← España

PS-00111-2021

1/18  Expediente Nº: PS/00111/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 24 de junio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00111/2021 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Dña. A.A.A. (en lo sucesivo, la reclamante) con fecha 24 de junio de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la reclamada). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 Los motivos en que basa la reclamación son el envío por parte de la entidad reclamada de facturas de teléfono titularidad de un tercero a la dirección de correo electrónico de la reclamante. Tras ponerlo en conocimiento de la reclamada, no ha obtenido respuesta. Manifiesta haber remitido el 17/06/2019 y 16/07/2019 correos electrónicos a las direcciones soporte@vodafone.es y tufacturavodafone@vodafone.es (esta última de la que recibe las facturas). También manifiesta haber llamado por teléfono sin especificar la fecha indicando “llamé un par de veces a Vodafone, pero me fue imposible entablar una conversación inteligente con una persona, puesto que me fueron pasando de operador en operador, de departamento en departamento y nadie sabía nada, nadie quería atenderme, nadie podía solucionarme el problema”. Fecha en la que tuvieron lugar los hechos reclamados: desde el 16 de mayo de 2019 hasta el 18/01/

  1. Documentación relevante aportada por la reclamante: Copia de las facturas y copia de los correos electrónicos remitidos a la reclamada para poner de manifiesto el problema. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por la reclamante, y de acuerdo con lo previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, en fecha 4 de agosto de 2020, se dio traslado de la reclamación a la reclamada (expediente de referencia E/6010/2020), para que procediera a su análisis y diera respuesta en el plazo de un mes. En fecha 13/10/2020 consta en esta Agencia respuesta al traslado de la reclamación, donde la reclamada asegura que se ha solucionado la incidencia y que se ha comunicado su resolución a la reclamante. Sin embargo, según se refleja en la resolución del expediente E/6010/2020, a fecha 01/12/2020 la afectada manifiesta que sigue recibiendo las facturas, como así lo acredita mediante las copias de las recibidas el mes de octubre y noviembre de 2020 emitidas el 8 de octubre y el 8 de noviembre de 2020 respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 TERCERO: El día 22/01/2021 se dictó resolución admitiendo a trámite la reclamación, y la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). El resultado de las actuaciones de investigación practicadas es el siguiente: Primero.- Se requiere información detallada sobre los motivos por los cuales la reclamante ha seguido recibiendo facturas, cuya copia se aporta, a pesar de haber declarado su entidad a esta Agencia, en el marco del expediente E/06010/2020, con fecha 13/10/2020, que la incidencia había quedado debidamente resuelta. Los representantes de la reclamada manifiestan que: “Como se indicó en las alegaciones presentadas al requerimiento de información con número de referencia E/06010/2020, el envío de avisos de disponibilidad de facturas a la reclamante a su cuenta de correo electrónico se produjo porque otro cliente tenía activo el envío de estos avisos al correo electrónico de la reclamante ***EMAIL.
  2. En agosto de 2020 se abrió un ticket de avería a Sistemas para que se diese solución al problema detectado dado que el sistema no permitía eliminar el correo electrónico de la reclamante a los responsables del canal de atención al cliente. En el momento en que dejó de estar visible en sistemas la cuenta de correo electrónico de la reclamante asignada a otro cliente para los responsables de atención al cliente, se dio por solucionada la incidencia, comunicándoselo así a esta Agencia en la contestación al requerimiento de información indicado. Sin embargo, se comprobó posteriormente que los cambios realizados en la ficha del cliente en el que constaba el correo electrónico de la reclamante no llegaron a guardarse, por lo que el e-mail de la reclamante no llegó a eliminarse por lo que siguió recibiendo los avisos. Tras recibir el presente requerimiento de información, se ha reabierto el caso ante los responsables de sistemas para que procediesen a la solución definitiva de la incidencia. Tras realizar las modificaciones oportunas, podemos confirmar que en fecha 11 de febrero de 2021, se ha logrado guardar de manera correcta los cambios aplicados, no constando ya la cuenta de correo electrónico de la reclamante como receptora de los avisos de disponibilidad de factura de otro cliente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 Aportan captura de pantalla de los sistemas que muestra la solución de la incidencia. Segundo.- Se requiere información detallada del error cometido en origen, así como al intentar corregirlo en octubre de 2020, que ha motivado que la reclamante siga recibiendo las facturas del tercero en cuestión. Los representantes del reclamado manifiestan que: “Como se ha expuesto en el apartado anterior, el error cometido en origen es que otro cliente tenía activadas las notificaciones de envío de facturas a la cuenta de correo electrónico de la reclamante, por este motivo, estaba recibiendo los avisos de disponibilidad de facturas en su correo electrónico. Se ha estudiado este caso con detalle con los responsables de Sistemas y se ha podido averiguar que este error no se ha producido por un fallo de los sistemas, sino porque el tercer cliente había proporcionado la cuenta de correo electrónico de la reclamante para el envío de las facturas. El tercer cliente ha sido catalogado como fraudulento por el equipo de investigación de Vodafone (habiéndose resuelto esta incidencia), por lo que, al acceder al área de cliente vía web, aportó una dirección de correo electrónico para el envío de facturas que resultó ser la de la reclamante. Esta incidencia intentó corregirse entre agosto y septiembre de 2020, eliminado la cuenta de correo electrónico de la reclamante de la ficha del tercero. Sin embargo, en la tramitación del ticket de esta avería, el proceso de borrado de esta información no llegó a completarse, no guardándose definitivamente los cambios. Por este motivo, la cuenta de correo electrónico de la reclamante ha seguido constando en la ficha del tercer cliente que sí tenía activos estos avisos de disponibilidad de factura.” Tercero.- Se ha requerido también información detallada sobre el procedimiento seguido por la entidad para remitir las facturas a los clientes, donde se muestre tanto el procedimiento de consignación de las direcciones de correo electrónico así como el procedimiento de remisión de las facturas a las direcciones consignadas para cada cliente. Se pide incluir una explicación detallada del motivo por el cual el procedimiento establecido ha permitido que la reclamante haya seguido recibiendo facturas, a pesar de la información obrante en el pantallazo de los datos del tercero aportado a esta Agencia con fecha 13/10/2020, en el cual no aparece la dirección de correo. Los representantes del reclamado manifiestan que: “Los clientes de Vodafone tienen la opción de activar avisos de disponibilidad de factura y envío de factura electrónica en los que se les informa sobre la fecha de cargo del importe con antelación al cargo en su cuenta bancaria, solo en los casos en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 que la modalidad de facturación sea de domiciliación bancaria. Para estos supuestos, los clientes pueden solicitar recibir estos avisos a través de e-mail o SMS. Para activar estas opciones, los clientes pueden solicitarlo en el momento del alta de la línea o bien en un momento posterior a través de los servicios de Atención al Cliente de Vodafone o de la AppWeb MiVodafone. A través de los canales indicados, los clientes tienen las opciones de: Activar la factura electrónica. Activar y modificar la notificación mensual de la disponibilidad de las facturas. Visualizar las tres últimas facturas en diferentes formatos. Descargar las facturas. En el caso del tercer cliente que resultó ser fraudulento, consta en nuestros sistemas que ha hecho modificaciones a través del área web en la gestión de su facturación donde se pudo incluir la dirección de la reclamante para el envío de los avisos de disponibilidad de facturas.” Cuarto.- Se ha requerido a la entidad reclamada los motivos por los cuales no se contestó a los correos electrónicos de la reclamante, ni se tramitaron sus peticiones de rectificación de sus datos personales para evitar seguir recibiendo las facturas de otro cliente. Se adjunta al requerimiento evidencias de los envíos de la reclamante, remitidos en fecha 17/06/2019 y 16/07/2019 a los buzones soporte@vodafone.es y tufacturavodafone@vodafone.es. Se requiere acreditación documental de las contestaciones emitidas, en su caso. Los representantes de la reclamada manifiestan que: “Los correos electrónicos soporte@vodafone.es y tufacturavodafone@vodafone.es no son cuentas de correo que reciban o atiendan solicitudes de los clientes. Los correos que se remiten a estos buzones se devuelven a los remitentes como no recibidos y, el caso del buzón relativo a soporte@vodafone.es, se remite una contestación automática en la que se redirige a los clientes a los canales oportunos para poder tramitar su solicitud, indicando lo siguiente: «Estimado cliente: Muchas gracias por ponerte en contacto con Vodafone. Para poder dar respuesta a tu consulta necesitamos identificarte a través de Mi Vodafone donde podremos atender tu petición de forma segura y podrás ver además C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 toda la información relacionada con tus servicios. En caso de no estar registrado en Mi Vodafone, pincha aquí. También tenemos a tu disposición nuestro teléfono de atención al cliente 22123 y puedes resolver tus dudas en la sección de ayuda Vodafone para clientes particulares. Si no eres cliente llámanos: Particulares: 1444 - Información Comercial - Información y contratación relacionada con los productos que comercializa Vodafone. Llamada gratuita 1704 - Información comercial y promociones exclusivas online - Información y contratación relacionada con los productos que comercializa Vodafone. Llamada gratuita. Horario de atención: de lunes a domingo de 9:00h a 21:00h. 607 123 000- Teléfono de atención Muchas gracias por tu atención y un saludo. Atención al cliente Vodafone *En caso de que no te funcionen los links de este mail, cópialos en tu navegador y accede directamente. Registro Mi Vodafone: clave/#/register» http://www.vodafone.es/c/mivodafone/es/registro-nueva- Por lo que las comunicaciones enviadas a estos buzones no fueron recibidas por Vodafone y así se le informó a la reclamante. Además, se han llevado a cabo las comprobaciones oportunas y se ha podido confirmar que para la Sra. A.A.A. no consta ninguna interacción o ticket en los cuales se indique que se ha recibido reclamación por estos hechos. También se confirma que, con la dirección de correo electrónico de la reclamante, ***EMAIL.1, no consta que se haya recibido correo alguno.” Adjuntan pantallazos de las interacciones del cliente. La reclamante no indica las fechas de sus llamadas, ni aporta evidencias de ellas que permitan contrastar la información. Se verifica únicamente que constan algunas interacciones de fecha 30/07/2019 (fecha más próxima al comienzo de la recepción de las facturas por la reclamante) del tipo “información” y código “pregunta abierta”, o “consulta cliente”. Adjuntan también impresión de pantalla de la citada respuesta genérica del buzón de soporte. Adjuntan impresión de pantalla de la dirección de correo del cliente indicando que en él tampoco consta recepción de ninguna reclamación, y que no ha podido darse una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 contestación si no se ha recibido una reclamación al respecto por parte de la reclamante. Quinto.- Se requiere aportar descripción del procedimiento detallado de atención de los buzones soporte@vodafone.es y tufacturavodafone@vodafone.es y motivo por el cual pueden no contestarse ni tramitarse las solicitudes dirigidas por los clientes a estos buzones como en el presente caso. Descripción de los controles establecidos sobre el procedimiento descrito, para asegurar la contestación y tramitación de las solicitudes recibidas por estas vías, y motivo por el cual fallaron en el presente caso en dos fechas distintas y dos buzones diferentes Los representantes del reclamado manifiestan que: “Como se indica en la alegación cuarta del presente escrito, los buzones de correo electrónico indicado no son los canales de comunicación por parte de los clientes que Vodafone, tiene habilitados, sino buzones desde los que se emiten comunicaciones hacia los clientes. Cuando un cliente envía un correo electrónico a estas direcciones, los mensajes se devuelven y se les remite la información oportuna sobre los canales a través de los cuales puede ponerse en contacto con Vodafone para presentar sus reclamaciones o cualquier tipo de petición. Por lo que estos buzones no están habilitados como canal de atención a los clientes, no recibiéndose, además correos electrónicos entrantes.” Sexto.- Se han realizado búsquedas mediante Google de dichas direcciones, verificándose que se encuentran múltiples ocurrencias de soporte@vodafone.es de sitios web de terceros, y una de ayudacliente.vodafone.es en la que consta un contrato “Solicitud de cambio de titular y Contrato de Servicios de Comunicaciones Móviles Pospago Particulares” en formato pdf con la siguiente cláusula: “
  3. Atención al Cliente y Reclamaciones. Vodafone facilita al Cliente un servicio de apoyo e información a través de www.vodafone.es, puntos de venta o agentes autorizados, en el Servicio de Atención al Cliente 123, en el domicilio social indicado en las presentes condiciones o por correo electrónico a soporte@vodafone.es. Si el Cliente quiere presentar una reclamación deberá hacerlo en el plazo de un

(1)mes desde que conozca el hecho que motiva la misma, por escrito al domicilio social de Vodafone sito en la Avenida de América, 115, 28042, Madrid, por teléfono en el Servicio de Atención al Cliente 123 o por correo electrónico a soporte@vodafone.es. […].” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 Realizada la búsqueda de la dirección de correo tufacturavodafone@vodafone.es solo se encuentra un resultado de un sitio web de un tercero citando que es la dirección remitente de las facturas de la entidad reclamante. Por parte de la Inspección de Datos se ha procedido a enviar un correo electrónico de prueba a la dirección soporte@vodafone.es comprobando que al cabo de un minuto aproximadamente se recibe la contestación automática mencionada. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 II La LOPGDD, en su artículo 5.1 indica: “Deber de confidencialidad”: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  1. f)del Reglamento (UE) 2016/679.” III El artículo 5.1.
  2. f)del RGPD establece que, los datos personales serán: “
  3. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). Y el apartado 2 del mismo artículo 5, señala: “2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>). IV En cuanto a la seguridad de los datos personales, el artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  4. a)la seudonimización y el cifrado de datos personales;
  5. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  6. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  7. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. V De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la reclamada realizó el tratamiento de los datos personales de la reclamante sin que tuviese ninguna legitimación para ello, materializado en que se continúan recibiendo facturas de teléfono titularidad de un tercero en la dirección de correo electrónico de la reclamante, a pesar de que solicitó en el pasado la eliminación de sus datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 Es preciso señalar que por parte de esta Agencia se trasladó la reclamación efectuada por la reclamante a la reclamada, manifestando ésta que la incidencia ya estaba resuelta. Sin embargo, la reclamante continuó recibiendo las facturas de teléfono titularidad de un tercero en su dirección de correo electrónico. En consecuencia, ha efectuado un tratamiento de los datos personales sin que haya acreditado que cuenta con la habilitación legal para ello. Por otra parte, existen otras evidencias significativas para la graduación de la infracción: Carácter continuado de los hechos constatados: desde 16/05/2019 al 18/01/2021. Volumen de los tratamientos efectuados: un tercero afectado, titular de las facturas, persona que pudo consignar la dirección del correo de la reclamante como dirección de envío, y la propia reclamante que recibe las facturas. El desarrollo de la actividad empresarial que desempeña la entidad requiere un tratamiento continuo de datos personales. La entidad realiza para el desarrollo de su actividad un elevado volumen de tratamientos de datos personales. VI Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la reclamada, por vulneración del artículo 5.1.
  8. f)del RGPD, que rige los principios de integridad y confidencialidad del tratamiento de los datos personales, así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento, como recoge el apartado 2 del mismo artículo 5 del RGPD. Por otra parte, existen indicios evidentes de que la reclamada ha vulnerado el artículo 32 del RGPD, facilitando el acceso a información relativa a datos personales de un cliente por una tercera persona ajena a la entidad. La responsabilidad de la reclamada viene determinada por el acceso no autorizado. La entidad es responsable de tomar decisiones destinadas a implementar de manera efectiva las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo para asegurar la confidencialidad de los datos y, entre ellas, las dirigidas a restaurar la disponibilidad e impedir el acceso a los datos en caso de incidente físico o técnico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 El artículo 83.5
  9. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. La LOPGDD en su artículo 72.1.
  10. a)establece como: “Infracciones consideradas muy graves. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. La vulneración del artículo 32 RGPD se encuentra tipificada en el artículo 83.4.
  12. a)del citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  13. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43.” (…) Establece el artículo 73 de la LOPDGDD, bajo la rúbrica “Infracciones consideradas graves”, lo siguiente: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  14. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.” En el presente caso, concurren las circunstancias infractoras previstas en el artículo 83.5 y 83.4 del RGPD y 72.1
  15. a)y 73 apartado
  16. f)de la LOPDGDD, arriba transcritos. El artículo 58.2 del RGPD dispone: “Cada autoridad de control tendrá todas las siguientes facultades correctoras:
  17. b)emitir amonestaciones a un responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 tratamiento o a un encargado del tratamiento cuando las operaciones de tratamiento hayan infringido las disposiciones del presente Reglamento;
  18. d)ordenar al responsable del tratamiento o al encargado del tratamiento que ponga las operaciones de tratamiento en conformidad con las disposiciones del presente Reglamento, cuando proceda, de una manera determinada y en un plazo determinado;
  19. i)imponer una multa administrativa con arreglo al artículo 83, además de las medidas a que se refiere el presente apartado o en su lugar, en función de las circunstancias de cada caso concreto;” En este sentido, cobran relevancia las acciones que haya tomado la reclamada al conocer la reclamación de la que fue informada por esta AEPD y las medidas adoptadas, debiendo informar de las mismas en el seno del procedimiento, pudiendo en la resolución adoptarse las convenientes para su ajuste a la normativa. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes, en el presente caso, los siguientes: La duración de la infracción (artículo 83.2.a). Una acción negligente (artículo 83.2.b). Se encuentran afectados identificadores personales básicos, según el artículo 83.2.g). VII Por tanto, conforme a lo anteriormente expuesto, la Directora de la Agencia Española de Protección de Datos, ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por la presunta infracción del artículo 5.1.
  20. f)del RGPD, sancionable conforme a lo dispuesto en el art. 83.5 del citado RGPD, y calificada de muy grave en el artículo 72.1
  21. a)de la LOPDGDD, y por la presunta infracción del artículo 32 del RGPD, sancionable conforme a lo dispuesto en el artículo 83.4 del citado RGPD, y que es calificada como grave en el artículo 73 apartado
  22. f)de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 SEGUNDO: ORDENAR a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, de acuerdo con lo dispuesto en el artículo 58.2
  23. d)del RGPD, para que en el plazo diez días proceda a ordenar al responsable o encargado del tratamiento, que las operaciones de tratamiento se ajusten a las disposiciones del RGPD. TERCERO: NOMBRAR como instructora a B.B.B. y, como secretaria, a C.C.C., indicando que cualquiera de ellas podrá ser recusada, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). CUARTO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, así como el informe de actuaciones previas de Inspección. QUINTO: QUE a los efectos previstos en el art. 64.2
  24. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de: 30.000 € (treinta mil euros) por infracción del artículo 5.1
  25. f)del RGPD, respecto a la vulneración del principio de confidencialidad y de 20.000 € (veinte mil euros) por infracción del artículo 32 del citado RGPD, respecto a la seguridad del tratamiento de los datos personales de sus clientes, sin perjuicio de lo que resulte de la instrucción. SEXTO: NOTIFICAR el presente acuerdo a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  26. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000 € (cuarenta mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000 € (cuarenta mil euros) y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 30.000 € (treinta mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 40.000 € (cuarenta mil euros) o 30.000 € (treinta mil euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-200320 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 27 de septiembre de 2021, la parte reclamada ha procedido al pago de la sanción en la cuantía de 40000 euros haciendo uso de una de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente. Por tanto, no ha quedado acreditado el reconocimiento de responsabilidad. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  27. d)e
  28. i)y 38.4 d),
  29. g)y
  30. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00111/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  31. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 937-160721 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.