PS-00100-2023

1/17  Expediente N.º: EXP202300598 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 8 de diciembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra TELEFÓNICA MÓVILES ESPAÑA, S.A. con NIF A78923125 (en adelante, la parte reclamada o Telefónica). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que día 7 de septiembre de 2022 se llevó a cabo la contratación de una línea móvil a su nombre, sin su consentimiento, con la operadora de telecomunicaciones 02 perteneciente a la parte reclamada, aportando el suplantador su número de DNI, no siendo coincidentes los demás datos facilitados, es decir, dirección postal, fecha de nacimiento y cuenta bancaria. Añade que Telefónica en ningún momento contactó o informó del alta y no estableció mecanismos de control y verificación de la identidad del tercero que contrató dicha línea, asumiendo que al ser cliente de 02 con anterioridad era ella quien contrataba dicho producto. Así las cosas, el día 27 de octubre de 2022 tuvo conocimiento de estos hechos al llegarle una reclamación por impago a su domicilio, comprobando que aparecen sus datos personales de una línea de teléfono que no ha contratado. Y, aporta la siguiente documentación relevante: Denuncia ante la Policía Nacional. Correo electrónico de bienvenida. Factura asociada al servicio no contratado. Requerimiento de pago de la factura por impago. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 Públicas (en adelante, LPACAP), fue recogido en fecha 23 de enero de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 22 de febrero de 2023 se recibe en esta Agencia escrito de respuesta indicando: <<En primer lugar, interesa poner de manifiesto que los hechos objeto de la presente reclamación ya habían sido solventados de forma previa a la interposición de la reclamación por parte de la reclamante ante la AEPD. En concreto, de forma previa al contacto de la Reclamante con O2, concretamente en fecha de 25/10/2022, la línea objeto de la reclamación ya había sido previamente suspendida por parte de nuestro equipo de Fraude, al haber saltado una alarma interna en nuestros sistemas que daban indicios de que con la citada línea se podía estar cometiendo acciones fraudulentas. Adicionalmente, en esa misma fecha se tramitaron las gestiones incluidas en el procedimiento habilitado para casos como el que nos ocupa, regularizando su situación, anulando las facturas reclamadas y paralizando las acciones de recobro, cuestiones que fueron confirmadas a la propia reclamante cuando se puso en contacto con nosotros, dos días después, para reclamar los hechos. En este sentido, se ha procedido a remitir un escrito a la reclamante en contestación a la reclamación que ha dado origen al presente requerimiento, a la dirección de correo electrónico facilitado por la Agencia, el cual se adjunta como documento anexo nº 1. Los datos de la reclamante no fueron en ningún caso inscritos en ficheros de solvencia patrimonial>>. TERCERO: Con fecha 28 de febrero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad TELEFÓNICA MÓVILES ESPAÑA, S.A. es una gran empresa constituida en el año 1988, y con un volumen de negocios de 4.406.624.000 euros en el año 2021. QUINTO: Con fecha 5 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba: <<que la base legitimadora bajo la que fueron tratados los datos de la reclamante no es otro que la ejecución del contrato del que ésta era supuestamente parte. Como se ha indicado en la contestación al requerimiento de información de la AEPD, en fecha 25 de octubre de 2022, se dio de alta de forma online en el servicio telefónico móvil de O2 una persona con los datos de la reclamante, entre los que se incluían sus datos de nombre completo, DNI y correo electrónico que ésta reconoce como propios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 Por lo tanto y en la medida en la que el correo electrónico es correcto, la reclamante tuvo conocimiento efectivo desde el primer momento de la supuesta contratación fraudulenta, pudiendo haber contactado con O2 para cancelar dicha suscripción. Aun así, pese a no haberlo hecho, la línea objeto de la reclamación ya había sido previamente suspendida por parte de nuestro equipo de fraude antes de la reclamación ante la Agencia, al haber saltado una alarma interna en nuestros sistemas que daban indicios de que con la citada línea se podía estar cometiendo acciones fraudulentas. Adicionalmente, en esa misma fecha se tramitaron las gestiones incluidas en el procedimiento habilitado para casos como el que nos ocupa, mencionado con anterioridad, regularizando su situación, anulando las facturas reclamadas y paralizando las acciones de recobro, cuestiones que fueron confirmadas a la propia reclamante cuando se puso en contacto con nosotros, dos días después, para reclamar los hechos. En el ámbito sancionador, para que una conducta pueda ser reprochada se exige que esta sea típica, antijurídica y culpable. Por ello, una vez analizados los hechos, esta parte considera que el principio de tipicidad se está vulnerando dado que la conducta realizada por Telefónica no es subsumible en ninguno de los preceptos cuya infracción se imputa. Recordamos que, en este caso, la Agencia considera vulnerado el artículo 6.1 del RGPD (condiciones en las que el tratamiento será considerado como lícito) y la infracción la tipifica conforme al artículo 83.5 RGPD. Esta parte confirma que la base legal que legitima el tratamiento de los datos personales de la reclamante no es otra que la de la ejecución del contrato, esto es, la base legitimadora que contempla el apartado

1. b)del citado artículo 6.1: “el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”. Es decir, en este caso concreto el tratamiento de datos personales se realiza con la finalidad de prestación del servicio de telecomunicaciones supuestamente contratado por la Reclamante. Por tanto, el tratamiento es en cualquier caso lícito. Por ello, entendemos que no ha lugar la imputación a mi representada de una infracción del artículo 6.1 del RGPD, ya que el tratamiento de esos datos por parte de Telefónica resulta necesario para gestionar la relación contractual con la reclamante y, por lo tanto, Telefónica contaba con base legitimadora suficiente, no resultando por tanto la acción típica, debiendo procederse al archivo del presente expediente sancionador. En este caso concreto, nos encontraríamos ante una situación en la que, supuestamente, un tercero suplantador que conocía los datos de nombre, DNI y correo electrónico de la reclamante, habría usado dichos para contratar una línea telefónica móvil con el objetivo de cometer acciones fraudulentas. Por tanto, en cualquier caso, el tratamiento de datos ilícito lo estaría realizando el tercero defraudador, quien no cuenta con base legitimadora suficiente para el tratamiento de los datos del reclamante, y no Telefónica. En cualquier caso, Telefónica, contando con que todos los datos que habría proporcionado el supuesto suplantador eran ciertos y no existiendo en ese momento ninguna reclamación o discrepancia con la línea C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 contratada (recordemos que la reclamante fue informada en el mismo momento de la contratación de la línea a través del correo electrónico que aporta adjunto a su escrito de reclamación), se entiende que no cabe realizar imputación alguna por la Agencia a mi representada, toda vez que los datos de nombre, DNI y email eran veraces y por tanto, se creía en la legitimidad de la contratación. Es decir, el contexto en el que se produjo la contratación daba indicios de que las acciones llevadas a cabo eran legítimas y lícitas. Por ello, la conducta seguida por Telefónica en ningún caso puede ser considerada típica, dado que no es subsumible en el precepto cuya infracción se imputa. Pero es que además, tampoco puede ser considerada antijurídica. Telefónica considera que ha actuado en todo momento con buena fe y fundada creencia excluyente de toda culpabilidad. Ha actuado en cualquier caso con apariencia de buen derecho. Cabe recordar que la antijuricidad de la conducta, elemento configurador de cualquier ilícito administrativo, exige en su vertiente o aspecto formal que exista una oposición entre el comportamiento y la norma infringida. Por tanto, si el comportamiento viene avalado por el ordenamiento jurídico, jamás podrá hablarse de conducta antijurídica ni, por ende, sancionable. Pues bien, se rechaza la antijuridicidad de la conducta en base a que el tratamiento de datos personales se realiza siendo la base legitimadora del tratamiento la ejecución del contrato de la que la Reclamante es parte. Por último, tampoco concurre el requisito de culpabilidad en la actuación de mi mandante. O, dicho de otro modo, no existe el elemento subjetivo de culpa requerido para la imposición de sanciones administrativas. La actitud de Telefónica revela una inequívoca voluntad de proceder conforme a Derecho sin existir en modo alguno intencionalidad de infringir la norma y teniendo en todo caso voluntad de cumplimiento. Es doctrina reiterada la que considera que los principios inspiradores del orden penal son de aplicación al derecho administrativo sancionador, señalando que uno de los principales componentes de la infracción administrativa es el elemento de la culpabilidad, lo que presupone que la acción u omisión ha de ser en todo caso imputable a su autor por malicia, imprudencia, negligencia o ignorancia inexcusable. En el presente caso, conviene a mi representada reiterar la aplicación al presente procedimiento del principio de presunción de inocencia consagrado en la Constitución y que, de acuerdo con la sentada doctrina del Tribunal Constitucional en su STC 76/90, de 26 de abril, “(…)toda resolución sancionadora, sea penal o administrativa, requiere a la par la certeza de los hechos imputados, obtenida mediante pruebas de cargo, y certeza del juicio de culpabilidad sobre esos mismos hechos, de manera que el artículo 24.2 de la Constitución rechaza tanto la responsabilidad presunta y objetiva como la inversión de la carga de la prueba en relación con el presupuesto fáctico de la sanción”. Es necesario, por tanto, la constatación en el procedimiento administrativo sancionador de la intervención culpable por parte de mi representada, la cual no se ha producido, lo que posibilitaría dar lugar a la imposición de una sanción. En tanto no se de este elemento, en lo que respecta a la presente imputación esta es nula, ya que no puede imponerse una sanción y no debería de haberse incoado un procedimiento sancionador contra mi representada sobre este hecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 La doctrina de los actos propios empleada ya por los Tribunales, en síntesis, acoge la idea de que, las palabras y los gestos nos vinculan, es decir, establece la inadmisibilidad de actuar contra los propios actos hechos con anterioridad. Es decir, prohíbe que una persona pueda ir contra su propio comportamiento mostrado con anterioridad para limitar los derechos de otra, que había actuado de esa manera movido por la buena fe de la primera. En este sentido, interesa poner de relieve que, la actuación de la Agencia ante varios expedientes referidos a hechos sustancialmente iguales a los que son objeto de reclamación que nos ocupa, ha sido contradictoria, pues así nos lo hizo saber la propia Agencia, entre otros, en los siguientes expedientes de información, los cuales fueron todos ellos archivados o no admitidas a trámite al haberse resuelto la posible incidencia con el Reclamante, todo ello sin procederse con la incoación de un expediente sancionador: Expediente con referencia N.º EXP202100283 Expediente con referencia N.º EXP202209963 Expediente con referencia N.º EXP202212044 Expediente con referencia N.º EXP202213132 Expediente con referencia N.º EXP202300409 Expediente con referencia N. º EXP202304179 Expediente con referencia N. º EXP202301311 Expediente con referencia N. º EXP202301814. En consecuencia, la discrepancia de la actuación administrativa entre todos estos expedientes y el actual, supondría la clara vulneración de la doctrina de los actos propios creando una palpable inseguridad jurídica y, por consiguiente, supondría la concurrencia de la causa de anulabilidad del Acuerdo prevista en el artículo 48.1 de la Ley 39/2015 de 1 de octubre, del procedimiento Administrativo Común de las Administraciones Públicas (en adelante, la “Ley 39/2015”). Por ello, esta parte considera que debería procederse con el archivo del presente expediente sancionador. Sin perjuicio de las alegaciones precedentes, y por si la Agencia no acordase el archivo del presente expediente sancionador, esta parte quiere manifestar su disconformidad con el Acuerdo, cuando dispone como circunstancia para agravar la sanción la siguiente: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales” circunstancia prevista en el art. 76.2.b, de la LOPDGDD) en conexión con el art. 83.2.
2. k)del RGPD. En cuanto a esta agravante planteada por la Agencia, esta parte considera que no se ha producido por parte de Telefónica un tratamiento ilegítimo de los datos del reclamante, toda vez que su tratamiento se encuentra legitimado por el artículo 6.1 del RGPD, siento éste necesario para la ejecución de un contrato en el que la interesada era parte. Por tanto, en la medida en que esta parte no considera que se haya producido un tratamiento ilegítimo de los datos del reclamante, no podemos considerar así mismo que concurra la agravante planteada por la Agencia en el Acuerdo. A mayor abundamiento, tenemos que mencionar la ausencia de algunos de los criterios para determinar la procedencia de la aplicación del régimen sancionador e imposición de las sanciones, como son: naturaleza, gravedad, duración de la infracción, intencionalidad. En este sentido, debemos recordar que los hechos que han dado lugar a la situación denunciada por la Reclamante son el engaño, la manipulación y el uso ilícito de los datos de la llevado a cabo por el suplantador. En ningún caso, se puede hablar de negligencia y mucho menos de intencionalidad en las acciones llevadas a cabo por Telefónica. Al contrario, Telefónica ha procedido al tratamiento de los datos del reclamante con la diligencia debida, toda vez que el tratamiento de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 datos del reclamante se ha llevado a cabo con la base legitimadora suficiente. Además, una vez saltada la alarma, Telefónica procedió a seguir el protocolo habilitado a tales efectos, de forma que no se ha producido ningún perjuicio a la Reclamante. No obstante lo anterior, si de forma subsidiaria la AEPD considera que la acción es típica y por tanto, debe procederse a sancionar a Telefónica interesa poner de relieve, que, además de la atenuante apreciada por la Agencia, cuando indica que: “Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2 c)”, -cabe recordar que esta reclamación fue tratada con anterioridad a la notificación del mencionado expediente, de forma proactiva y además inmediata, y esto debe ser tenido en cuenta en cualquier caso por la AEPD en la propuesta de resolución-, también deberían tenerse en cuenta las siguientes atenuantes del art. 83.2 del RGPD:
3. b)la intencionalidad o negligencia en la infracción: como se ha señalado, no se dan en este caso los requisitos de intencionalidad en la supuesta comisión de la infractor o actitud negligente, toda vez que ha sido un tercero el que habría tratado los datos personales de la Reclamante sin su consentimiento.
4. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados: de forma previa, proactiva e inmediata, una vez saltó la alarma de fraude, Telefónica procedió a tomar las acciones oportunas, bloqueando la citada línea y anulando todos los cargos y facturas generadas. En este sentido, no se ha causado ningún daño o perjuicio a la Reclamante.
5. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42: Telefónica ha suscrito el Código de Conducta de Autocontrol sobre tratamiento de datos en la actividad publicitaria, el cual es un sistema de resolución extrajudicial para resolver controversias que surjan entre los ciudadanos y las entidades adheridas al código con motivo de tratamientos de datos realizados en el ámbito de la actividad publicitaria.
6. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción: en este caso no sólo no se ha visto afectada de forma negativa la reclamante -se han bloqueado todas las facturas y resuelto la situación a su favor, incluso de forma previa a la reclamación ante la AEPD-, sino que en este caso no sólo no se ha obtenido ningún beneficio financiero, sino que se han causado pérdidas directas para Telefónica por la acción fraudulenta de un tercero. Por todo lo expuesto, llegado el caso en el que la Agencia decida mantener la sanción, pese a los argumentos esgrimidos por esta parte, estas atenuantes deberán ser tenidas en cuenta para la disminución del importe de esta. Por todo lo expuesto, solicito a la agencia, que, teniendo por presentando en tiempo y forma, el presente Escrito de Alegaciones, se sirva admitirlo, y previos los trámites oportunos, en su virtud: i. Se declare la inexistencia de responsabilidad por parte de Telefónica por la presunta infracción que se le imputa en este procedimiento, ordenando el archivo del presente expediente sancionador. ii. Subsidiariamente y para el caso de que no se proceda al archivo del presente expediente sancionador, se minore la sanción inicialmente propuesta en virtud de las atenuantes estipuladas en el art. 83 del RGPD>>. SÉPTIMO: Con fecha 6 de julio de 2023, el instructor del procedimiento acordó practicar las siguientes pruebas: <<1.Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación. 2.Asimismo, se da C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por TELEFÓNICA MÓVILES ESPAÑA, S.A.U., y la documentación que a ellas acompaña>>. OCTAVO: Con fecha 9 de octubre de 2023 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a TELEFÓNICA MÓVILES ESPAÑA, S.A. con NIF A78923125, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 70.000 euros (setenta mil euros). NOVENO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones el día 24 de octubre de 2023 en el que, ratificándose en las realizadas al Acuerdo de Inicio, y se dicte en su día Resolución ordenando el archivo del presente expediente sancionador al margen referenciado, y subsidiariamente, minore la sanción inicialmente propuesta del art. 83 del RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. - La parte reclamante formuló reclamación ante esta Agencia el 8 de diciembre de 2022 en la que se hace constar que, se llevó a cabo el día 7 de septiembre de 2022 la contratación de una línea móvil a su nombre, sin su consentimiento, con la operadora de telecomunicaciones 02 perteneciente a la parte reclamada, aportando el suplantador su número de DNI, no siendo coincidentes los demás datos facilitados, es decir, dirección postal, fecha de nacimiento y cuenta bancaria. SEGUNDO. - La reclamante tuvo conocimiento de la contratación de una línea móvil a su nombre el día 27 de octubre de 2022 al llegarle una reclamación por impago a su domicilio, comprobando que aparecen sus datos personales de una línea de teléfono que no ha contratado. TERCERO. - Telefónica, reconoce en su escrito de fecha 22 de febrero de 2023 que, la línea de la reclamante había sido previamente suspendida, el 25 de octubre de 2022, por parte de su equipo de Fraude, al haber saltado una alarma interna en sus sistemas que daban indicios de que con la citada línea se podía estar cometiendo acciones fraudulentas, y en su escrito de fecha 26 de junio de 2023, manifiesta que, fecha 25 de octubre de 2022, se dio de alta de forma online en el servicio telefónico móvil de O2 una persona con los datos de la reclamante, entre los que se incluían sus datos de nombre completo, DNI y correo electrónico que ésta reconoce como propios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Obligación incumplida El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. «1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 Lo dispuesto en la letra
13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.» Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» En relación con lo anterior, se considera que existen evidencias de que el tratamiento de datos de la reclamante objeto de esta reclamación se ha efectuado sin causa legitimadora de las recogidas en el artículo 6 del RGPD. El RGPD se aplica a los datos personales, que se definen como «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. La documentación que obra en el expediente evidencia que la reclamada, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento de los datos personales de la reclamante sin que tuviese ninguna legitimación para ello. Los datos personales de la reclamante fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que hubiese contratado legítimamente, dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales, o existiese alguna otra causa que hiciese licito el tratamiento efectuado. Los datos personales de la reclamante fueron registrados en los ficheros de la reclamada y fueron tratados para la emisión de facturas por servicios asociados a la reclamante. En consecuencia, ha efectuado un tratamiento de los datos personales sin que haya acreditado que cuente la habilitación legal para ello. El artículo 6.1 RGPD dice que el tratamiento “será lícito si es necesario para la ejecución de un contrato en el que el interesado es parte”. Resultaba por ello esencial que la reclamada acreditara ante esta Agencia que la reclamante había contratado con ella la línea móvil; que al tiempo de la contratación había desplegado la diligencia que las circunstancias del caso exigían para asegurarse de que la persona que dio de alta la línea móvil era quien decía ser. Según expone la parte reclamante en su escrito de reclamación de fecha 8 de diciembre de 2022, que Telefónica efectuó la contratación de una línea móvil a su nombre haciendo uso de sus datos personales sin su consentimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 En definitiva, la reclamante denuncia suplantación de identidad para contratar con Telefónica una línea móvil. La reclamada, alega que el suplantador aportó todos los datos de la reclamante y que detectó el fraude, pero no señala que sucedió en este caso concreto ni cómo comprobó la identidad del suplantador. Consta acreditado que la reclamada trató los datos personales de la reclamante sin legitimación para ello. Así pues, habiendo quedado acreditado que la reclamada trató los datos personales de la reclamante, quien niega su consentimiento al tratamiento, y en tanto la primera no ha aportado prueba alguna para desvirtuar tales evidencias, se estima que los hechos son constitutivos de una infracción del artículo 6.1 del RGPD, infracción tipificada en el artículo 83.5 del citado Reglamento 2016/679. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que realizó la contratación en nombre de la reclamante. El respeto al principio de licitud que está en la esencia del derecho fundamental de protección de datos de carácter personal exige que conste acreditado que la responsable del tratamiento desplegó la diligencia imprescindible para acreditar ese extremo. De no actuar así -y de no exigirlo así esta Agencia, a quien le incumbe velar por el cumplimiento de la normativa reguladora del derecho de protección de datos de carácter personal- el resultado sería vaciar de contenido el principio de licitud. De aquí que la parte reclamada no acredita base de legitimación para el tratamiento de los datos de la parte reclamante. Telefónica cita en su descargo una serie de resoluciones dictadas por la AEPD, manifestando que los expedientes EXP202100283; EXP202209963; EXP202212044; EXP202213132; EXP202300409; EXP202304179; EXP202301311 y EXP202301814, fueron todos archivados o no admitidas a trámite al haberse resuelto la posible incidencia con el reclamante, todo sin procederse con la incoación de un expediente sancionador. Pues bien, este caso concreto difiere con los mencionados por Telefónica, dado que en los anteriores o bien aportó la grabación o la contratación se debió a incidencias internas, pero, aunque se diera alguna similitud en alguno de los procedimientos citados, no hay identidad en los hechos. En el presente caso, la parte reclamante ya era cliente de Telefónica y tenía todos sus datos personales, y a pesar de que el tercero sólo aportó el DNI de la reclamante no siendo coincidentes los demás datos facilitados, es decir, dirección postal, fecha de nacimiento y cuenta bancaria, dicha contratación se llevó a cabo y la reclamada no señala en sus alegaciones que sucedió en este caso concreto ni cómo comprobó la identidad del suplantador. En este sentido, la Sala de lo Contencioso Administrativo de la Audiencia Nacional señaló en su Sentencia 403/2021, de 19 de septiembre de 2023 <<que se contrató la póliza de seguro con un tercero sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente la persona que estaba manifestando su voluntad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 contratar, no era quien decía ser. De haberse tomado las medidas necesarias precauciones, a fin de asegurar la identidad la persona contratante (para lo que hubiera sido bastante atender a la incorrecta contestación a las preguntas de identificación y verificación del cliente) se hubiera evitado la infracción del artículo 6.1 de la LOPD imputada por la AEPD>>. En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. Estas circunstancias han sido tenidas en cuenta a la hora de fijar la sanción. En el presente procedimiento sancionador, la sanción se impone debido a que “TME” efectuó la contratación de una línea móvil a nombre de la parte reclamante haciendo uso de sus datos personales sin su consentimiento, y por este motivo se imputa el artículo 6.1 del RGPD. En cuanto a la responsabilidad de “TME”, debe indicarse que, con carácter general Telefónica trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
14. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
15. e)y
16. f)del RGPD. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que la persona que contrata es quien dice ser y que se implantan y mantienen medidas apropiadas para dar cumplimiento al principio de licitud. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de Telefónica se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible, ya que con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 de identidad se hubieran podido evitar. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada vulnera el artículo 6.1 del RGPD siendo constitutiva de la infracción tipificada en el artículo 83.5.
17. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “