PS-00097-2025

1/24  Expediente Nº: EXP202415278 (PS/00097/2025) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 28 de octubre de 2024 se presentó escrito de reclamación ante la Agencia Española de Protección de Datos (en lo sucesivo, AEPD). La reclamación se dirige contra la entidad, XFERA MÓVILES, S.A.U. con NIF.: A82528548, (en adelante, XFERA o la parte reclamada), por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en adelante, LSSI). La parte reclamante expone en su escrito que, pese a tener inscrita su línea telefónica ***TELÉFONO.1 en la Lista Robinson desde hacía más de un año, el 1 de octubre de 2024 recibió publicidad por SMS de MasMovil, sin haberla solicitado de forma expresa ni haber sido cliente de dicha compañía. Junto al escrito de reclamación, se acompaña la siguiente documentación: Captura del SMS recibido desde “MasMovil” (marca registrada de XFERA), con el siguiente mensaje: “ES MOMENTO DE AHORRAR: 20 GB para tu móvil + llamadas ilimitadas por SOLO 4.90 E/mes 12 meses luego 9.90E/mes. Llama gratis 900696954 No + publi bit.ly/2i1aB From: MasMovil 01/10/24” Captura del SMS recibido desde “Yoigo” (marca registrada de XFERA), con los siguientes mensajes: “Estrena ya nuevo IPhone 16 con Yoigo por SOLO 17,75E/mes y Navega SIN Límite con GB infinitos. Llama gratis 900696231 No + Publi bit.ly/2ycja From: Yoigo 23/10/24 ” SEGUNDO: Con fecha 28 de enero de 2025, de conformidad con lo estipulado en el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: Con fecha 19 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta vulneración del artículo 21.1 de la LSSI, tipificada como leve en el art. 38.4.

1. d)de dicha norma, por el envío de comunicaciones comerciales vía SMS sin haberlas solicitado o expresamente autorizado. CUARTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, con fecha 4 de abril de 2025, la parte reclamada presentó escrito de alegaciones en el que manifestaba, en síntesis, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/24 - Sostiene que el consentimiento para el envío de comunicaciones comerciales a la línea ***TELÉFONO.1 fue recabado por AD735 DATA MEDIA ADVERTISING, S.L. (AD735) el día 23 de abril de 2023, con ocasión de la participación del usuario en un sorteo celebrado a través del sitio web premium-sales.es. Durante dicho proceso, el interesado habría aceptado la política de privacidad, las condiciones y las bases legales, marcando expresamente la casilla destinada a autorizar la recepción de comunicaciones comerciales por parte de terceras entidades. Expone que AD735 ostentaría la condición de responsable del fichero denominado “PREMIUM SALES”, en el que se habrían incorporado los datos identificativos, junto con la dirección IP utilizada en la citada participación. Añade que los SMS remitidos incluían un enlace operativo para gestionar la baja, lo que, a su juicio, evidenciaría la existencia de un mecanismo adecuado para el ejercicio del derecho de oposición. En relación con el log de consentimiento aportado, en el que constan datos identificativos que no coincidirían con los de la persona reclamante, reconoce la existencia de dicha discrepancia, si bien la justifica en un eventual cambio de titularidad de la línea telefónica con posterioridad a la prestación del consentimiento inicial. Con base en ello, sostiene que tal circunstancia no afectaría a la validez del consentimiento inicialmente otorgado, en tanto no conste su revocación expresa. Afirma igualmente que no existían indicios que permitiesen considerar revocado el consentimiento. Alega que, de haber solicitado la actual titular su baja, ésta se habría tramitado sin dificultad. Añade que, tras la recepción del Acuerdo de Inicio, procedió a suprimir la línea afectada de la base de datos comercial, considerando además que la persona reclamante debió haber solicitado la baja ante XFERA o AD735 antes de dirigirse a la AEPD. - Sobre la indefensión por falta de actuación previa de la AEPD y omisión del sistema de mediación de AUTOCONTROL: Alega que la AEPD habría vulnerado su derecho a una adecuada tramitación del procedimiento y a la defensa, al iniciar directamente el procedimiento sancionador sin dirigirse previamente a la entidad ni activar los mecanismos previstos para la gestión de reclamaciones. Argumenta que XFERA se encuentra adherida al Código de Conducta para el Tratamiento de Datos en la Actividad Publicitaria de AUTOCONTROL, aprobado por la propia AEPD, y que dicho Código contempla un procedimiento extrajudicial de resolución de controversias aplicable a supuestos como el presente, el cual —a su juicio— debió emplearse con carácter previo a la apertura del procedimiento sancionador. Asimismo, afirma que la AEPD habría sustentado su actuación exclusivamente en las manifestaciones de la persona reclamante y no en pruebas de cargo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/24 cuando corresponde a la Administración acreditar los hechos constitutivos de la infracción. En consecuencia, sostiene que la incoación directa del procedimiento sancionador, sin actuaciones instructivas previas, le habría provocado indefensión y vulnerado derechos fundamentales. - Sobre la proporcionalidad de la sanción (art. 83.2 RGPD): Considera que no procedería la imposición de sanción, toda vez que existía consentimiento válido y se actuó con la diligencia exigible. En cualquier caso, sostiene que la eventual sanción sería desproporcionada, vulnerando el principio de proporcionalidad previsto en el artículo 29 de la Ley 40/2015 y rechaza, igualmente, la aplicación del criterio agravante de intencionalidad previsto en el artículo 40 de la LSSI, en tanto la existencia del consentimiento aportado impediría apreciar falta de diligencia o voluntad infractora. QUINTO: Con fecha 22 de agosto de 2025, el instructor del procedimiento acordó practicar las siguientes pruebas: Requerir a la entidad XFERA MÓVILES, S.A.U. para que aporte la información y/o documentación siguiente, en relación con alegaciones presentadas: - Confirmación de si presta servicio a la línea telefónica ***TELÉFONO.1 y, en su caso, desde que fecha y los cambios de titularidad en la línea que, eventualmente, se hubieran producido entre abril de 2023 y octubre de 2024. - La información previa que se facilita a los usuarios que prestan el consentimiento para recibir comunicaciones comerciales y el procedimiento para su obtención que según manifiesta en las alegaciones se recabó por la entidad AD735 DATA MEDIA ADVERTISING, S.L. en fecha de 23 de abril de 2023. 4. Requerir a la reclamante para que aporte la información y/o documentación siguiente, en relación con alegaciones presentadas: - Fecha desde la que es titular de la línea telefónica ***TELÉFONO.1 SEXTO: Con fecha 29 de agosto de 2025, la parte reclamante presenta escrito de contestación a la prueba practicada en el que manifiesta que la línea telefónica objeto de controversia le pertenece, al menos, desde el año 2008, inicialmente bajo el operador Eroski Móvil; que posteriormente fue subrogada a República Móvil en 2018; y que, en la actualidad, se encuentra operada por ***OPERADOR.1 Móvil desde el 21 de junio de 2021, circunstancia que acredita mediante el contrato de portabilidad de fecha 17 de junio de 2021 y la correspondiente factura. SÉPTIMO: Con fecha 15 de septiembre de 2025, la parte reclamada presenta escrito de contestación en el que manifiesta, en síntesis, lo siguiente: - Sobre la prestación del servicio a la línea ***TELÉFONO.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/24 Manifiesta que no presta ni ha prestado servicio alguno a la línea telefónica. Asimismo, indica que no consta cambio de operador durante el período comprendido entre abril de 2023 y octubre de 2024. Según consulta efectuada en el Registro de Numeración y Operadores de Telecomunicaciones de la CNMC, dicha línea consta asignada al operador ***OPERADOR.1. - Sobre el consentimiento y el procedimiento seguido para su obtención Expone que la reclamación trae causa de la recepción por la reclamante de dos mensajes SMS, uno vinculado a MásMóvil y otro a Yoigo, pese a que la interesada afirma no haber prestado su consentimiento. Sostiene que el consentimiento para el envío de comunicaciones comerciales habría sido obtenido el 23/04/23 por AD735, responsable del tratamiento, la cual gestiona un fichero denominado “PREMIUM SALES”, que incorpora datos identificativos de personas participantes a través del sitio web premium-sales.es. - Sobre el contexto de la obtención del consentimiento Señala que el consentimiento se habría otorgado en el marco de la participación en un sorteo, tras la aceptación de la política de privacidad, condiciones y bases legales, así como mediante la selección expresa de una casilla adicional que habilitaba la recepción de comunicaciones comerciales por parte de terceras entidades del sector de las telecomunicaciones, entre ellas XFERA. - Sobre la naturaleza de los SMS remitidos Indica que los SMS enviados no serían personalizados, sino de carácter genérico, remitiéndose en virtud del consentimiento referido e incluían un enlace para solicitar la baja en cualquier momento. - Sobre las actuaciones posteriores Afirma haber aportado toda la información disponible relativa al proceso de obtención del consentimiento llevado a cabo por AD735. Añade que, tras la recepción del Acuerdo de Inicio del presente expediente, procedió a dar de baja la línea afectada de su base de datos comercial. Junto al escrito de contestación se presenta la siguiente documentación: - Certificado de obtención de datos de carácter personal. Emisor: A.A.A., en representación de AD735 DATA MEDIA ADVERTISING, S.L. Fecha de firma: 26 de marzo de 2025, donde AD735 DATA MEDIA ADVERTISING, S.L., como titular y responsable del tratamiento de datos procedentes de un fichero automatizado denominado PREMIUM SALES. Datos personales obtenidos. Nombre y apellidos: B.B.B., Teléfono: ***TELÉFONO.1 Dirección: ***DIRECCIÓN.1 Código Postal: (…), Localidad: (…), Provincia: (…), Dirección IP: (...), Fecha de recogida de datos: 23/04/2023, 19:17:00 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/24 OCTAVO: En fecha 8 de octubre de 2025 se formuló propuesta de resolución, proponiendo que, por la Presidencia de la Agencia Española de Protección de Datos se sancionase a XFERA MÓVILES, S.A.U. con NIF.: A82528548, por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el art. 38.4.
2. d)de dicha norma, con una sanción de 10.000 euros (diez mil euros). NOVENO: En fecha 30 de octubre de 2025, la parte reclamada presenta ante esta Agencia escrito de alegaciones a la propuesta de resolución en el que indica, básicamente, lo siguiente: (…) El art. 21.1 de la LSSI condiciona la licitud del envío de comunicaciones comerciales a que el destinatario las hubiera solicitado o autorizado de forma expresa, siendo el elemento definidor del destinatario el identificador electrónico al que se dirige la comunicación, esto es, la numeración MSISDN1 (Mobile Station International Subscriber Directory Number): número telefónico completo que identifica de forma única a un abonado móvil en la red, incluyendo el código de país y el número de suscriptor. En el presente caso, se aportó certificado expedido por AD735, responsable del fichero “PREMIUM SALES”, que acredita la autorización para la numeración ***TELÉFONO.1 en fecha 23 de abril de 2023, en el marco de una dinámica promocional en la que el otorgante aceptó las bases legales, la política de privacidad y la casilla específica para la recepción de comunicaciones comerciales de terceros del sector de las telecomunicaciones, entre los que se incluye XFERA. Este documento, aportado como Documento Anexo nº1, unido a la existencia de mecanismos efectivos de oposición incorporados en los propios SMS (“No + publi”), evidencia que la actuación se realizó lícitamente y con la diligencia exigible. La discrepancia nominal invocada por la Agencia no desvirtúa la validez del consentimiento, pues la autorización va ligada al número de teléfono y no a la coincidencia personal del titular registral, extremo que carece de relevancia jurídica en entornos de captación digital donde el consentimiento se operacionaliza sobre identificadores tales como es la numeración telefónica. Como se acredita en el Documento Anexo nº1, el consentimiento para remitir comunicaciones comerciales a la línea ***TELÉFONO.1 se recabó por la entidad AD735. el documento aportado (…) incorpora nombre, apellidos, dirección postal, número de teléfono, IP, fecha y horas exactas, y declara la aceptación expresa de la política de privacidad, condiciones y bases legales, conforme a la normativa vigente. Este nivel de detalle satisface los requisitos que la propia AEPD cita en la Propuesta: identificar quién otorgó el consentimiento, cuándo, cómo y para qué, así como la información suministrada en el momento de su obtención (página 14 de la Propuesta de Resolución). Ya que, el certificado acredita: Quién otorga el consentimiento: D. B.B.B.. Cuando: el día 23/04/23, a las 19:17. Cómo: mediante formulario web, aceptando expresamente las condiciones y la política de privacidad. Para qué: fines de mercadotecnia, conforme a las bases legales del sorteo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/24 Además, el documento constituye un registro verificable, emitido por el responsable del fichero (AD735), que incluye IP y timestamp2 Marca temporal que indica un momento exacto en el tiempo. En este caso, cuándo se otorgó el consentimiento, lo que permite su trazabilidad. En este sentido, el artículo 7 del RGPD no impone un mecanismo único, sino la posibilidad de demostrar el consentimiento mediante evidencias razonables, así como las aquí aportadas. A mayor abundamiento, el artículo 21.1 de la LSSI exige consentimiento previo del destinatario -tal y como se ha acreditado previamente-, pero no impone la verificación de identidad mediante documento oficial ni la comprobación continua de la titularidad de la línea. La diligencia exigible consiste en habilitar mecanismos efectivos de oposición, que XFERA y su proveedor AD735 han implementado, mediante la inclusión en los SMS de enlaces de baja inmediata y canales de ejercicio de derechos. Por tanto, se debería considerar la licitud del tratamiento en el momento de su ejecución, no pudiendo imponerse a XFERA una obligación de control que la ley no contempla. Indica que este ha sido el criterio utilizado por la AEPD en expedientes anteriores. en los que la AEPD considera suficiente la acreditación del consentimiento para el envío de comunicaciones comerciales mediante registros verificables (logs con IP, fecha y hora) y aceptación expresa en formulario web en el entorno de un sorteo, exactamente el mismo esquema que se aporta en este procedimiento mediante el certificado expedido por AD735. A mayor abundamiento, en los SMS que la Reclamante indica haber recibido, se incluye un link -bit.ly/2i1aB-, a través del cual se puede proceder a la baja de la recepción de comunicaciones comerciales. En el mismo se puede observar que XFERA es únicamente el anunciante, siendo el responsable del tratamiento AD735.: En este contexto, la normativa reconoce expresamente que, cuando los datos son proporcionados por el propio interesado, como en esta ocasión, donde estos fueron introducidos en un formulario online para participar en un sorteo, no puede exigirse al responsable del tratamiento una obligación de verificación absoluta. Así lo establece el artículo 4.2.
3. a)de la LOPDGDD. En definitiva, el log de consentimiento obtenido por AD735 a raíz de la información introducida por el participante en el sorteo, quien aceptó la política de privacidad, las condiciones y las bases legales del mismo, entre las cuales se recogía la posibilidad de remitir comunicaciones comerciales como las que señala haber recibido la Reclamante, es válido y ajustado a derecho. Adicionalmente, no es sostenible pretender que quien recaba un consentimiento para el uso de un número de teléfono para una determinada finalidad, deba hacer una labor de indagación o verificación sobre la titularidad de la línea afectada. Esta interpretación supone desconocer la realidad del funcionamiento de los servicios de telecomunicaciones en los que, de forma habitual, el usuario del número de teléfono no tiene por qué coincidir con el del titular del contrato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/24 (…). En este contexto, debe recordarse que el principio de minimización de datos, recogido en el artículo 5.1.
4. c)del RGPD, exige que los datos personales sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Por tanto, exigir al responsable del tratamiento una verificación adicional sobre la titularidad de la línea supondría una recogida de datos excesiva e innecesaria, contraria a dicho principio. Asimismo, resulta habitual que una numeración telefónica sea objeto de reasignación tras la baja del contrato por parte del titular inicial, pasando a ser reasignada a una persona distinta, en ocasiones gestionada por una compañía de telecomunicaciones diferente. Este tipo de cambios no son comunicados a los responsables del tratamiento que previamente hubieran recabado el consentimiento del titular original para el uso de dicho dato de contacto, quienes no tienen posibilidad de conocer este hecho, salvo que la persona interesada lo comunique expresamente. (…) Por lo tanto, en ningún momento puede atribuirse a XFERA responsabilidad sobre el tratamiento de un dato de número de teléfono móvil, obtenido de forma lícita de su titular. Ya que, de este modo se traslada a XFERA una obligación de imposible cumplimiento, ya que no existe una posibilidad real de poder mantener actualizada la información sobre la identidad de la titularidad de una línea a lo largo del tiempo ni los cambios que esta pudiera sufrir. Dicho lo anterior, ha de tenerse en cuenta, adicionalmente, que el dato tratado por parte de AD735, responsable, en última instancia, de la obtención del consentimiento que faculta para el tratamiento de este dato con fines comerciales en los términos que se ha hecho. No obstante lo anterior, la Propuesta sostiene que XFERA es responsable “con independencia de la intervención de AD735” (página 19 de la Propuesta), lo que implica atribuirle una responsabilidad absoluta sin motivación suficiente y sin valorar el papel esencial del tercero que captó el consentimiento, gestionó la base de datos y determinó la inclusión del número en la campaña, siendo efectivamente, para dicho tratamiento, el responsable del tratamiento. PRIMERA. Segunda. - Del rol de AD735 en el envío de comunicaciones comerciales. La interpretación previa, sostenida por la AEPD, en la que traslada cualquier actuación realizada por AD735 a XFERA contradice el criterio consolidado propio de la Agencia, quien en su Resolución E/02528/20155, donde tiene lugar un supuesto similar al que nos ocupa, concluyó que “habida cuenta de que en la determinación de los parámetros que identificaban a los destinatarios de la campaña publicitaria (…) en ningún caso intervino esta entidad, ninguna responsabilidad es exigible a la denunciada”. En el presente caso, XFERA no intervino en la fijación de los parámetros ni en la selección de los destinatarios, funciones que correspondieron exclusivamente a Digital Media y AD735 como titular del fichero y responsable de la segmentación. Imputar responsabilidad a XFERA sin motivar el título C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/24 jurídico y sin depurar la actuación del tercero vulnera el principio de culpabilidad y convierte la responsabilidad en objetiva, prohibida en el derecho sancionador. Adicionalmente, la Propuesta omite, que la carga de acreditar la infracción recae en la Administración, conforme al artículo 53.2.b de la LPACAP y al principio de presunción de inocencia consagrado en el artículo 24 CE. Y, en este caso, no se ha practicado diligencia alguna para verificar la autenticidad del consentimiento ni se ha requerido información técnica adicional a AD735, aun cuando el artículo 65.4 LOPDGDD habilita la posibilidad de canalizar la reclamación al Delegado de Protección de Datos antes de incoar el procedimiento. Esta omisión agrava la indefensión y priva de sustento a la conclusión sancionadora. (…) Sin embargo, lo que hubiera procedido en este caso es que la (…), en vez de interponer una reclamación ante esta Agencia, hubiese comunicado directamente a XFERA o a AD735 su voluntad de no recibir más comunicaciones comerciales o bien su condición de titular de la línea. Ya que, de este modo los datos se habrían actualizado y se habría dado de baja la línea, conforme se ha procedido desde que se dio traslado de tal situación con el Acuerdo de Inicio. Cumpliendo con el deber de diligencia que caracteriza a esta mercantil. Alega la reclamada indefensión por cuanto está adherida al Código de Conducta para el Tratamiento de Datos en la Actividad Publicitaria de AUTOCONTROL, aprobado por la AEPD el 28 de noviembre de 2022. Este Código establece un procedimiento extrajudicial de resolución de controversias que debe ser utilizado por la AEPD antes de iniciar cualquier procedimiento sancionador. Si bien es cierto que no existe una obligación legal, conforme confirma la Agencia, este es el cauce habitual, validado y determinado por la misma para la resolución de controversias en materia de envío de comunicaciones comerciales, como el caso que nos ocupa. , Por otro lado, (…) la normativa dispone de una fase de investigaciones previas que, en todo caso esta Agencia ha obviado y pasado por alto, sin solicitar a XFERA información acerca de lo sucedido de forma previa a la apertura de un procedimiento sancionador. Esta omisión agrava aún más la situación de indefensión generada a mi representada con la apertura directa de este expediente sancionador. (…) En cuanto a las circunstancias aplicables al caso, considera que la intencionalidad exige la existencia de una voluntad dirigida a infringir la norma o, al menos, una conducta consciente y deliberada orientada a vulnerar derechos, lo que no se desprende de los hechos acreditados en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/24 XFERA actuó sobre la base de un consentimiento documentado por un tercero especializado, se incorporaron mecanismos efectivos de oposición en los mensajes e instó a la supresión inmediata de la numeración en cuanto tuvo conocimiento de la reclamación. Estas actuaciones son incompatibles con cualquier propósito doloso y revelan una pauta de cumplimiento orientada a la licitud del tratamiento. La supuesta deficiencia en la verificación técnica del consentimiento no puede equipararse a una conducta intencional, sino que deriva de la confianza legítima en un proveedor que asumía contractualmente la responsabilidad del fichero y lo acreditaba de forma fidedigna. El criterio de intencionalidad no puede aplicarse de manera automática por la mera existencia de dos envíos, máxime cuando se trata de impactos aislados, sin reiteración, sin beneficio económico relevante y sin perjuicio acreditado para la persona afectada. Asimismo, considera que (…) este caso concurren factores que imponen una modulación favorable previstos en el artículo 40 de la LSSI: La ausencia de reincidencia (artículo 40.
5. c)de la LSSI). El inexistente beneficio derivado del envío de los SMS (artículo 40.
6. e)de la LSSI). La cooperación plena con la autoridad y adhesión al Código de Conducta aprobado por la AEPD (artículo 40.
7. g)de la LSSI). La reacción inmediata, procediendo con la supresión de los datos (artículo 40.
8. h)de la LSSI). Consecuentemente, la sanción propuesta resulta desproporcionada en relación con la entidad del hecho, la ausencia de reincidencia y la cooperación mostrada por XFERA durante todo el procedimiento. De mantenerse la imputación, procede aplicar los criterios de graduación en sentido favorable, suprimiendo el agravante y reduciendo la sanción al mínimo legal o apercibimiento. (…). La afirmación contenida en la Propuesta de Resolución, según la cual la línea ***TELÉFONO.1 pertenece a la Reclamante desde 2008 y es operada por ***OPERADOR.1 desde 2021, no permite concluir, sin más, que el consentimiento aportado por XFERA resulte inválido. El artículo 21.1 de la LSSI exige que el destinatario haya autorizado expresamente la recepción de comunicaciones comerciales, siendo el elemento determinante el identificador electrónico —esto es, la numeración concreta— y no la coincidencia nominal con el titular registral, conforme se exponía en la Primera Alegación del presente escrito. En este sentido, el certificado emitido por AD735 acredita que, en fecha 23 de abril de 2023, se otorgó consentimiento para dicha numeración, lo que constituye un indicio documental suficiente de autorización. (…) A su vez, la inexistencia de relación contractual entre XFERA y la Reclamante carece de relevancia jurídica, pues el artículo 21.1 LSSI no exige vínculo previo entre anunciante y destinatario. El envío de comunicaciones comerciales lícitas puede dirigirse a cualquier que haya sido objeto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/24 autorización válida, independientemente de que exista o no una relación de clientela. Por otro lado, la Propuesta ignora que las comunicaciones incluían un mecanismo efectivo de oposición (“No + publi”), lo que evidencia la voluntad de la entidad de facilitar el ejercicio de derechos y actuar conforme a estándares de diligencia razonable. La falta de logs supuestamente “técnicos” no puede erigirse en prueba concluyente de ilicitud cuando existe un certificado emitido por el responsable del fichero, cuyo contenido ha sido validado con carácter previo por esta Agencia en el entorno de otros procedimientos sancionadores -conforme se ha expuesto a lo largo del presente escrito-, y más cuando la Agencia ha decidido no activar los cauces de verificación previstos en el artículo 65.4 LOPDGDD. Finalmente, la apreciación del agravante de falta de diligencia resulta desproporcionada. XFERA actuó sobre la base de una autorización documentada, con un proveedor especializado, y aplicó medidas correctoras inmediatas al recibir la reclamación. Por lo tanto, no puede afirmarse que se haya infringido el artículo 21.1 LSSI ni que concurra culpabilidad suficiente para justificar una sanción. Junto al escrito de alegaciones, se presenta la siguiente documentación: - Certificado emitido por AD735 DATA MEDIA ADVERTISING, S.L. Firmado por su representante (A.A.A.) donde se acredita que AD735 es responsable del tratamiento de los datos del fichero automatizado denominado “PREMIUM SALES”. Señala que dicho fichero contiene información personal facilitada por usuarios que participan en promociones/concursos a través de la web premium-sales.es. Certifica que la persona identificada como: Nombre: B.B.B., Apellidos: B.B.B. Teléfono: ***TELÉFONO.1, Dirección: ***DIRECCIÓN.1, IP: (...), proporcionó dichos datos a través del formulario de participación en esa web el 23/04/2023 a las 19:17:00. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero El reclamante, titular de la línea ***TELÉFONO.1 recibió el 01/10/2024 un SMS procedente de “MasMovil” (marca registrada de compañía XFERA), con el siguiente texto: “ES MOMENTO DE AHORRAR: 20 GB para tu móvil + llamadas ilimitadas por SOLO 4.90 €/mes 12 meses luego 9.90€/mes. Llama gratis 900696954 No + publi bit.ly/2i1aB From: MasMovil 01/10/24”. Segundo: Con fecha 23/10/24 el reclamante recibió un nuevo SMS en la línea de la que es titular (***TELÉFONO.1) procedente de “Yoigo” (marca registrada de la compañía XFERA), con el siguiente texto: “Estrena ya nuevo iPhone 16 con Yoigo por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/24 SOLO 17,75€/mes y navega SIN Límite con GB infinitos. Llama gratis 900696231 No + Publi bit.ly/2ycja From: Yoigo 23/10/24”. Tercero: Consta en el expediente la siguiente documentación aportada por la reclamada: - Copia de un formulario en blanco titulado “Introduce tus datos para participar”, en el que figuran varias casillas de consentimiento no marcadas, utilizado en el sitio web https://prb.premium-saleses. - Copia de un documento expedido por la entidad AD735 Data Media Advertising, S.L., donde se afirma que el día 23 de abril de 2023, una persona identificada como D. B.B.B., con número de teléfono ***TELÉFONO.1, participó en una promoción en el citado sitio web (https://prb.premium-sales.
9. es)y prestó su consentimiento para la recepción de comunicaciones comerciales de terceros, entre ellas XFERA. - Copia de del enlace de baja “bit.ly/2i1aB”, utilizado en las campañas comerciales, desde el cual puede consultarse y revocarse el consentimiento previamente otorgado, y en el que se indica que el responsable del tratamiento de los datos es la entidad AD735 Data Media Advertising, S.L. Cuarto: En la contestación en fase de prueba, la reclamante manifiesta titularidad de la línea al menos desde 2008 ((…) desde 21/06/2021). Adjunta contrato/factura de portabilidad. Quinto; En la contestación en fase de prueba XFERA confirma que no presta ni ha prestado servicio a la línea; aporta captura de CNMC que identifica operador ***OPERADOR.1 y adjunta “certificado de obtención de datos” expedido por la entidad AD735 donde figura D. B.B.B. como otorgante, asociado a la misma numeración. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la LSSI y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/24 La Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." III Síntesis de los hechos acaecidos La parte reclamante declara haber recibido publicidad no solicitada a través de SMS de las marcas “MasMovil” y “Yoigo”, sin haber dado su consentimiento ni haber sido cliente de la compañía y como prueba, aporta capturas de pantalla de los mensajes recibidos, incluyendo uno de MasMovil con una oferta de tarifas móviles (de fecha 01/10/24) y otro de Yoigo con una promoción de iPhone 16 y datos ilimitados (de fecha 23/10/24). Señalar que las marcas, MasMovil y Yoigo pertenecen a la entidad XFERA. Por su parte, la reclamada sostiene que , previo a la remisión de dichos mensajes publicitarios, contaba con un consentimiento válido, recabado por la entidad AD735 en abril de 2023 a través de la participación en un sorteo con aceptación expresa de comunicaciones comerciales de terceros; afirma que los SMS remitidos eran genéricos y contenían mecanismos de baja; y expone que, tras el Acuerdo de Inicio, procedió a eliminar la línea de sus bases de datos, habiendo facilitado toda la información disponible sobre la obtención del consentimiento. IV Contestación a las alegaciones aducidas a la incoación del expediente En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a contestar las mismas: Primero.- Sobre la existencia del consentimiento para la remisión de comunicaciones comerciales. En este punto, la entidad reclamada se ampara en el consentimiento presuntamente recabado por la entidad AD735 DATA MEDIA ADVERTISING, S.L. (AD735), el día 23 de abril de 2023, en el marco de una promoción alojada en el sitio web https://prb.premium-sales.es y a tal efecto, aporta como prueba un formulario genérico en blanco, supuestamente utilizado para recoger datos personales y consentimientos, un certificado expedido por AD735 donde se identifica como otorgante del consentimiento a un tercero (D. B.B.B.) y un enlace a un sistema de bajas gestionado por AD735, en el que se identifica a esta entidad como responsable del tratamiento de datos personales. Sin embargo, estos documentos resultan insuficientes para probar que el consentimiento para poder enviar comunicaciones comerciales fue otorgado de forma válida, pues no aportan ninguna evidencia concluyente que demuestre que la parte reclamante otorgó su consentimiento para el tratamiento de sus datos personales con fines de envío de comunicaciones comerciales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/24 El formulario presentado, (Documento Anexo nº 1), supuestamente utilizado para recoger datos personales y consentimientos, es un modelo en blanco (sin datos) que por sí solo no acredita que fuera utilizado por la parte reclamante ni que marcara las casillas pertinentes en el momento de acceder a la página web, ya que lo que presenta es un ejemplo del formulario web, complementado con la acreditación de AD735 del consentimiento. El certificado expedido por AD735 el cual identifica como otorgante del consentimiento a un tercero (D. B.B.B.), acredita que la parte reclamante prestara el consentimiento para la utilización de sus datos personales por parte de la reclamada para enviarle comunicaciones comerciales pues el simple registro de una dirección IP o el número de teléfono no es suficiente para demostrar que la parte reclamante manifestara su consentimiento a recibir comunicaciones comerciales de otra entidad. En este sentido, la Directriz 5/2020 del Comité Europeo de Protección de Datos, en sus puntos 105 a 108, impone al responsable del tratamiento la obligación de demostrar, de forma verificable y documentada, que el interesado otorgó su consentimiento: “105. El considerando 42 establece que: «Cuando el tratamiento se lleva a cabo con el consentimiento del adoptadas 22 interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento». 106. Los responsables del tratamiento tienen libertad para desarrollar métodos que permitan cumplir esta disposición adaptados a sus operaciones diarias. Al mismo tiempo, la obligación de demostrar que un responsable del tratamiento ha obtenido un consentimiento válido, no debe en sí misma provocar un tratamiento adicional de datos excesivo. Esto significa que los responsables deberían tener datos suficientes para mostrar un enlace al tratamiento (para mostrar que se obtuvo el consentimiento), pero no deberían recopilar más información de la necesaria. 107. Corresponde al responsable demostrar que obtuvo el consentimiento válido del interesado. El RGPD no prescribe cómo debe hacerse esto exactamente. No obstante, el responsable debe poder demostrar que, en un caso concreto, un interesado ha dado su consentimiento. La obligación de demostrar el consentimiento existirá mientras dure la actividad de tratamiento de los datos en cuestión. Una vez finalizada dicha actividad, la prueba del consentimiento no deberá conservarse más allá de lo estrictamente necesario para cumplir una obligación legal o para la formulación, el ejercicio o la defensa de reclamaciones, de conformidad con el artículo 17, apartado 3, letras
10. b)y e). 108. Por ejemplo, el responsable debe mantener un registro de las declaraciones de consentimiento recibidas, de manera que pueda demostrar cómo se obtuvo el consentimiento y cuándo se obtuvo dicho consentimiento, y también deberá demostrarse la información que se facilitó al interesado en su momento. El responsable también deberá poder demostrar que se informó al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/24 interesado y que el flujo de trabajo del responsable cumplió todos los criterios pertinentes para un consentimiento válido. La lógica subyacente a esta obligación en el RGPD es que los responsables del tratamiento deben rendir cuentas con respecto a la obtención del consentimiento válido de los interesados y con respecto a los mecanismos de consentimiento que han adoptado. Por ejemplo, en un contexto en línea, un responsable podría conservar información sobre la sesión en la que se expresó el consentimiento, junto con documentación sobre el flujo de trabajo del consentimiento cuando dicha sesión tuvo lugar, y una copia de la información que se presentó en ese momento al interesado. No sería suficiente referirse únicamente a una configuración correcta del sitio web”. No establece un mecanismo en concreto sobre cómo el responsable debe ser capaz de probar que ha obtenido un consentimiento válido, teniendo libertad para implementar la forma de obtención y registro que más se adapte a los procesos de la organización, pero al menos, debe poder acreditar quién otorgó el consentimiento, cuándo, cómo y para qué, así como la información que se le suministró en el momento de obtenerlo. Esa obligación subsiste en tanto que se siga realizando el tratamiento de los datos personales bajo las condiciones iniciales en que los datos fueron recabados y debe ser verificable en caso de auditoría o inspección. De ahí que resulte de interés la implementación de herramientas que ofrezcan garantías a los distintos intervinientes en el proceso de consentimiento y les permitan gestionar éste en torno al tratamiento de los datos personales que se está realizando. Por tanto, para valorar si el consentimiento es otorgado de una manera válida, se debe mantener un registro (log) de las actuaciones llevadas a cabo para obtener el consentimiento. En el presente caso, no se ha aportado ninguna prueba que acredite que la persona reclamante accediera a la web que se indica, cumpliera el formulario, marcase las casillas correspondientes y aceptase recibir comunicaciones comerciales de otras compañías incluida la reclamada. Tampoco se ha proporcionado ningún log de sesión, dirección IP asociada a la reclamante, ni verificación de identidad, solamente un documento (certificado) emitido por la entidad AD735, que incluso identifica como otorgante del consentimiento a un tercero que no es la parte reclamante, aunque sí su número de teléfono, lo cual impide concluir válidamente que el consentimiento fuese prestado por quien figura como receptor de los mensajes. La parte reclamada alega que los mensajes eran genéricos y no estaban dirigidos personalmente a la parte reclamante. Sin embargo, esta alegación carece de relevancia jurídica, ya que el artículo 21 de la LSSI define como comunicación comercial toda forma de comunicación destinada a la promoción directa o indirecta de bienes o servicios. El hecho de que el mensaje no mencione expresamente el nombre del destinatario no elimina su carácter de comunicación dirigida, en tanto fue remitida a un número de teléfono móvil individualizado. La parte reclamada sugiere que el número de teléfono pudo haber cambiado de titular y que el consentimiento previamente otorgado podría no haber sido revocado. Esta afirmación resulta inoperante ya que es evidente que el consentimiento debe ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/24 prestado por el interesado actual, no por terceros anteriores. No existe base legal para presumir que un consentimiento previo subsista respecto de un nuevo titular, especialmente si este niega haberlo otorgado y así lo marca el artículo 21 de la LSSI: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas...” Por último, sobre la supresión de los datos tras la reclamación, o la existencia de un sistema de oposición (“No + publi”), no convalida el envío previo de comunicaciones sin consentimiento. El artículo 21.1 LSSI exige que el consentimiento sea previo al envío. La posibilidad de oponerse posteriormente no legitima un envío que ya se ha producido. Por tanto, en atención a todo lo expuesto, las alegaciones formuladas por la reclamada deben ser íntegramente desestimadas, al no haber acreditado la existencia de un consentimiento válido, específico, informado y verificable por parte de la persona reclamante, en los términos exigidos por el artículo 21.1 de la LSSI. Segundo.- Sobre la supuesta indefensión derivada de la ausencia de requerimiento previo y de la no remisión al sistema de resolución extrajudicial de Autocontrol Formulada la segunda alegación por la parte reclamada, en la que se aduce una presunta situación de indefensión por no haber recibido un requerimiento previo de información ni haberse derivado la reclamación al sistema de mediación previsto en el Código de Conducta sobre el Tratamiento de Datos en la Actividad Publicitaria de AUTOCONTROL, procede indicar que no existe obligación legal de tramitar la reclamación mediante el sistema de resolución extrajudicial de controversias. La remisión a sistemas alternativos de resolución de controversias, como el de AUTOCONTROL, tiene naturaleza voluntaria y facultativa para la AEPD, y no constituye una fase preceptiva del procedimiento sancionador, ni puede convertirse en un presupuesto de validez de la actuación administrativa. En efecto, el propio Código de Conducta al que se remite la entidad reclamada, en su Sección 10 (“Resolución extrajudicial de controversias iniciada a instancia de la AEPD”), señala expresamente que: “Cuando las reclamaciones se formulen directa y previamente ante la Agencia Española de Protección de Datos, ésta podrá remitírselas a la Unidad de Mediación, conforme establece el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos y garantía de los derechos digitales, en su condición de organismo encargado de la resolución extrajudicial de conflictos. En tal caso, la Unidad de Mediación gestionará la reclamación dando inicio al procedimiento siguiendo las normas generales de tramitación establecidas en el apartado anterior, sin perjuicio de las especialidades descritas a continuación…”. El uso del verbo “podrá” evidencia el carácter discrecional y no imperativo de tal actuación. En consecuencia, en el presente caso, no existe derecho subjetivo del reclamado a que la reclamación sea tramitada exclusivamente mediante el sistema de mediación. La adhesión voluntaria a un código de conducta no puede impedir ni condicionar el legítimo ejercicio de la potestad sancionadora atribuida a esta Agencia conforme a la LOPDGDD y la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/24 Por otra parte, la decisión de iniciar el procedimiento sancionador sin previa mediación no puede interpretarse como vulneración del artículo 24.2 CE, dado que la parte reclamada ha gozado de todas las garantías procedimentales, incluida la posibilidad de presentar alegaciones con carácter previo a la propuesta de resolución. La AEPD, como autoridad de control independiente conforme al artículo 51 del RGPD, goza de autonomía para decidir el canal y alcance de su actuación investigadora y sancionadora, sin quedar sujeta a sistemas voluntarios cuya activación no es exigida. La parte reclamada invoca también el artículo 65.4 de la LOPDGDD, que establece que la Agencia podrá remitir las reclamaciones al Delegado de Protección de Datos (DPD) del responsable del tratamiento, con el fin de que proceda a su atención. Nuevamente, se trata de una facultad discrecional, no de una obligación, como ha declarado esta Agencia en múltiples resoluciones. La decisión de abrir directamente un procedimiento sancionador no vulnera el ordenamiento jurídico, en la medida en que se base en indicios razonables de infracción y siempre que se respeten las garantías del procedimiento (entre otras, derecho de audiencia, defensa y acceso al expediente). En el caso presente, la existencia de una comunicación comercial no solicitada, remitida a una persona no cliente constituye un indicio suficientemente sólido como para justificar la apertura directa del expediente sancionador. La decisión se ha adoptado conforme al principio de proporcionalidad y de eficacia de la actuación administrativa, sin que sea exigible la remisión previa al DPD ni a canales de autorregulación voluntarios. La presunción de inocencia, consagrada en el artículo 24.2 CE y reiterada en el artículo 53.2.
11. b)de la Ley 39/2015 (LPACAP), implica que ninguna sanción podrá imponerse sin una actividad probatoria suficiente que fundamente un juicio razonado de culpabilidad. Sin embargo, lo que impide el principio de presunción de inocencia es la imposición de una sanción sin pruebas de cargo, no la mera incoación de un expediente sancionador cuando existen indicios objetivos y documentados que justifican su apertura. En este caso, la reclamación presentada por la parte afectada se acompaña de capturas de pantalla de dos SMS con contenido publicitario, remitidos desde números identificados con marcas comerciales de la reclamada (MasMovil y Yoigo). La apertura del expediente se ha realizado con base en documentación probatoria, y la parte reclamada ha tenido oportunidad de presentar alegaciones y aportar pruebas en su defensa. Por lo tanto, la tramitación del expediente ha respetado en todo momento los principios del procedimiento sancionador: contradicción, audiencia, acceso al expediente, presunción de inocencia y carga de la prueba. La invocación genérica de una supuesta indefensión carece de fundamento, por cuanto la parte reclamada ha tenido acceso pleno al expediente y ha podido ejercitar su derecho de defensa en todas las fases procedimentales y la instrucción se está desarrollando de conformidad con lo dispuesto en la Ley 39/2015 y en los criterios establecidos por esta Agencia, sin que se hayan restringido en modo alguno los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/24 derechos procesales de la parte reclamada y la ausencia de requerimiento previo no limita ni restringe los derechos de la parte reclamada. Por todo lo anterior, debe desestimarse la segunda alegación formulada por la parte reclamada, al no concurrir vulneración alguna del derecho a la defensa ni del principio de presunción de inocencia. Tampoco se puede considerar infringido el derecho a la resolución extrajudicial de controversias al tratarse de un mecanismo voluntario y facultativo, cuya activación no es obligatoria ni previa a la apertura de un procedimiento. Tercero.- Sobre la aplicación de los criterios de graduación de la sanción. La parte reclamada sostiene, en este punto, que actuó con la diligencia debida; contaba con base legítima (consentimiento) y que en su defecto, la eventual infracción sería menor. También defiende que la sanción propuesta no resulta proporcional. Pues bien, como ya se ha analizado extensamente en la contestación a la primera alegación, la parte reclamada no ha acreditado la existencia de un consentimiento válido, específico, informado y verificable otorgado por la persona afectada, conforme a lo exigido en el artículo 21.1 de la LSSI y esto es así, ya que no constas registro o evidencia de que la persona reclamante participara en la dinámica online alegada ni aceptara las condiciones o políticas de privacidad mencionadas. Tampoco se ha acreditado marcación de casillas, logs de consentimiento, ni control de calidad sobre la veracidad de los datos. La mera existencia de un formulario en blanco y un certificado unilateral emitido por la empresa AD735 no cumplen con las exigencias probatorias y por tanto, es evidente que el envío de comunicaciones comerciales se ha realizado sin base de legitimación válida, vulnerando lo dispuesto en el artículo 21.1 de la LSSI. La parte reclamada alega haber actuado con diligencia, y que, en consecuencia, no cabría sanción. Esta alegación tampoco puede prosperar pues el deber de diligencia en el tratamiento de datos personales implica la adopción de medidas efectivas para garantizar la licitud del tratamiento, incluyendo la verificación del consentimiento, el control de listas de exclusión y la identificación clara del titular de los datos. En este caso, se ha producido un envío de comunicaciones comerciales a una persona que manifiesta no ser cliente de la entidad reclamada, cuya línea figuraba inscrita en la Lista Robinson y respecto de la cual no se ha acreditado consentimiento alguno. Estas circunstancias evidencian, como ha señalado el Acuerdo de Inicio, una grave falta de diligencia, que justifica la aplicación del criterio agravante de intencionalidad en los términos del artículo 40.
12. b)de la LSSI. La parte reclamada invoca el principio de proporcionalidad. Sin embargo, tal principio no impide la imposición de sanción cuando se constata objetivamente la comisión de una infracción, sino que obliga a modular su intensidad con base en los criterios establecidos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/24 En este sentido, 40 de la LSSI establece los criterios para la graduación de la cuantía de las sanciones como, por ejemplo:
13. a)La existencia de intencionalidad y en el presente caso se ha producido el envío de dos comunicaciones comerciales sin consentimiento previo, infringiendo la LSSI. El hecho no es aislado ni accidental, sino resultado de una práctica automatizada sin control suficiente. Se ha producido un tratamiento sin verificar la identidad del interesado ni su consentimiento. El uso de datos antiguos o sin validar revela una falta de diligencia objetiva y sistemática. Por tanto, debe desestimarse la tercera alegación formulada por la parte reclamada, en tanto que, no ha acreditado la existencia de un consentimiento válido. Su actuación incurre en una falta grave de diligencia. La sanción se ha propuesto con arreglo a los criterios legales de graduación y proporcionalidad y no se ha identificado circunstancia atenuante alguna que justifique su reducción o supresión. Cuarto: Sobre los hechos relevantes acreditados en la fase de prueba De la práctica de las pruebas acordadas se concluye que la línea ***TELÉFONO.1 pertenece a la persona reclamante desde, al menos, 2008, siendo operada por ***OPERADOR.1 desde junio de 2021, lo que desvirtúa la tesis defensiva de XFERA acerca de un posible cambio de titularidad en 2023. A su vez, XFERA confirma no haber prestado nunca servicio sobre dicha línea, lo que refuerza la ausencia de relación contractual con la reclamante. La parte reclamada ha aportado nuevamente el certificado de AD735 Data Media Advertising, S.L. (26/03/2025), en el que figura como presunto otorgante del consentimiento un tercero distinto de la reclamante (D. B.B.B.), sin aportar evidencias técnicas de valor acreditativo como logs de sesión, marcación de casillas o mecanismos de verificación de identidad. En consecuencia, no queda probado que la reclamante otorgara un consentimiento válido, específico, informado y verificable para la recepción de comunicaciones comerciales. Tampoco resulta relevante la alegación de que los mensajes eran genéricos o que contenían un enlace de baja, pues el artículo 21.1 LSSI exige consentimiento previo y expreso, no bastando la oposición a posteriori. Asimismo, las alegaciones de indefensión por ausencia de remisión a Autocontrol o al Delegado de Protección de Datos se rechazan al tratarse de facultades discrecionales de la AEPD, habiendo gozado XFERA de todas las garantías procedimentales. La práctica de prueba refuerza, además, el juicio de falta de diligencia: XFERA permitió que se remitieran impactos publicitarios sobre una línea que no era de su clientela, sin verificar la licitud del consentimiento alegado y sin un control efectivo sobre su proveedor de bases de datos. Por ello, se mantiene que la entidad es responsable en el marco de la LSSI del cumplimiento, con independencia de la intervención de AD735. En definitiva, la prueba practicada confirma y robustece las conclusiones alcanzadas en el Acuerdo de Inicio: se enviaron dos SMS publicitarios sin consentimiento previo, infringiendo el artículo 21.1 LSSI, queda desvirtuada la alegación central de la parte reclamada y no concurren atenuantes nuevos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/24 V Contestación a las alegaciones presentadas a la propuesta de resolución. Primero: Sobre la existencia de consentimiento para la remisión de comunicaciones. La entidad reclamada insiste en la existencia de un consentimiento válido, recabado el 23/04/2023 por la mercantil AD735 DATA MEDIA ADVERTISING, S.L., en el marco de un sorteo celebrado en el sitio web premium-sales.es, donde el participante habría aceptado las condiciones legales y marcado expresamente la casilla correspondiente para recibir comunicaciones comerciales de terceros, entre ellos XFERA. Añade que el consentimiento debe entenderse ligado a la numeración telefónica (MSISDN) y no a la identidad del titular registral, de forma que la discrepancia entre el titular actual de la línea y la persona identificada como otorgante (B.B.B.) no invalidaría la legitimidad del consentimiento. Igualmente, invoca la existencia de mecanismos de oposición (“No + publi”) como muestra de diligencia. Tal alegación debe ser desestimada ya que el artículo 21.1 LSSI exige que las comunicaciones comerciales únicamente puedan enviarse cuando el destinatario haya otorgado su consentimiento expreso. El consentimiento es un acto personalísimo, que únicamente puede ser prestado por el interesado cuya información será objeto de tratamiento. En el presente caso, la parte reclamada no ha acreditado que la titular de la línea —reclamante en el presente expediente— prestara consentimiento alguno. La única documentación aportada por XFERA identifica como presunto otorgante a tercero distinto de la persona afectada, sin que conste acreditación mínima de vinculación entre dicha persona y la reclamante. La reclamante, en fase probatoria, ha manifestado ser titular de la línea telefónica desde 2008 y, por tanto, resulta imposible sostener la tesis de XFERA sobre un hipotético cambio de titularidad. Por ello, la información aportada por AD735 no acredita consentimiento válido otorgado por la afectada. Asimismo, la Directriz 5/2020 del CEPD exige al responsable la obligación de demostrar documentalmente quién consintió, cómo, cuándo y para qué finalidad. No se han aportado evidencias técnicas mínimas tales como logs de sesión, registros de marcación de casillas, trazabilidad IP vinculada a la reclamante, o acreditación de acceso efectivo al formulario web. Por otra parte, la existencia de un enlace de baja no convalida el tratamiento previo. El mecanismo de oposición cumple una función reactiva, pero no sustituye la exigencia legal de consentimiento previo para el envío de comunicaciones comerciales. En consecuencia, la reclamada no ha acreditado consentimiento válido, específico, informado y verificable, incumpliendo lo dispuesto en el artículo 21.1 LSSI. Procede, por tanto, desestimar íntegramente la alegación. Segundo: Sobre el rol de AD735 en el envío de comunicaciones La reclamada sostiene que AD735 actuó como verdadero responsable en la determinación del público objetivo y en la gestión del fichero utilizado, por lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/24 XFERA no habría intervenido en la selección de destinatarios ni sería responsable de la infracción. Invoca una resolución previa de la AEPD en la que se declaró inexistente responsabilidad de la empresa anunciante al no participar en la segmentación. La alegación no puede prosperar ya que el artículo 21.1 LSSI imputa la responsabilidad por el envío de comunicaciones comerciales al remitente o anunciante, con independencia de que intervengan terceros como proveedores tecnológicos o gestores de bases de datos. La subcontratación de servicios —incluida la captación del consentimiento o segmentación de campañas— no exime de responsabilidad a la entidad beneficiaria del envío. De la documentación obrante en el expediente se desprende que las comunicaciones publicitarias fueron remitidas en nombre de marcas pertenecientes a XFERA (MasMovil y Yoigo), lo que atribuye la responsabilidad directa a dicha entidad. La selección de proveedor o intermediario no elimina ni desplaza el deber de garantizar la licitud del tratamiento. La reclamada no ha acreditado control ni supervisión adecuada sobre AD735, ni sobre la veracidad de los datos o la licitud del supuesto consentimiento y la confianza en un tercero no sustituye el deber de diligencia que exige. No resulta de aplicación el precedente invocado, pues en dicho supuesto se constató la ausencia material de intervención en la determinación de los parámetros. En el presente caso, la comunicación se realizó en nombre y beneficio comercial de XFERA, que debe responder como anunciante. Por todo ello, procede la desestimación de esta alegación. Tercero: Sobre la supuesta indefensión derivada de la ausencia de requerimiento previo y de la no remisión al sistema AUTOCONTROL XFERA aduce que la AEPD debió haber remitido la reclamación con carácter previo al sistema de mediación previsto en el Código de Conducta de AUTOCONTROL o, al menos, haber solicitado información adicional antes de incoar el procedimiento. Sostiene que dicha omisión vulnera el principio de presunción de inocencia y le ocasiona indefensión. La alegación es improcedente pues el artículo 65.4 LOPDGDD dispone que la AEPD podrá, no que “deba”, canalizar las reclamaciones a través del Delegado de Protección de Datos o mediante mecanismos alternativos de resolución. El Código de Conducta de AUTOCONTROL configura un procedimiento facultativo y voluntario, cuya activación no constituye fase obligatoria ni presupuesto de validez de la actuación administrativa. La potestad sancionadora de la AEPD no puede quedar condicionada a la existencia de mecanismos voluntarios de mediación, ni la adhesión a un código de conducta confiere derecho subjetivo a la tramitación previa por dicha vía. Igualmente, la incoación del procedimiento responde a la existencia de indicios suficientes —aportación de dos SMS comerciales no solicitados— siendo innecesaria, conforme a la LPAC, una fase previa de investigación adicional. Durante la instrucción se ha otorgado a la reclamada acceso al expediente, se ha requerido información y se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/24 le ha permitido presentar alegaciones, quedando íntegramente garantizados sus derechos de defensa, audiencia y contradicción. Por tanto, la alegada indefensión carece de sustento jurídico y procede su desestimación. Cuarto: Sobre la proporcionalidad de la sanción y la existencia de intencionalidad (art. 83.2 RGPD / art. 40 LSSI) XFERA afirma haber actuado diligentemente y considera que no concurren elementos para aplicar el criterio agravante de intencionalidad previsto en el artículo 40 LSSI. Argumenta que actuó sobre la base de un consentimiento documentado por un proveedor especializado, que los envíos fueron limitados, que existían mecanismos de baja y que suprimir la numeración tras el requerimiento demuestra buena fe. Solicita, en consecuencia, la no imposición de sanción o su reducción al mínimo, o incluso la sustitución por apercibimiento. La alegación debe ser rechazada. En primer lugar, no existía consentimiento válido, de forma que no puede hablarse de diligencia al basar la campaña en información suministrada por un tercero sin contrastación mínima. El deber de diligencia exige verificar la licitud del tratamiento y la identidad del presunto otorgante, especialmente cuando se trata de personas no clientes e inscritas en listas de exclusión publicitaria. En segundo lugar, la “intencionalidad” del art. 40 LSSI no exige dolo, sino que basta la existencia de negligencia grave, constatada en la cadena de decisiones que permitió el envío publicitario sin comprobación de la legitimación necesaria. Las medidas reactivas (supresión de datos tras la reclamación) o el reducido número de envíos no eliminan la infracción ya consumada. Tampoco constituyen atenuantes cualificados. Por tanto, concurren elementos suficientes para apreciar falta de diligencia que justifica la aplicación del criterio de graduación previsto en el art. 40 LSSI. Procede mantener la cuantía propuesta. Quinto: Sobre los hechos acreditados en fase de prueba XFERA sostiene que el hecho de que la línea ***TELÉFONO.1 pertenezca a la reclamante desde 2008 no implica, por sí solo, que el consentimiento certificado sea inválido. Sostiene que el consentimiento se vincula a la numeración, no a la identidad nominal del titular. Alega que la AEPD no ha requerido información técnica adicional a AD735 y que la ausencia de logs no puede utilizarse como prueba negativa. Reitera que la existencia de mecanismo de oposición demuestra diligencia empresarial. La alegación carece de fundamento ya que el consentimiento es un acto personalísimo; no puede vincularse válidamente a un número cuando la persona identificada como otorgante no coincide con el titular y la afectada niega haberlo otorgado. La reclamante ha acreditado ser titular de la línea desde 2008, lo que refuta la hipótesis defensiva de un cambio de titular. El documento aportado por XFERA acredita, precisamente, que quien habría otorgado el consentimiento es un tercero ajeno a la afectada, lo que evidencia que la base C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/24 legitimadora es inexistente y la ausencia de logs, registros de sesión o trazabilidad demuestra la falta de cumplimiento de los requisitos exigidos por el RGPD y las Directrices 5/2020 CEPD. La carga probatoria recae en el responsable, y no puede trasladarse a la Administración la obligación de reconstruir el flujo de captación de datos. Sexto: Sobre la solicitud de archivo del procedimiento XFERA solicita el archivo del procedimiento porque se habría acreditado el consentimiento y subsidiariamente, su archivo por no haberse remitido previamente la reclamación al sistema de mediación de AUTOCONTROL. Ninguno de los motivos invocados permite acordar el archivo. En cuanto al primer motivo, reiteramos que no ha quedado acreditado consentimiento válido otorgado por la afectada. El documento aportado identifica como otorgante a tercero distinto, sin trazabilidad ni prueba técnica alguna. Respecto al segundo motivo, la remisión al sistema AUTOCONTROL es facultativa y no condiciona la potestad sancionadora de esta Agencia. En cuanto al tercero, sí concurre culpabilidad, al haberse actuado sin verificar la legitimidad de la base de datos utilizada, permitiendo el envío publicitario a persona inscrita en Lista Robinson y sin consentimiento. Por todo ello, la solicitud de archivo debe ser íntegramente desestimada. VI Prohibición de envíos de comunicaciones comerciales o promocionales que previamente no hubieran sido solicitadas o expresamente autorizadas La LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas (artículo 21), partiendo de un concepto de comunicación comercial que se define en su Anexo de la siguiente manera: “
14. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. VII Obligación incumplida Los hechos enumerados anteriormente, en el sentido del envío de comunicaciones comerciales vía SMS sin haberlas solicitado o expresamente autorizado, constituyen una vulneración de lo establecido en el artículo 21.1 de la LSSI, pues establece: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas...” VIII Sanción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/24 La citada infracción del artículo 21.1 de la LSSI, se encuentra tipificada como leve en el art. 38.4.
15. d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.
16. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €. Por su parte, el artículo 40 de la LSSI establece los criterios para la graduación de la cuantía de las sanciones: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
17. a)La existencia de intencionalidad.
18. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
19. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
20. d)La naturaleza y cuantía de los perjuicios causados.
21. e)Los beneficios obtenidos por la infracción.
22. f)Volumen de facturación a que afecte la infracción cometida.
23. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. Se estima que en este supuesto actúa como agravante el criterio
24. a)del mencionado artículo, por cuanto es evidente que se ha producido una falta de diligencia debida por parte de la entidad XFERA al remitir dos SMS al reclamante (a través de sus marcar comerciales MasMovil y Yoigo), sin que conste haberlos solicitado o expresamente autorizado, siendo exigible a la citada entidad un mayor control dado que está habituada al envío de este tipo de mensajes en el desarrollo de su actividad. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a XFERA MÓVILES, S.A.U. con NIF.: A82528548, por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
25. d)de la citada norma, por el envío de comunicaciones comerciales sin haberlas solicitado o expresamente autorizado, una sanción de 10.000 euros (diez mil euros) SEGUNDO: NOTIFICAR la presente resolución a la entidad XFERA MÓVILES, S.A.U. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
26. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/24 Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
27. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es