← España

PS-00093-2019

1/14 Procedimiento Nº: PS/00093/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en consideración a los siguientes ANTECEDENTES PRIMERO: En fecha 07/08/2018 tiene entrada en la Agencia Española de Protección de Datos (AEPD), remitida por la Autoridad Catalana de Protección de Datos, una reclamación formulada por Dª A.A.A. (en adelante, la reclamante) frente a VODAFONE ESPAÑA, S.A.U., con NIF A80907397 (en adelante la reclamada o VODAFONE). La reclamante presenta denuncia en fecha 18/06/2018 ante la OMIC del Ayuntamiento de ***AYUNTAMIENTO.1 -quien a su vez remite la denuncia a la Autoridad Catalana de Protección de Datos- en la que expone que a principios de junio de 2018 recibe una llamada telefónica de una persona desconocida que le informa de que VODAFONE le ha remitido a su nombre y a su domicilio documentación relativa a un contrato de la reclamante en la que se incluyen sus datos personales. Se aporta anexa a la reclamación una copia de los documentos siguientes: - El NIF de la reclamante: ***NIF.1 - Varios documentos con el anagrama de VODAFONE: una carta dando la bienvenida al cliente y agradeciendo la confianza depositada en la entidad; un documento contractual (“Contrato de Venta a plazos para clientes particulares”), que lleva la indicación “copia para el cliente” y en el que constan los siguientes datos: “Nº Línea asociada” ***TELÉFONO.1; como “Datos del Cliente”, A.A.A., NIF ***NIF.1, número de teléfono de VODAFONE ***TELÉFONO.1 y domicilio “Calle ***DIRECCIÓN.1”. - Un sobre con el anagrama de VODAFONE y con los sellos de Correos dirigido a B.B.B., ***DIRECCIÓN.2 SEGUNDO: A la vista de los hechos expuestos, la AEPD desplegó las siguientes actuaciones: A.- En el ámbito del expediente de referencia E/6509/2018, la AEPD, de acuerdo con lo previsto en el artículo 9.4 del Real Decreto-Ley 5/2018, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos -norma que entró en vigor el 31/07/2018 y estuvo vigente hasta su derogación por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de datos de carácter personal y garantía de los derechos digitales (LOPDGDD)- dio traslado a VODAFONE de una copia de la reclamación. En ese escrito, de fecha 27/09/2018, se solicitó a VODAFONE que informara sobre las causas que habían motivado la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 incidencia que originó la reclamación, sobre las medidas adoptadas para evitar que en el futuro se produzcan hechos similares y que acreditara haber comunicado estos extremos al reclamante. La notificación, a través de notific@, fue aceptada por la operadora el 04/10/2018. VODAFONE responde el 09/10/2018 y manifiesta que el escrito de reclamación ésta redactado íntegramente en catalán y, además, resultaba ilegible. En fecha 26/11/2018 se acuerda la admisión a trámite de la reclamación. B. En el marco del expediente de referencia E/10517/2018, se inician Actuaciones de Investigación Previa al amparo del artículo 11 del Real Decreto-Ley 5/2018, actualmente artículo 67 de la LOPDGDD. Por la Inspección de datos se dirige un requerimiento informativo a VODAFONE el 28/01/2019 que responde el 01/02/2019. Se emite por el Inspector Actuante el Informe de Actuaciones de Investigación (firmado el 15/02/2019) del que se reproduce el siguiente fragmento: <<Con fecha 4 de octubre de 2018 se da traslado de la denuncia a la entidad denunciada, en el marco de las actuaciones E/6509/2018. Con fecha 9 de octubre de 2018, se recibe contestación de VODAFONE al traslado, indicando que la denuncia no es legible y que está redactada en Catalán. Con fecha 28 de diciembre se inician las presentes actuaciones de investigación. Con fecha 28 de enero de 2019, se remite requerimiento de información a VODAFONE en relación con los hechos denunciados: Con fecha 1 de febrero de 2019, VODAFONE remite a la Agencia la siguiente información en relación con dichos hechos: Ante la falta de contestación al traslado, con fecha 12 de diciembre de 2018, se inician las presentes actuaciones de investigación. Con fecha 21 de diciembre de 2018 y 29 de enero de 2019, TELEFONICA DE ESPAÑA S.A. ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1 Aportan copia de las tres direcciones que constan en sus ficheros asociadas a la denunciante, que son las que constan en los contratos suscritos con la compañía, donde se verifica que ninguna de ellas coincide con la dirección a la que se remitió la documentación de su contratación. 1. Respecto al envió de la documentación por correo postal a otra dirección diferente: a. Aportan copia de la información que les consta relativa a la incidencia, entre la que figura:  Con fecha 6 de junio de 2018, “Hay un caso de fraude, no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 cataloga como fraude, parece error de envío y que se confundieron varias cartas a un par de clientes”.  Con la misma fecha “Cliente indica que le llamo una persona desconocida, que le llego una carta con su información personal”.  Con fecha 12 de junio de 2018, “hablo con la tit. dice que ha recibido un sobre en el que aparecía su nombre, pero dentro del sobre aparecían los datos de otro cliente, el otro cliente ha recibido también un sobre con los datos del cliente xxxxxx, tienen que ir en la tienda con los sobres para dirigirlos al dep. habilitado. La situación no se puede gestionar desde el dep. de fraude”. 2. Respecto a las causas de la incidencia manifiestan que: Se ha tratado de un error puntual a la hora de enviar el contrato. Inicialmente se investigó la situación por si se trataba de un caso de fraude en la contratación, pero finalmente se concluyó que había sido un error puntual.>> TERCERO: Con fecha 01/04/2019, la Directora de la Agencia Española de Protección de Datos acuerda iniciar procedimiento sancionador a VODAFONE por la presunta infracción del artículo 5.1.

  1. f)del RGPD, tipificada en el artículo 83.5 del Reglamento (UE) 2016/679. El importe de la sanción de multa administrativa fijada en el acuerdo de inicio es de 55.000 euros. CUARTO: El 16/04/2019 tienen entrada en la AEPD las alegaciones de VODAFONE al acuerdo de inicio del expediente PS/00093/2019 por “el supuesto incumplimiento de lo dispuesto en los artículos 5.1.
  2. f)del RGPD y el artículo 72.1.a de la LOPDGDD”. La reclamada dice en su alegación segunda: “Vodafone reconoce su responsabilidad frente a los hechos denunciados, los cuales han sido motivados por un error humano a la hora de enviar el contrato a la Sra. A.A.A., introduciendo en el sobre la dirección errónea perteneciente a otra persona. Como puede entenderse, en ningún caso existe intencionalidad ni mucho menos dolo en la actuación de mi representada, sino que los hechos se han producido por un error humano, tal y como quedó acreditado en las alegaciones que se presentaron en el requerimiento de información E/10517/2018” (El subrayado es de la AEPD) “Por tanto, si bien mi representada reconoce los hechos ocurridos y el error que los motivó de conformidad con el artículo 85 de la Ley 39/2015 de 1 de octubre, ...quiere resaltar que, conforme a la propia doctrina de la AEPD, es necesario poner en relación la existencia de un error humano con la ausencia de culpabilidad que debe regir toda actuación sancionadora”. La reclamada solicita el “sobreseimiento del expediente y consiguiente archivo de actuaciones” y “Subsidiariamente” “imponer a mi representada la sanción por importe de 44.000 euros al haber reconocido mi representada los hechos que han motivado el presente procedimiento sancionador, aplicando por tanto la reducción del 20% en el importe de la sanción de conformidad con el artículo 85 de la LPACAP.” (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 QUINTO: En fecha 12/12/2019 tiene entrada en el Registro de la AEPD un escrito de la reclamada en el que, después de exponer que formuló en fecha 05/04/2019 las alegaciones pertinentes para su defensa frente al acuerdo de inicio del procedimiento sancionador PS/0093/2019, hace esta manifestación: “Habiendo reconocido mi representada los hechos que han motivado el presente procedimiento sancionador, y solicitando por tanto la aplicación de la reducción del 20% en el importe de la sanción de conformidad con el artículo 85 de la LPACAP, de conformidad con el citado artículo, procede ahora mi representada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa en lo relativo a este supuesto de hecho” (El subrayado es de la AEPD) SEXTO: El artículo 82.4 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) dispone: “Se podrá prescindir del trámite de audiencia cuando no figuren en el procedimiento ni sean tenidos en cuenta en la resolución otros hechos ni otras alegaciones y pruebas que las aducidas por el interesado”. A su vez, el artículo 85.1 de la LPACAP dice: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda”. (El subrayado es de la AEPD) De las actuaciones practicadas han quedado acreditados los siguientes HECHOS 1.- A.A.A., con DNI ***NIF.1 -cuya copia obra en el expediente-, presentó el 18/06/2018 reclamación contra VODAFONE ante la OMIC del Ayuntamiento de su residencia. En su escrito de reclamación facilita estos datos personales: domicilio calle ***DIRECCIÓN.1 y teléfono ***TELÉFONO.1. La reclamante manifestó que a principios de junio recibe una llamada telefónica de una persona que le comunica que VODAFONE le ha enviado a su domicilio, dirigido a su atención, una carta con documentos que contienen datos personales de la reclamante. El 17/07/2019 el Ayuntamiento da traslado de la reclamación contra VODAFONE y de los documentos aportados por la reclamante a la Autoridad Catalana de Protección de Datos. Ésta remite la documentación a la AEPD en fecha 07/08/2018. 2.- Los documentos que la reclamante facilitó con su reclamación son los siguientes: - La copia del anverso de un sobre que con franqueo de Correos que lleva en la esquina inferior izquierda el anagrama de VODAFONE y estos datos del destinatario: B.B.B., Avenida de ***DIRECCIÓN.2”. - Un documento con el anagrama de VODAFONE denominado “Contrato de venta a plazos para clientes particulares”. En la esquina superior derecha figura la indicación “Copia para el cliente”, en la izquierda “EU-5/87/6”. En el cuerpo del documento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 aparecen dos recuadros. En el primero de ellos, “Datos de terminales” se indica como “Nº línea asociada” el ***TELÉFONO.1. En el segundo, “Datos del Cliente”, figuran el nombre y apellidos de la reclamante (A.A.A.); su NIF (***NIF.1) el número de teléfono Vodafone (***TELÉFONO.1) y el domicilio (calle ***DIRECCIÓN.1”. - Dos documentos con el anagrama de la operadora reclamada relativos, respectivamente, al “Desistimiento” del contrato y a las “condiciones generales de tu tarifa sin promociones aplicadas”. 3.- En el curso de las actuaciones de investigación previa E/10517/2018, VODAFONE respondió en los siguientes términos al requerimiento informativo que se le hizo en relación con las causas por las cuales la documentación relativa a un contrato de la denunciante había sido remitida por correo postal a un tercero (B.B.B.): << Hay caso de fraude, no se cataloga como fraude, parece error de envío y que se confundieron varias cartas a un par de clientes. Te pego caso y transcripción. I79853853 06/06/2018 21:01:00 12/06/2018 18:54:43 No procede FRAUDE 12/06/2018 21:01:00 Sin subcasos. *** REGISTRO TELEFÓNICO 06/06/2018 21:04:16 rparien Konecta Family *** Cliente indica que le llamó una persona desconocida. Que le llegó una carta con su información personal de VF. ***TELÉFONO.2 -Cliente con documento (nmro del cliente de la persona que le han llegado sus datos) L Ha llegado una carta con los datos d otra persona ***NOTAS 06/06/201821:0716 rparien. Tipo de acción: Registro de Notas Konecta Family*** EL TELÉFONO DEL CLIENTE QUE L HA LLEGADO DOCUMENTACIÓN DE OTRA PERSONA – ***TELÉFONO.3 [sólo para uso interno] ***NOTAS 12/062018 18:53:53 cmtite. Tipo de acción: Registro de Notas FRAUDE*** ***NIF.1 hablo con la tit, dice que ha recibido un sobre en el cual aparecía su nombre, pero dentro del sobre aparecían los datos de otro cliente el otro cliente ha recibido también un sobre con los datos del cliente ***NIF.1 tienen que ir a la tienda con los sobres para dirigirlos al dep habilitado la situación no se puede gestionar desde el dep de fraude>> (El subrayado es de la AEPD) FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 II El RGPD se ocupa en su artículo 5 de los principios que han de regir el tratamiento de los datos personales y menciona entre ellos los de “integridad y confidencialidad”. El precepto dispone: “1. Los datos personales serán: (…)
  3. f)Tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. (<<integridad y confidencialidad>>)” El Considerando 39 del RGPD dice sobre el particular: “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” (El subrayado es de la AEPD) La infracción del artículo 5.1.
  4. f)del RGPD se encuentra tipificada en el artículo 83 del citado texto legal. Bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, dice: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  5. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), a efectos de prescripción, califica de muy graves (artículo 72.1.) “las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes:
  6. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE)2016/679.” III Se atribuye a VODAFONE en el presente expediente sancionador una infracción del artículo 5.1.
  7. f)del RGPD. La documentación que obra en el expediente administrativo ofrece evidencias de que VODAFONE vulneró los principios de integridad y confidencialidad. A tenor de la documentación que obra en el expediente queda acreditado que VODAFONE remitió a un tercero (B.B.B.) documentación que incorporaba datos personales de la reclamante: nombre y dos apellidos; NIF; número de teléfono móvil y dirección postal. Nos remitimos en tal sentido, por una parte, a los documentos aportados por la reclamante: la copia del sobre con el anagrama de VODAFONE en el que figuraba como destinatario el nombre, apellidos y domicilio del tercero y la copia de un contrato a nombre de la reclamante -“copia para el cliente”- que incorporaba sus datos personales. Por otra, a lo manifestado por la reclamante en su denuncia ante la OMIC -que una persona desconocida se había puesto en contacto telefónico con ella para informarle de que había recibido en un sobre dirigido a su atención documentos de la afectada-. Explicación que coincide plenamente con las anotaciones procedentes de los sistemas de VODAFONE que la reclamada facilitó a la AEPD en el curso de la investigación previa. Las anotaciones aportadas por VODAFONE son un documento interno que a juicio de la entidad explica lo ocurrido. Del examen de tales anotaciones se evidencia que un tercero llamó el 06/06/2018 a la operadora. Según la anotación: “Cliente indica que le llamó una persona desconocida. Que le llegó una carta con su información personal de VF. ***TELÉFONO.2 -Cliente con documento (nmro del cliente de la persona que le han llegado sus datos) L Ha llegado una carta con los datos d otra persona “EL TELÉFONO DEL CLIENTE QUE L HA LLEGADO DOCUMENTACIÓN DE OTRA PERSONA – ***TELÉFONO.3 [sólo para uso interno]” Se evidencia también de las anotaciones de VODAFONE que la reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 (titular del NIF ***NIF.1) contactó telefónicamente con el servicio de la operadora el 12/06/2018 y explicó, no sólo que otro cliente había recibido un sobre con sus datos personales, sino además, añadió que ella había recibido un sobre en el que figuraba su nombre pero que contenía documentos relativos a la persona que a su vez había recibido los suyos: “***NIF.1 hablo con la tit, dice que ha recibido un sobre en el cual aparecía su nombre, pero dentro del sobre aparecían los datos de otro cliente. el otro cliente ha recibido también un sobre con los datos del cliente ***NIF.1” Parece obvio, pues, que ambas partes, la reclamante y el tercero que recibió sus documentos, tuvieron que acceder a la información que figuraba en el sobre recibido de VODAFONE a su nombre, pero que concernía a la otra persona, pues sólo así pudieron llegar a conocer que la documentación que habían recibido de la entidad reclamada no era suya. Acreditado que VODAFONE vulneró los principios de integridad y confidencialidad en relación a los datos personales de la reclamante -habida cuenta de que remitió a un tercero documentos con datos personales de la afectada y que el tercero tuvo que acceder a esos datos como único medio para contactar con ella o identificarla ante la entidad reclamada- se ha de valorar si intervino culpa de la reclamada o si omitió la diligencia que era procedente, atendidas las circunstancias del caso, imprescindible para que la conducta analizada sea subsumible en el tipo infractor del artículo 83.5. del RGPD. Rige en nuestro Derecho sancionador el principio de culpabilidad, que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento de la culpabilidad en sentido amplio, como condición para que nazca la responsabilidad sancionadora, ha sido reconocida por el Tribunal Constitucional, entre otras, en su STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la C.E., es imprescindible su existencia para imponerla. La Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” (El subrayado es de la AEPD) La reclamada ha manifestado en sus alegaciones al acuerdo de inicio que estamos ante un mero error humano en el que no ha intervenido intencionalidad o dolo por su parte razón por la cual, a su juicio, procedería el archivo de las actuaciones. Recordemos a ese respecto que conforme al artículo 5.2 del RGPD (principio de responsabilidad proactiva) la entidad reclamada debería haber aportado la documentación pertinente que acreditara que tenía implantadas las medidas técnicas y organizativas que garantizaban el nivel de seguridad adecuado contra la pérdida de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 datos o el tratamiento no autorizado. Sin embargo, VODAFONE nada ha aportado en tal sentido limitándose a afirmar que estamos ante un “mero error humano”. En cumplimiento de las obligaciones que el RGPD impone al responsable del tratamiento éste debe desplegar la diligencia mínima que requieren las circunstancias del caso adoptando las medidas técnicas y organizativas pertinentes. Es ilustrativa la SAN de 29/04/2020 -que, si bien se dictó en un asunto de contratación fraudulenta y bajo la normativa anterior, es perfectamente extrapolable al que nos ocupa- cuyo Fundamento Jurídico sexto dice: “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) A propósito del elemento de la culpabilidad en el procedimiento administrativo sancionador parece conveniente referirnos a la SAN de 30/05/2015 (Rec. 163/2014) que conecta la “reprochabilidad” a una persona jurídica de una determinada conducta con la circunstancia de que aquella “hubiera dispensado o no una eficaz protección al bien jurídico protegido por la norma”. El Fundamento de Derecho segundo de la citada Sentencia dice: <<No obstante, el modo de atribución de la responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto a las personas físicas. Según STC 246/1999 “(…) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma”>> (El subrayado es de la AEPD) En definitiva, la conducta de VODAFONE, materializada en la infracción de los principios de integridad y confidencialidad respecto a los datos personales de la reclamante –nombre, dos apellidos, NIF, teléfono móvil y domicilio–, pues envió el contrato de la reclamante que contenía sus datos personales a un tercero sin haber acreditado que tuviera implantadas cuando acontecieron los hechos las medidas técnicas y organizativas necesarias para garantizar la seguridad y confidencialidad de los datos de sus clientes con el fin de impedir hechos como los que nos ocupan, vulnera el artículo 5.1.
  8. f)del RGPD, actuación subsumible en el tipo sancionador del artículo 83.5 del RGPD. IV El artículo 58 del RGPD, “Poderes”, establece en el punto 2: “2 Cada autoridad de control dispondrá de todos los siguientes poderes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 correctivos indicados a continuación: (…)
  9. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” A fin de determinar la multa administrativa que es procedente imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  10. a)a
  11. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  12. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  13. b)la intencionalidad o negligencia en la infracción;
  14. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  15. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  16. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  17. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  18. g)las categorías de los datos de carácter personal afectados por la infracción;
  19. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  20. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  21. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  22. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  23. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 “2. De acuerdo a lo previsto en el artículo 83.2.
  24. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  25. a)El carácter continuado de la infracción.
  26. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  27. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  28. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  29. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  30. f)La afectación a los derechos de los menores.
  31. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  32. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De conformidad con los preceptos transcritos, a efectos de fijar el importe de la multa a imponer a VODAFONE ESPAÑA, S.A.U., como responsable de una infracción tipificada en el artículo 83.5.
  33. a)del RGPD, es necesario hacer dos precisiones. La primera, que el artículo 83.2 RGPD exige que la autoridad de control garantice que la sanción a imponer sea en cada caso “efectiva, proporcionada y disuasoria” y, la segunda, que el importe de la sanción prevista en el RGPD para las infracciones contempladas en el artículo 83.5 tiene como límite máximo la mayor de estas dos cantidades: 20.000.000 de euros o el 4% del volumen de negocio total anual global del ejercicio financiero anterior. Durante el ejercicio 2017 la cifra de negocio de VODAFONE ascendió a 4.978 millones de euros, por lo que el 4% de esta cantidad asciende a 199.120.000 euros. Como se indicó en el acuerdo de inicio del expediente se aprecia la concurrencia de los siguientes factores que inciden en la antijuridicidad y culpabilidad de la actuación de VODAFONE y por tanto en la determinación del importe de la sanción: -El alcance meramente local del tratamiento de datos efectuado por la reclamada. -Las personas afectadas por la conducta de VODAFONE que presuntamente vulnera el RGPD han sido dos. -El daño causado a los afectados por el tratamiento de sus datos no llega a ser muy significativo. -La falta de diligencia de VODAFONE puede calificarse de leve. Los hechos no son debidos a la inexactitud de los datos que constan en los ficheros de la entidad. En tal sentido la reclamada facilitó a esta Agencia los tres domicilios que figuran en sus ficheros asociados a la reclamante -ninguno de los cuales coincide con el domicilio del tercero al que se envió el documento de la reclamante con sus datos personales- y además explicó cuál era la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 procedencia de cada uno de ellos. - La evidente vinculación entre la actividad empresarial de VODAFONE y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD) - El volumen de negocio o cifra de actividad de la entidad (artículo 83.2.a, del RGPD) Estamos en presencia de una gran empresa del sector de las telecomunicaciones. El volumen total anual global del ejercicio financiero 2017 ascendió a 4.978.0000.000 de euros. - El alcance del tratamiento (artículo 83.2.a, RGPD) pues los datos personales de la reclamante afectados por la infracción del artículo 5.1.
  34. f)RGPD fueron varios: el nombre y dos apellidos, NIF, domicilio particular y número de teléfono móvil. V El artículo 85 de la LPACAP establece: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. (…) 3.(…) cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará las reducciones de, al menos el 20% sobre el importe de la sanción propuesta, siendo éstas acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción.” En sus alegaciones al acuerdo de inicio del procedimiento sancionador, de fecha 16/04/2019, VODAFONE reconoció su responsabilidad frente a los hechos denunciados y solicitó que se aplicará la reducción del 20% en el importe de la sanción, de conformidad con el artículo 85 LPACAP. En escrito de fecha 12/12/2019 VODAFONE ha manifestado que habiendo solicitado la aplicación de la reducción del importe de la sanción conforme al artículo 85 LPACAP procede, en relación con el supuesto de hecho analizado, a la renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del artículo 5.1.
  35. f)del RGPD, tipificada en el artículo 83.5 del RGPD, tras la aplicación del artículo 85.1 y3 de la LPACAP, una multa de 44.000 euros (cuarenta y cuatro mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  36. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  37. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.