10) en cuanto los datos personales tratados lo fueron con la finalidad de llevar a cabo una campaña publicitaria respecto de seguros de coche y moto que comercializaba la (XXXX), en definitiva en beneficio de dicha XXXX, siendo tal entidad actora la que, en último término, determina los fines y medios del repetido tratamiento de datos, por lo que la misma no puede ser exonerada de responsabilidad”. Continua la STS, en relación con la posible exoneración de responsabilidad alegada en cuanto a lo suscrito en el contrato de «encargado del tratamiento», lo siguiente: “La conducta sancionada de obstaculización o impedimento por XXXX del ejercicio por su cliente del derecho de oposición al tratamiento de sus datos, se manifiesta en que dicha sociedad no adoptó ninguna clase de medida o de cautela para evitar el envío de publicidad a las direcciones de correo electrónico de su cliente por parte de aquellas empresas a las que encomendó la realización de las campañas publicitarias. La adopción de las medidas o cautelas necesarias para asegurar la efectividad del derecho de oposición al tratamiento de sus datos por parte de XXXX, como responsable del fichero, subsisten aunque las campañas publicitarias no se realicen a partir de los datos de sus propios ficheros, sino con bases de datos de otras compañías contratadas por XXXX, y en este caso quedó acreditado que la recurrente no comunicó a las empresas con las que contrató la realización de servicios de publicidad la oposición del denunciante a recibir publicidad de la Mutua, ni en definitiva adoptó previsión alguna para asegurar la exclusión de su cliente de los envíos publicitarios contratados con terceras entidades.” En lo que respecta a la aplicación del principio de culpabilidad en el ámbito del derecho sancionador regulado por el RGPD, la entidad investigada trae a colación la doctrina sentada por la STJUE, de 5 de diciembre de 2023 (asunto C-807/21, Deutsche Wohnen SE y Staatsanwaltschaft Berlin). Pues bien, cabe preguntarse entonces cuáles son los parámetros de la diligencia debida que la entidad investigada debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar es la que era precisa para cumplir las obligaciones que le imponen los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia Nacional y la jurisprudencia del Tribunal Supremo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/46 Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (Sentencia de la Audiencia Nacional de 29 de junio de 2001). En consecuencia, las alegaciones deben ser desestimadas toda vez que la entidad investigada ha infringido las obligaciones impuestas en el RGPD en calidad de responsable de los tratamientos llevados a cabo en su nombre y por su cuenta, en relación con las responsabilidades que exige a todo responsable del tratamiento el artículo 24 del RGPD. Las alegaciones no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. Al respecto, y específicamente en relación con el principio de exactitud, cabe también recordar que la Audiencia Nacional, en su sentencia de 1 de marzo de 2024, rec. 1757/2021, dispone que se impone al responsable del tratamiento que verifique la exactitud de los datos del interesado a través de la implementación de las medidas adecuadas cuando se efectúe una contratación. Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, y a ello obedece la exigencia de documentación identificativa, como viene reiterando la Sala entre otras en Sentencias de 3 de octubre 2013 (Rec. 54/2012), 21 de noviembre 2014 (Rec. 45/2014), entre otras. Obligación que es trasladable a los supuestos de representación, en que no solo es necesario comprobar los datos del interesado sino también los del representante que está actuando en nombre del representante y su efectiva representación. Por consiguiente, se desestima la alegación relativa a falta de culpabilidad de la parte reclamada en la comisión de la infracción imputada. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Así, recordemos que, con carácter general los operadores son responsables del tratamiento de los datos de sus clientes, En este sentido, XFERA ha suscrito un contrato con FULLCARGA, uno de cuyos puntos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/46 venta ha realizado la venta de las tarjetas telefónicas correspondiente a las líneas objeto de la presente reclamación y en cuyo proceso debieran haberse garantizado el cumplimiento de todas las obligaciones legales de aplicación; entre ellas, el cumplimiento con el principio de exactitud de los datos previsto en el art. 5.1
- d)del RGPD. Esta falta de mecanismos adecuados nos lleva a rechazar de igual forma la alegación referida a la falta de afectación directa a un interesado identificado, por cuanto la conducta revelada pone de manifiesto cierta negligencia en el establecimiento de controles tendentes a garantizar la exactitud de los datos recabados por la parte reclamada. Se vulneró el principio de exactitud; el DNI que XFERA indica como correspondiente a D.D.D. corresponde a otra persona. Por tanto a ese DNI que pertenece a una persona identificada se le asocio un nombre y apellidos que no le corresponde y probablemente la titularidad de una línea que no es suya. La misma situación se ha producido con B.B.B., al que se ha atribuido un DNI que no solo no es el suyo, sino que, conforme aclara el informe de la Agencia Tributaria, ni siquiera existe. El informe del Ministerio del Interior La parte reclamada menciona un informe emitido por el Ministerio del Interior durante la tramitación por la SETID por presunto incumplimiento, también por XFERA MÓVILES, de sus obligaciones de conservación de datos de la Ley 25/2007, de 18 de octubre. En el informe se contienen afirmaciones como: - “…el libro-registro se encuentra situado en las dependencias de dicho punto de venta, siendo la responsabilidad de su cumplimentación del punto de venta”; - “Es responsabilidad del punto de venta comprobar visualmente el documento acreditativo que aporte la persona contratante” y - “(no existe obligación de guardar una fotocopia del DNI), la operadora nunca puede comprobar la veracidad de los datos trasladados por los puntos de venta, por lo que la responsabilidad última de las infracciones siempre debe recaer en dichos puntos” Al respecto no podemos olvidar que estas afirmaciones se enmarcan dentro de la imputación a XFERA por la presunta vulneración de sus obligaciones de conservación de datos por la Ley 25/2007. Y en ese marco cobra todo el sentido lo afirmado, como que la recolección de datos se produce presencialmente en el establecimiento de venta, que la responsabilidad de dicha recolección es del titular de dicho establecimiento y que la operadora no puede comprobar la veracidad de lo trasladado Sin embargo, en el presente expediente sancionador nos encontramos dentro de la comprobación de las obligaciones que el responsable del tratamiento (en este caso XFERA como se ha argumentado en el apartado anterior) tiene como garante de la exactitud de los datos conservados que, insistimos, se guardan para que en caso de ser necesarios sean puestos a disposición de las Fuerzas y cuerpos de seguridad dentro de las investigaciones penales por delitos graves. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/46 Y a estos efectos, si bien es cierto que la toma de datos se produce por el encargado del tratamiento (una decisión como también se ha explicado antes voluntariamente adoptada por el responsable, que también podía optar por realizar dicha toma con medios propios) no lo es menos que dicho responsable es el obligado a garantizar el cumplimiento del principio de exactitud. Y tiene a su disposición medios tanto preventivos como reactivos para que dicha garantía se cumpla. Lo que no ha acreditado en este caso. 3. Inexactitud de los datos Posibilidad de comprobación En relación con la comprobación de la exactitud de los datos, se afirma por parte de XFERA que por su parte resultaría imposible comprobar la veracidad de los datos aportados. En este sentido afirma: - La toma de datos materialmente se realiza por el responsable del tratamiento - Este tiene impuesta la obligación, por contrato, de comprobar la identidad que figura en el documento identificativo y trasladarla a la base de datos - Conforme al principio de minimización del art 5.1.c RGPD no puede conservarse una copia o imagen del documento identificativo. - El operador no tiene modo de comprobar si los datos son exactos Basándose en esas premisas, XFERA afirma que no tendría ningún medio a su disposición para realizar una comprobación de la veracidad de los datos. En sentido contrario, la conclusión es que debe conformarse con dar por buenos los datos que se cargan en la base de datos y no podría realizar comprobación alguna. Incluso aceptando estas premisas, hay que tener en cuenta los resultados arrojados por la consulta de la Inspección de esta Agencia a los datos de la Agencia Tributaria. Respecto a una de las líneas telefónicas el resultado fue que el DNI proporcionado no se correspondía con el nombre y apellidos proporcionados. Pero es que respecto a la otra línea se proporcionó un número de DNI inexistente, es decir, que no se correspondía con ninguna persona. A este respecto, se observa que XFERA no tenía establecido ningún mecanismo de seguridad conforme al cual no podrían aceptarse números de DNI inexistentes. Pero nosolo eso, sino que como se ha explicado en relación con la responsabilidad de encargado o responsable, no consta aportado ningún mecanismo de control, auditoría, muestreo o similar que permitiese la posible existencia de errores o inexactitudes en los datos. Es decir, tal y como reconoce XFERA , su labor en este asunto, como responsable del tratamiento, era dar por bueno todos y cada uno de los datos introducidos por sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/46 encargados del tratamiento, sin realizar comprobación alguna. Ello a sabiendas, según también se reconoce, que puede haber fraudes, suplantaciones e incluso delitos de falsedad documental con objeto de dar de alta titulares inexactos, lo que, también insistimos, puede dar lugar al fracaso de investigaciones penales. Como se indicó anteriormente, la única afirmación que se contienen en las alegaciones de la parte reclamada, en relación con un posible control ex post de los datos conservados, sería la siguiente: “Derivado de lo anterior, cabe concluir que XFERA sí ejerció un control y una supervisión respecto de la actuación de FULLCARGA y de los puntos autorizados por ésta, contando con controles tendentes a garantizar la exactitud de los datos recabados, sin que quepa exigir la infalibilidad de estos.” Pero no menciona en qué medidas se concretaría este control, ni mucho menos se justifica documentalmente. En el presente procedimiento no se sanciona solo por la mera producción de un resultado, como afirma XFERA, (sería un caso de responsabilidad objetiva proscrita por nuestro ordenamiento y el derecho sancionador), sino porque ese resultado de datos inexactos viene precedido por la ausencia de medidas técnicas y organizativas que hacen que concurra en este caso una grave negligencia en el cumplimiento de sus obligaciones como responsable del tratamiento de datos personales. El artículo 4 de la LOPDGDD La parte reclamada invoca en su favor el artículo 4 de la LOPDGDD, que establece que: “2. A los efectos previstos en el artículo 5.1.
- d)del Reglamento (UE) 2016/679, no será imputable al responsable del tratamiento, siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de los datos personales, con respecto a los fines para los que se tratan, cuando los datos inexactos:
- a)Hubiesen sido obtenidos por el responsable directamente del afectado” El interesado afirma la exclusión de responsabilidad en caso de que quien contrata la línea prepago facilite datos falsos. En primer lugar, nada ha quedado aclarado en relación con el verdadero origen de la inexactitud de los datos, ya que la parte reclamada se limita a repetir que no tienen manera de comprobar los datos que fueron introducidos por su encargado de tratamiento. Pero, en segundo lugar, no puede obviarse que el primero de los párrafos reproducidos contiene el inciso “siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen, sin dilación, la inexactitud de los datos personales”. Y esta es la clave de este incumplimiento, que XFERA no tenía adoptadas medidas que tendiesen a comprobar la exactitud de los datos. Hasta el extremo que, como ha quedado acreditado, uno de los números de DNI aportado ni siquiera existe. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/46 En su lugar, XFERA se limita a afirmar que tiene que dar por buenos los datos incorporados por su encargado, sin posibilidad alguna de comprobarlos. Y, no olvidemos, esta obligación de conservación tiene como finalidad que posteriores posibles investigaciones penales puedan tener éxito. 3. Proporcionalidad de la sanción Las alegaciones de la parte reclamada discrepan en las circunstancias de graduación de la cuantía tenidas en cuenta en la propuesta de resolución. Ello en dos aspectos, primero rechazando circunstancias que agravarían la cuantía y segundo proponiendo otras que, a su juicio, la atenuarían Circunstancias tenidas en cuenta en la propuesta y objetadas por XFERA. En primer lugar, en opinión de XFERA, no existe intencionalidad o negligencia en la infracción, por su imposibilidad de comprobar la veracidad de los datos trasladados por los puntos de venta. A este respecto cabe afirmar todo lo contrario a lo indicado por XFERA. De la instrucción del procedimiento se ha acreditado la inexistencia de controles reales en la actividad del encargado del tratamiento. La parte reclamada no ha aportado ninguna medida de control más allá del establecimiento formal de un contrato de servicios, unido a uno de encargo, en el que se impone al encargado la obligación de identificar a los usuarios de tarjetas prepago, sin que la información suministrada por este sea objeto de ningún tipo de comprobación o control posterior. Ello ha traído como consecuencia que, tal y como se declara en los hechos probados, conforme a a la información aportada por la Agencia Tributaria, a uno de los números de DNI facilitados por XFERA no se corresponden ninguna persona, es decir se trataba de un número de DNI inexistente. Asimismo, el DNI que indicó como correspondiente a una persona, en realidad se corresponde con otra. En sus alegaciones a la propuesta de resolución, la parte reclamada añade que, si bien la gravedad de la infracción se concreta en las dificultades que pueden producirse a la hora de identificar la realización de llamadas comerciales que alegaba la parte reclamante agrava la supuesta negligencia de XFERA. En relación con esto, alega que las obligaciones de XFERA como operadora de telecomunicaciones no abarcan el contenido o finalidades que los emisores de las llamadas puedan hacer de estas, motivo por el que no resulta imputable o vinculable a esta parte, a ningún nivel, la realización de estas. Es evidente que no puede hacerse a XFERA responsable del contenido de las llamadas. Pero en lo que hace énfasis la propuesta de resolución sobre la que se alega, es que la falta de conservación de unos datos exactos y correctos tuvo como consecuencia que esta Agencia no pudiera sancionar una posible infracción consistente en la realización de llamadas comerciales sin base legitimadora. Con ello, cierto es que XFERA no es responsable del contenido de ninguna llamada, pero sí lo es de no conservar datos adecuados y exactos, lo que, de haberse producido, habrían permitido a esta Agencia determinar el sujeto responsable de una posible infracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/46 administrativa de su competencia. Ello por no mencionar que lo mismo habría sucedido si los datos de identidad del titular hubiesen sido requeridos por un juez para la determinación de la posible responsabilidad de un delito penal. Aparte, discrepa la parte reclamada en que se haya considerado la concurrencia de una negligencia grave. Teniendo en cuenta, a juicio de XFERA, que no podía realizar comprobaciones de la veracidad de los datos aportados, se estaría produciendo un supuesto de “responsabilidad objetiva” o por el resultado. A este respecto, analizada la concurrencia de la apreciación de una circunstancia como la negligencia grave prevista en la propuesta de resolución, se aprecia que el motivo de dicha concurrencia es similar al argumento principal utilizado a lo largo de esta resolución para la imputación de la infracción, esto es, la ausencia de controles sobre la actividad del encargado, y sobre los datos resultantes de las contrataciones por este. De este modo, no queda suficientemente justificada la consideración de esta circunstancia en la graduación de la sanción, ya que forma parte de la motivación sustancial de la imputación. Con ello, se considera que no procede aplicar a esta infracción la circunstancia de concurrencia de negligencia grave y se reduce la cuantía de la sanción conforme se detalla en el Fundamento octavo de esta resolución. También objeta la parte reclamante a la inclusión de la agravante de vinculación con el tratamiento habitual de datos personales. Indica que esta agravante no podría aplicarse de manera genérica, sino relacionada con el tipo de tratamiento al que se refiere este expediente. Y así se hace. Conforme a la disposición adicional única de la Ley 25/2007, de 18 de octubre, los operadores que comercialicen tarjetas prepago de telefonía tienen la obligación de conservar los datos establecidos en dicha disposición respecto a todos y cada uno de los clientes que las contraten, Con ello, este tipo de tratamiento forma parte de la actividad habitual y diaria. Cada vez que se produzca una contratación, surge la obligación, como decimos para todos los clientes. Resulta difícil objetar que XFERA sea un sujeto respecto de cual se produce una “vinculación con el tratamiento habitual de datos personales”, circunstancia prevista en el artículo 76 de la LOPDGDD. Circunstancias no contempladas y que, a juicio de XFERA, atenuarían su responsabilidad En primer lugar afirma que no habría sido tomado en consideración la falta de daño efectiva a un interesado A este respecto cabe precisar que en este procedimiento no ha establecido como criterio agravante la existencia de daño a un interesado. No obstante, la ausencia del mismo tampoco puede ser considerada como atenuante. Además, debe tenerse en cuenta que, en la investigación realizada en este procedimiento, la ausencia de datos exactos por parte de la parte reclamada, impidió investigar adecuadamente la infracción inicialmente denunciada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/46 Alegan que cuentan con una adhesión al Código de Conducta de Autocontrol para el “Tratamientos de datos en la actividad publicitaria”, aprobado por la AEPD. Tampoco cabe apreciar como atenuante esta circunstancia, toda vez que la mera adhesión formal al código de conducta no tiene trascendencia alguna en el supuesto enjuiciado. Recordemos que se sanciona por el tratamiento de datos inexactos y no por la realización de actividades publicitarias, por más que la reclamación inicial se refiriera a estas últimas. No habría obtención de beneficio derivado de la conducta presuntamente infractora Las sanciones deberán ser en cada caso individual efectivas, proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD. Admitir la ausencia de beneficios como una atenuante, no solo es contrario a los presupuestos de hechos contemplados en el artículo 76.2.
- c)LOPDGDD, sino también contrario a lo establecido en el artículo 83.2.
- k)del RGPD y a los principios señalados. Así, valorar la ausencia de beneficios como una atenuante anularía el efecto disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que inciden efectivamente en su cuantificación, reportando al responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. La Sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020, indica: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del art. 76.2.
- c)de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su aplicación como atenuante. Asimismo, se alegan el “espíritu colaborativo” demostrado durante la actuación investigadora de la AEPD. No puede considerarse como atenuante el cumplimiento de un deber legal, toda vez que, conforme al artículo 52 de la LOPDGDD, los sujetos investigados deben prestar la colaboración requerida a la inspección de la AEPD. Por lo tanto, y en atención a lo reflejado en los aparatados anteriores, procede desestimar las alegaciones presentadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/46 Finalmente, por el mismo motivo, esto es que de apreciarse en sentido positivo constituirían agravantes pero no son atenuante si no concurren, permiten desestimar factores como: - El bloqueo de línea telefónica cuando se comprobó la inexactitud del dato, El no tratamiento de categorías especiales de datos personales I. Práctica de prueba propuesta A continuación, se contesta a la prueba propuesta por la parte reclamada: 1. Documental, consistente en la unión al procedimiento de los documentos aportados con este escrito. Se aceptó y unió al expediente. 2. Más documental, consistente en que esta digna Agencia libre atento oficio a la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales, a efectos de solicitar copia del expediente sancionador SAN00067/23, en el marco del cual se dictó la resolución aportada junto al escrito de alegaciones; A este respecto, analizada la resolución aportada por la parte reclamada, se observa que esta decreta el archivo de procedimiento sancionador inicialmente abierto a XFERA por su presunto incumplimiento de las obligaciones de identificación de titulares de tarjetas prepago conforme a la Ley 25/2007. El archivo se basa en el informe emitido por el Ministerio del Interior en el que se contienen afirmaciones como: “Es responsabilidad del punto de venta comprobar visualmente el documento acreditativo que aporte la persona contratante del servicio antes de apuntar dicha información en el libro registro para comprobar su veracidad” “Este Grupo es conocedor de que la operadora de comunicaciones tiene procedimientos automáticos y manuales para la lucha contra el fraude.” A este respecto, procede rechazar la práctica propuesta por dos motivos: primero, porque su práctica no alteraría el resultado de este expediente, toda vez que va referido a la responsabilidad del operador o distribuidor por el cumplimiento de la propia Ley 25/2007, y no incide en aspectos relativos a la protección de datos y a la peculiar relación existente entre responsable y encargado conforme se motiva en esta resolución. Y segundo porque, con independencia del motivo anterior, ya consta en el expediente, aportada por la propia parte reclamada, la resolución que contiene los criterios que la misma pretende que se apliquen al presente procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/46 3. Testifical por escrito, consistente en esta Agencia libre oficio a FULLCARGA IBÉRICA, S.L., a efectos de