PS-00077-2020

1/5  Procedimiento Nº: PS/00077/2020 938-300320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 4 de octubre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Xfera Móviles, S.A. con NIF A82528548 (en adelante, el reclamado). El reclamante manifiesta que el día 1 de octubre de 2019 recibe una llamada presuntamente de Movistar, en la cual le transmiten que “han sacado una nueva plataforma para pensionistas que se llama MásMóvil y que supondría un importante descuento sobre lo que paga”. Añade, que de lo anteriormente expuesto se deduce, que conocen todos sus datos personales, los números de sus cuatro líneas de teléfono contratadas con Movistar, ADSL, domicilio, sus dos cuentas bancarías de pago de las facturas telefónicas. Precisamente, le manifiestan que Movistar le va a llamar para facilitarle un código, tras lo cual le solicitaran éste. Así las cosas, presentó reclamación ante Movistar, en su respuesta le manifiestan que se trata de un fraude, que MásMóvil se hace pasar por Movistar, introduce el número de teléfono fijo en el área personal del cliente y da a olvidé contraseña, entonces Movistar llama y facilita al cliente una nueva contraseña y el cliente, a su vez, se la facilita a MásMóvil para acceder a sus datos. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistentes en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubiere designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. Como resultado de este trámite: 1º.Telefónica Móviles España, S.A.U. manifiesta a esta Agencia, con fecha 20 de diciembre de 2019, que no les consta que hayan realizado las llamadas relativas a la oferta que menciona el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 2º.En el marco del expediente E/10551/2019, mediante escrito firmado el 18 de noviembre de 2019, se dio traslado de la reclamación al reclamado solicitándole que en el plazo de un mes facilitara información sobre los hechos expuestos en la reclamación y detallara las medidas adoptadas para evitar que en el futuro se produzcan situaciones similares. El escrito se notificó al reclamado electrónicamente siendo la fecha de aceptación de la notificación el día 20 del mismo mes y año, tal como lo acredita el certificado expedido por la FNMT que obra en el expediente. Transcurrido el plazo concedido a la reclamada sin que hubiera respondido a la solicitud de información, de conformidad con lo dispuesto en el artículo 65.2 de la Ley Orgánica 3/2018, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), en fecha 03/03/2020, se firma el acuerdo de admisión a trámite de la presente reclamación. TERCERO: Con fecha 8 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifiesta que no dispone de la información indicada por el reclamante en sus bases de datos, ni capacidad de tenerla si no la facilita el reclamante. Añaden, que han podido comprobar que la línea desde donde realizan las llamadas no es una numeración asignada al reclamado, por lo que el responsable de haber realizado tal llamada, y por tanto, el responsable del tratamiento y de la infracción, será el cliente que tenga asignado dicha numeración y por lo tanto existen indicios de estafa. QUINTO: Con fecha 10 de julio de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/10551/2019, así como los documentos aportados por el reclamado. HECHOS PROBADOS 1º El 4 de octubre de 2019, el reclamante manifiesta que el día 1 del mismo mes y año recibe una llamada presuntamente de Movistar, de la cual se desprende que conocen todos sus datos personales. Sin embargo, Movistar le manifiesta que es un fraude. Por otra parte, señala que la línea llamante se hace pasar por el reclamado. 2º El 29 de junio de 2020, el reclamado manifiesta que han podido comprobar que la línea desde donde se realizan las llamadas no es una numeración asignada al reclamado, por lo que el responsable de haber realizado tal llamada, y por tanto, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 responsable del tratamiento y de la infracción, será el cliente que tenga asignado dicha numeración y por lo tanto existen indicios de estafa. 3º En la documentación aportada por el reclamado, consta que no es titular de la línea llamante. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) establece en su artículo 89.1 que se “resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre alguna de las circunstancias siguientes:

1. a)La inexistencia de los hechos que pudieran constituir la infracción”. III Se imputa al reclamado la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
4. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
5. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV En el supuesto que nos ocupa, se ha acreditado que el reclamado no es el titular de la línea llamante. Consta que la llamada recibida por el reclamante no es una numeración asignada a la parte reclamada, por lo que no es el responsable de haber realizado la misma. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00077/2020, instruido a XFERA MÓVILES, S.A., con NIF A82528548, por haber acreditado que no es el titular de la línea llamante. SEGUNDO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A., con NIF A82528548. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
6. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es