PS-00142-2021

1/26  Procedimiento Nº: PS/00142/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/0142/2021, instruido por la Agencia Española de Protección de Datos, a la entidad, VODAFONE ESPAÑA, S.A.U., con CIF.: A80907397 (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por A.A.A., (en adelante, “el reclamante”), por presunta infracción del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD); Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (LOPDGDD) y por la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 18/11/20, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “El día 24/08/2020 recibí una comunicación comercial por correo electrónico en mi dirección ***EMAIL.1, sin que previamente se hubiera solicitado o expresamente autorizado, y sin existir una relación contractual previa. A pesar de que nunca debería haber recibido ese correo, el día 28/08/2020 ejercí mi derecho de oposición ante Vodafone, que contestó a mi solicitud, pero a pesar de ello, ha continuado enviándome sus SPAM los días 19/10/2020, 05/11/2020, 09/11/2020, y 16/11/2020”. Al escrito de reclamación se acompaña la siguiente documentación: 1.- Correo electrónico enviado con fecha 24/08/20, desde la dirección de VODAFONE info@vodafone-españa.com a la dirección de correo electrónico del reclamante con el asunto: “Ahorra en las comunicaciones de tu empresa”, incluyendo en el mismo un mensaje publicitario. 2.- Dos correos electrónicos enviados, con fecha 28/08/20, desde la dirección del reclamante, a las direcciones de correo: derechosprotecciondatos@vodafone.es ; DPOSPAIN@VODAFONE.COM y info@xn--vodafone-espaa-2nb.com; con el asunto: “Derecho de oposición ante Vodafone España S.A.U”. donde se exponía lo siguiente: “Tras haber recibido esta comunicación comercial sobre los servicios de Vodafone España S.A.U. en mi cuenta de correo electrónico ***EMAIL.1, sin que yo la haya solicitado ni autorizado, mediante el presente escrito con firma electrónica reconocida ejerzo mis derecho de oposición, de conformidad con lo previsto en el artículo 21 del Reglamento General de Protección de Datos, y en consecuencia, les solicito la oposición al tratamiento de mis datos personales con fines de mercadotecnia, incluyendo la elaboración de perfiles sobre mi persona, tanto por Ustedes como por cualquier otro con el que contraten. Les recuerdo que es doctrina del Tribunal Supremo que “cuando una entidad responsable del tratamiento de datos personales, ante la que se ejercite el derecho de oposición al tratamiento de datos personales para actividades publicitarias, contrate con otra la publicidad de sus productos y servicios, está obligada a adoptar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/26 las cautelas y medidas razonables para garantizar la efectividad del derecho de oposición; y una de dichas medidas puede consistir en la comunicación de los datos excluidos de tratamiento publicitario a la empresa con la que contrate la prestación de servicios publicitarios”. 3.- Correo electrónico enviado, con fecha 29/08/20, desde la dirección: derechosprotecciondatos@vodafone.es, a la dirección de correo del reclamante, con el Asunto: (Re): Derecho de oposición ante Vodafone España S.A.U.” donde se indicaba: “Estimado Sr. De acuerdo con su escrito en el que, según lo previsto en la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de carácter personal, ejerce su derecho de oposición a posibles cesiones de sus datos a empresas del Grupo Vodafone, por la presente le informamos que esta sociedad procede a tomar razón de inmediato de su petición. Anexo se ejerce la oposición al trato de datos con fines comerciales, en este sentido, le comunicamos que hemos ordenado la exclusión de sus datos de los envíos de información comercial desde esta entidad y de las promociones comerciales de esta entidad basadas en el tratamiento de sus datos de navegación”. 4.- Copia de cuatro correos electrónicos enviados con fechas, 19/10/20; 05/11/20; 09/11/20 y 16/11/20, desde la dirección de VODAFONE, info@vodafone-españa.com a la dirección de correo electrónico del reclamante, con el Asunto: “Ahorra en las comunicaciones de tu empresa”, incluyendo en los mismos el mensaje publicitario indicado anteriormente en el punto 1º. SEGUNDO: Con fecha 26/01/21, a la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, esta Agencia dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD. TERCERO: Con fecha 01/04/21, por parte de la Directora de la Agencia Española de Protección de Datos se dictó acuerdo de admisión de trámite de la denuncia presentada por el reclamante, de conformidad con el artículo 65 de la LPDGDD, al no haber recibido contestación alguna al requerimiento de información enviado desde esta Agencia a la parte reclamada. CUARTO: Con fecha 06/04/21, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, en virtud de los poderes establecidos, por lo siguiente: - Por infracción del artículo de artículo 21 del RGPD, al incumplir su obligación en la gestión del derecho de oposición ejercido por el reclamante, con una sanción inicial de 50.000 euros, (cincuenta mil euros). - Por Infracción del artículo 21 de la LSSI, por el envío de comunicaciones comerciales sin el consentimiento expreso del destinatario, con una sanción inicial de 20.000 euros, (veinte mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 QUINTO: Notificado el acuerdo de inicio del procedimiento sancionador a la entidad reclamada, ésta mediante escrito de fecha 26/04/21, formuló, entre otras, las siguientes alegaciones: “ a).- Sobre la imputación del artículo 21 de la LSSI: El Acuerdo de inicio imputa a Vodafone una supuesta infracción tipificada en el artículo 21 de la LSSI: La Agencia califica, por tanto, como vulneración leve de los derechos de los interesados y usuarios finales el hecho de realizar 4 comunicaciones no consentidas por el reclamante los días 19/10/20; 05/11/20; 09/11/20 y 16/11/20, tras haber ejercido su derecho de oposición ante Vodafone en fecha 24 de agosto de 2020 habiendo recibido contestación positiva el 29 de agosto de 2020. Al efecto, considera infringidos el artículo 21 de la LSSI. I. Para la adecuada valoración de los hechos, conviene hacer determinadas precisiones y complementar los hechos descritos. En primer lugar, hay que señalar que la campaña comercial de que se trata no pertenece a Vodafone ni ha sido autorizada por ésta, por lo siguientes motivos:

1. a)Utilización de un nombre de dominio empleando el nombre de Vodafone sin su consentimiento: El dominio utilizado para el envío de los correos electrónicos info@vodafone-españa.com, no pertenece a mi representada, sino que es titularidad de la entidad Cablanol, S.L. Esta entidad ha creado dicho dominio para el envío de publicidad a bases de datos de las que actúa como responsable del tratamiento y promocionando sus propias ofertas haciendo uso del nombre comercial de Vodafone y sus servicios sin autorización previa. Todos los correos electrónicos que adjunta el reclamante a su reclamación ante la Agencia que constituye el Expediente E/00285/2021, disponen de un pie de página al final de estos en los que se indica lo siguiente: “AVISO DE CONFIDENCIALIDAD. La información incluida en este email, así como los posibles archivos adjuntos al mismo, son CONFIDENCIALES. Siendo para uso exclusivo de su destinatario. Si usted recibe este email y no es su destinatario, notifíquenos este hecho y elimine este mensaje de su sistema. Queda prohibida la copia, difusión o revelación de su contenido a terceros sin la debida autorización de Cablanol S.L. En caso contrario vulnerará la legislación vigente. PROTECCIÓN DE DATOS. Sus datos personales, incluido su email están incluidos en un fichero titularidad de Cablanol S.L cuya finalidad es la de mantener el contacto con Vd., quien podrá ejercer sus derechos de acceso, rectificación, cancelación u oposición mediante escrito postal a C/ Oviedo nº4, 1º 1ª, 28100 Alcobendas. Adjuntando en cualquier caso prueba fehaciente de su identidad.” Imagen número 1 extraída de las copias de los correos electrónicos aportadas al E/00285/2021 de la Agencia.
2. b)Utilización de diseño, formato e imagen corporativa ajena a Vodafone. Asimismo, se debe atender a los aspectos de formato que se emplean en las comunicaciones realizadas dado que la imagen corporativa utilizada por Cablanol, S.L. cuando se refiere a Vodafone, no es la autorizada por mi representada ni emplea el uso de logos oficiales de Vodafone simplemente hace un uso indebido de un color rojo que no se corresponde con el código de color oficial de Vodafone y del nombre de mi representada sin atender a la fuente de la letra que tampoco se corresponde con el oficial de la marca tal y como se puede comprobar en la imagen que se copia a continuación. Imagen número 2 extraída de las copias de los correos electrónicos aportadas al E/00285/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 -
3. c)Contenido de las ofertas no se corresponde con el ofertado por Vodafone. Otro aspecto para resaltar para evidenciar la no atribución de responsabilidad sobre dicha comunicación a Vodafone es el contenido de la oferta de servicios que se hace en la misma, así como su información de contacto. Si hacemos una simple búsqueda del número de teléfono de contacto que se aporta en las comunicaciones de los correos electrónicos enviados al reclamante, el 900 264 036, se puede constatar que el mismo pertenece a la entidad Cablanol, S.L.: Imagen número 3 extraída de Google. Vodafone, no autoriza a las entidades que prestan servicios de promoción de servicios y productos de Vodafone a la realización de campañas comerciales con contenido publicitario que no utilice exclusivamente creaciones de diseño e imagen creados y autorizados por el equipo de marca de Vodafone, datos de contacto que no sean los oficiales de atención al cliente de Vodafone, ni por su puesto contenido que no se refiera a los productos o servicios que oferta Vodafone. Por otro lado, al analizar los productos y servicios promocionados, los mismos tampoco se corresponden con los ofertados por Vodafone en el periodo que se producen los hechos, agosto, octubre y noviembre de 2020. En primer lugar, en dichas ofertas se indica que “Solo este mes llévate el nuevo iPhone 12 gratis al contratar tu centralita” (véase la imagen número 2). Dicha oferta no se encuentra en el catálogo de promociones y ofertas hechas por Vodafone durante el periodo indicado. Como Documento número 1 se aporta el documento de promociones privadas dirigido al canal de ventas para la promoción de servicios Vodafone. Asimismo las siguientes ofertas que se muestran en la imagen número 4 tampoco forman parte del catálogo de soluciones de Vodafone, pues tal y como se puede comprobar en el Documento número 1 en las páginas 26 y 30, Vodafone no ofrece los terminales iPad Air 64GB, iPhone 12, ni Samsung Note 20 que ofrece Cablanol, S.L. en la publicidad que ha creado para la venta de productos propios haciendo un uso indebido de la imagen y ciertos servicios de Vodafone para la venta y promoción de los mismos en su propio beneficio y en perjuicio de la imagen y nombre de Vodafone. 7 Imagen número 4 extraída de las copias de los correos electrónicos aportadas al E/00285/2021 de la Agencia. Por todo lo anterior, cabe concluir que estos envíos no han sido realizados ni autorizados por Vodafone, no debiendo atribuirse a mi representada un incumplimiento del artículo 21 de la LSSI. Esto es así dado que se ha probado suficientemente que, (
4. i)el origen de la base de datos empleada para el envío de dichos correos electrónicos es responsabilidad de una entidad tercera que así lo indica en los propios e-mails; (
5. ii)ni el diseño, uso del color ni formato son los propios u oficiales de Vodafone, pues una entidad como Vodafone que invierte a nivel global grandes esfuerzos en su imagen corporativa no autoriza ni consiente un uso indiscriminado e indebido de su nombre o imagen asociado a ofertas comerciales que puedan producir a engaño sobre su anunciante con el consecuente daño a la marca e incumplimiento de sus derechos de propiedad intelectual; (iii) el contenido de las comunicaciones no se corresponde con los canales de comunicación oficiales de atención al cliente de Vodafone ni a las ofertas llevadas a cabo durante el periodo del envío de las mismas (ni en la actualidad). Todos estos hechos unidos a las pruebas que se adjuntan a las presenten alegaciones, ponen de manifiesto la falta de responsabilidad de Vodafone en el envío de dichas comunicaciones comerciales a través de correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 b).- Sobre la relación existente entre Vodafone y Cablanol, S.L.: Tras las investigaciones llevadas a cabo para esclarecer los hechos ocurridos en el presente procedimiento sancionador, hemos verificado que la entidad Cablanol, S.L. es una entidad subcontratada por la entidad Vesaleads, S.L. (entidad perteneciente al Grupo Solivesa para la comercialización de servicios de Vodafone en el segmento microempresas) con la cual Vodafone ha suscrito un contrato de agencia para la comercialización de servicios a clientes microempresas. En este contrato entre Vodafone y Vesaleads, S.L., que se adjunta como Documento número 2, Vodafone encomienda a Vesaleads la promoción y comercialización de servicios de Vodafone en nombre y por cuenta de Vodafone, a través suya o de subagentes, quedando prohibido la actuación por propia cuenta del agente mediante la reventa de los mismos, tal y como se indica en el Exponen V del referido contrato: “V. Que, por lo anterior, el ámbito de este con trato es la promoción y comercialización en el segmento microempresas de los Servicios que serán prestados (
6. i)en nombre y por cuenta de VODAFONE-ES cuando ésta sea la prestadora de los mismos y (ii), a través de una relación de subagencia también objeto del presente contrato, en nombre y por cuenta de VODAFONE-ONO cuando ésta sea la prestadora de los Servicios. El AGENTE no podrá actuar por su propia cuenta en relación con los citados Servicios mediante la reventa de estos, quedando expresamente excluida esta actividad del ámbito de la presente relación contractual y de cualquier otra que pudiera mantener. La actividad del AGENTE no podrá tampoco extenderse a la comercialización y distribución de los productos asociados a los Servicios en su modalidad prepago, así como a otros productos comercializados por VODAFONE.” Dicha promoción y comercialización se lleva a cabo a través de contacto mediante llamadas comerciales en las que se ofertan los servicios autorizados por Vodafone a los interesados, debiendo estar el uso de la marca y demás derechos de propiedad intelectual de Vodafone autorizados por Vodafone expresamente. En este sentido, la cláusula 9.5 del contrato indica textualmente lo siguiente: “9.5. El AGENTE no podrá hacer uso, ni poseer marcas, nombres de dominio u otros DPI susceptibles de confusión con los DPI que VODAFONE explota en la comercialización de sus servicios de comunicaciones electrónicas. El AGENTE sólo utilizará los DPI de VODAFONE cuando promueva la comercialización de los servicios en nombre y por cuenta de VODAFONE, para el desarrollo de la actividad objeto del presente contrato.” Asimismo, atendiendo al contrato de prestación de servicios suscrito entre Vesaleads, S.L. (agente de Vodafone) y Cablanol, S.L., (subagente) en el mismo se trasladan las obligaciones adquiridas por Vesaleads, S.L. y se 9 regulan las obligaciones de Cablanol, S.L. para la comercialización de servicios en su cláusula séptima en la que indica expresamente lo siguiente: “El SUBAGENTE se compromete a realizar la actividad de promoción y distribución comercial de las altas de Vodafone conforme a las instrucciones y programas de actuación determinados por este último, velando por asegurar la correcta comercialización de sus productos y servicios, la calidad del servicio y la veracidad de la información suministrada a los Clientes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 Dicho contrato se adjunta como Doc 3. Por todo lo anterior, se constata que Cablanol, S.L. no ha cumplido con las obligaciones impuestas por contrato para la promoción y comercialización de los servicios de Vodafone. Sino que ha realizado el envío de dichas comunicaciones por su propia cuenta y riesgo, asumiendo su responsabilidad en cuanto al tratamiento de los datos de los usuarios impactados por los correo electrónicos (así lo informa en los mismos) y promocionando sus propios servicios en su beneficio para lo cual se hace valer de la imagen y nombre de Vodafone conformando una oferta comercial conjunta que no ha sido autorizada por Vodafone al no existir ningún pacto de colaboración para la promoción conjunta de productos y servicios. En conclusión, no sería adecuada ni correcta la atribución a Vodafone de los hechos descritos en el procedimiento sancionador, ni la titularidad sobre el contenido, el formato y el propio dominio desde el que se hace el envío de dicha publicidad que no pertenecen en ningún caso a Vodafone ni ha sido realizada en virtud de la relación contractual existente. Además, debemos añadir que en el momento en que Vodafone tuvo conocimiento de esta práctica por parte del subagente, se solicitó el cese de tal actividad al mismo. En este sentido se pronuncia la SAN de fecha 26/02/2021: < Pasamos a analizar seguidamente, la cuestión referente a la existencia de culpabilidad, invocada su ausencia por la parte actora. Se dice por la sociedad recurrente que para que pueda ser atribuida la responsabilidad prevista por el ordenamiento jurídico por la comisión de una infracción administrativa, se requiere un doble título de imputación: (
7. i)la imputación objetiva, esto es, que pueda ser atribuido desde el punto de vista de la acusación material, y (
8. ii)la imputación subjetiva, es decir, la atribuibilidad volitiva. No es suficiente, pues, con el puro desvalor del resultado ni con la lesión objetiva de un bien jurídico protegido, se requiere también el desvalor de la acción por la comisión dolosa o culposa de la conducta. La simple inobservancia puede entenderse referida a una norma, pero la inobservancia objetiva de la norma no justifica por sí sola la imposición de la sanción. Así las cosas, es sabido que se puede incurrir en responsabilidad por la infracción que estamos examinando tanto de manera intencionada o dolosa o culposa (art. 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público-). Y procede ahora recordar que, como señala el Tribunal Supremo en la Sentencia de 23 de enero 10 de 1998, "... aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".> Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes. Para el supuesto de que la Agencia entendiera que sí ha existido infracción y que asimismo procede la imposición de una sanción a Vodafone, la misma deberá modularse a la baja atendiendo a las circunstancias que se expondrán en esta Alegación Segunda. En su Acuerdo de Inicio, la Agencia hace alusión a los criterios de graduación de la sanción contenidos en el artículo 40 de la LSSI y realiza determinados juicios de valor C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 que no se comparten por Vodafone. Afirma el Acuerdo de Inicio que "La existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la AN de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue a la LSSI". Tras la exposición de los hechos de la alegación primera, debe reconsiderar esta Agencia la aplicación de esta disposición al constatarse la no intencionalidad de las comunicaciones por parte de Vodafone, pues no ha participado en la definición de esta, ni en la aportación de las bases de datos ni, siquiera, en el contenido de las ofertas que se hacen a los afectados. En segundo lugar, ahora por referencia al apartado “Plazo de tiempo durante el que ha venido cometiendo la infracción, pues la entidad afirmó que había accedido a gestionar correctamente el derecho de oposición del reclamante, pero tres meses después volvió a enviarles comunicaciones comerciales no consentidas, (apartado b).” Dichas comunicaciones no han sido enviadas por Vodafone, pero asimismo no han vuelto a ser enviadas ni se han recibido más reclamaciones al respecto por lo que el impacto de dicha campaña no se puede graduar a gran escala. c).- Sobre la supuesta infracción del artículo 21 del RGPD: Los hechos imputados no son constitutivos de la infracción prevista en el artículo 21 del RGPD. Tal y como prueba el reclamante, Vodafone contestó en tiempo y forma a la solicitud de derecho de oposición a recibir comunicaciones comerciales en su cuenta de correo electrónico. Así, tal y como se evidencia en el expediente E/00285/2021 que se solicita adherir al presente acuerdo de inicio, Vodafone dio contestación por escrito desde su cuenta oficial para la atención del ejercicio de los derechos de los interesados, derechosprotecciondatos@vodafone.es al derecho de oposición ejercitado tan solo cinco días después a haber recibido tal solicitud, constando como Robinson en sus sistemas. No se debe atribuir a Vodafone la falta de ejercicio de derecho de oposición del reclamante cuando no ha quedado acreditado que Vodafone haya realizado el envío de comunicaciones comerciales con posterioridad a la tramitación de tal ejercicio, pues como se ha indicado en la alegación primera, tales comunicaciones no son propias de Vodafone y se han llevado de manera fraudulenta para la venta de productos de una tercera entidad. Prueba de ello es que el reclamante no ha denunciado la recepción de comunicaciones comerciales propias de Vodafone y la propia contestación a tal ejercicio de derechos por el canal oficial de Vodafone para la tramitación de estas solicitudes que deja constancia por escrito de que se ha aplicado la marca de usuario Robinson en los sistemas de Vodafone, no pudiendo ser contactado para el envío de cualquier comunicación comercial. Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes Para el supuesto de que la Agencia entendiera que ha existido infracción y que procede la imposición de una sanción por infracción del artículo 21 del RGPD, la misma deberá modularse atendiendo a las circunstancias que se expondrán en esta Alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 El Acuerdo de inicio alude de forma parcial a alguno de los criterios de graduación contenidos en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, y por razones de claridad se exponen seguidamente las razones por las cuales esta parte discrepa y entiende que la sanción – de ser impuesta – debe modularse a la baja. I. La duración de la infracción, teniendo en cuenta el alcance o propósito de la operación de tratamiento de los datos, así como, los perjuicios causados al interesado, pues la entidad afirmó que había procedido gestionar correctamente el derecho de oposición del reclamante, 12 el 28/08/20 y tres meses después, volvió a enviarte hasta cuatro correos electrónicos publicitarios, (apartado a). Sin perjuicio de que no puede considerarse que Vodafone sea el responsable de los hechos, esta agravante no debería aplicarse teniendo en cuenta precisamente el corto periodo de duración de los hechos que sucedieron en los tres meses siguientes al ejercicio del derecho no teniendo constancia la Agencia ni Vodafone de que se haya vuelto a producir. II. La negligencia en la infracción, al constatar la falta de diligencia debida de la entidad reclamada en el cumplimiento de sus obligaciones con respecto a la gestión de los datos personales los usuarios, (apartado b). Tal y como se señala en las alegaciones anteriores, la base de datos utilizada no es responsabilidad de Vodafone, ni lo es la propia oferta comercial que se comunica a los afectados que, en todo caso, ha dañado la imagen de mi representada al no cumplir con el buen uso de su imagen corporativa y de las ofertas comerciales que, en todo caso, no están autorizadas a la entidad. SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS que tenga por presentado este escrito y todos los documentos que lo acompañan y, en su virtud, tenga por efectuadas las manifestaciones en él contenidas y, tras los trámites oportunos, acuerde: 1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas. 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas en el presente escrito”. SEXTO: Con fecha 04/08/21, se inició el período de práctica de pruebas, acordándose en el mismo: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/00285/2021 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00142/2021, presentadas. SÉPTIMO: Con fecha 31/08/21, se da traslado a la entidad reclamada de la propuesta de resolución, en la cual, se propone que, por parte de la Directora de la Agencia Española de Protección de Datos se sancione a la entidad reclamada, por las siguientes infracciones: - Por infracción del artículo de artículo 21 del RGPD, al incumplir su obligación en la gestión del derecho de oposición ejercido por el reclamante, con una sanción de 50.000 euros (cincuenta mil euros). - Por Infracción del artículo 21 de la LSSI, por el envío de comunicaciones comerciales sin el consentimiento expreso del destinatario, con una sanción de 20.000 euros (veinte mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 OCTAVO: Notificado la propuesta de resolución a la parte reclamada, ésta, con fecha 20/09/21, presenta escrito de alegaciones, indicado, entre otras, lo siguiente: “PREVIA.- Antecedentes: la Propuesta de Resolución y resumen de las alegaciones: La Agencia entiende que mi mandante habría vulnerado el derecho de oposición ejercido por el reclamante, en relación con el artículo 21 del RGPD, y habría enviado comunicaciones comerciales sin el consentimiento expreso del destinatario, infringiendo el artículo 11 de la LSSI. A la vista de lo anterior, y sin perjuicio de que Vodafone se remite en su integridad a las alegaciones presentadas en fecha 26 de abril de 2021 (el "Escrito de Alegaciones de 26 de abril"), mi mandante entiende que: 1) Sobre los argumentos elaborados por la Agencia en cuanto a la relación existente entre VODAFONE y Cablanol, S.L. y la imputación de la infracción del artículo 21 LSSI: • La relación entre las partes era existente, como indica la Agencia, no obstante, fue Cablanol, S.L. quien actuó fuera de esa relación, convirtiéndose, siguiendo lo establecido por el artículo 28.10 del RGPD, en responsable del tratamiento. 2) Sobre los argumentos aportados por la Agencia para sancionar a mi representada por la infracción del artículo 21 del RGPD: • Cablanol, S.L. sí que fue notificado del derecho de oposición ejercido por el interesado, por lo tanto, al actuar como responsable del tratamiento independiente de mi representada, estaba obligado a implementar, con la debida diligencia, las medidas necesarias para dar trámite al derecho de oposición. • La dirección de correo electrónico que fue utilizada para el envío de las comunicaciones comerciales por parte de Cablanol, S.L. no puede ser considerada como dato personal, al revestir de carácter empresarial y de titularidad general y no concreta en una persona – como más adelante se detallará –, no aplicando el RGPD. PRIMERA.- La relación entre las partes era existente, como indica la Agencia, no obstante, Cablanol, S.L. actuó fuera del ámbito de la relación contratada, convirtiéndose, como indica el artículo 28.10 del RGPD en responsable del tratamiento. La relación contractual existente entre las partes involucradas en este proceso, tal y como ha evidenciado mi representada ante la Agencia, sería la siguiente: Cablanol, S.L. es una entidad subcontratada por la mercantil Vesaleads, S.L. (entidad perteneciente al Grupo Solivesa), con la que Vodafone firmó un contrato para la comercialización de servicios que esta operadora realiza en el segmento microempresas. Ante esta situación, la Agencia entiende que Cablanol, S.L. actuó como encargado del tratamiento respecto de mi representada. Es en este punto en el cual mantenemos nuestra respetuosa disconformidad, ya que como se probó en el Escrito de AlegacioC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 nes de 26 de abril, la entidad Cablanol, S.L. actuó de forma ajena y externa a Vodafone, incumpliendo, de facto, el contrato firmado entre las partes. Sin perjuicio de lo anterior, en la Propuesta de Resolución la Agencia considera que "no corresponde a esta Agencia valorar el cumplimiento o incumplimiento de los acuerdos adoptados”. Según la Agencia: Vodafone considera relevante hacer hincapié en el hecho de que no se solicita una valoración sobre el cumplimiento del contrato de servicios, sino en el hecho de que Cablanol, S.L. debió aplicar sus deberes como responsable del tratamiento, al convertirse en responsable de forma tácita, independiente y externa a la relación contratada con Vodafone, mediante la realización de los hechos en escritos previos alegados, totalmente ajenos a las tareas que como encargado de tratamiento debía asumir. Es por tanto la negligencia por parte de Cablanol, S.L. en su tratamiento ajeno a los servicios contratados por cuenta Vodafone, el hecho generador de un tratamiento ilegítimo, y no el cumplimiento del contrato de servicios contratado mi representada. En este sentido, lo que, bajo nuestro punto de vista, no ha valorado la Agencia en este caso es que cuando Cablanol, S.L. incumplió el contrato entre las partes, esta entidad se convirtió de forma inmediata en responsable del tratamiento, siguiendo lo dispuesto en el artículo 28.10 del RGPD; “si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento”. Asimismo, tal y como indica la Agencia en su propuesta de resolución, el responsable del tratamiento, definido en el punto 7 del artículo 4 del RGPD, es “la persona física o jurídica, autoridad, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento”. En este caso, Vodafone en ningún momento indicó a Cablanol, S.L. que remitiera las ofertas que envió, ni le facilitó ninguna base de datos a quien poder enviar las comunicaciones. Por el contrario, Cablanol, S.L. utilizó un diseño, formato e imagen corporativa ajenos a Vodafone, hizo uso de un nombre de dominio empleando el nombre de Vodafone sin su consentimiento y el contenido de las ofertas no se corresponde con el ofertado por Vodafone. Por lo tanto, los fines y los medios eran determinados por Cablanol, S.L., no por mi representada. Prueba de que Cablanol, S.L. actuó por su cuenta es que, tal y como se indicó en el Escrito de Alegaciones de 26 de abril, al analizar los productos y servicios promocionados por Cablanol, S.L., los mismos no se corresponden con los ofertados por Vodafone en el periodo que se producen los hechos. Por lo tanto, la promoción que realizaba perjudicaba la imagen de Vodafone, ofreciendo productos inexistentes que luego podían ser exigidos por posibles clientes, afectando a la reputación de mi representada. Por todo lo anterior, Cablanol, S.L., al actuar como lo hizo, incumplió el contrato entre las partes, determinando de forma propia y unilateral los fines y los medios del tratamiento y, por ende, convirtiéndose en el responsable del tratamiento según lo dispuesto en los artículos 4 y 28.10 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 En el caso de que la Agencia mantenga la interpretación aportada en su propuesta de resolución, estaría vaciando de contenido lo dispuesto en el artículo 28.10 del RGPD ya que, sin importar que obligación incumpla el encargado del tratamiento, incluso si determina los fines y los medios del tratamiento, como en el supuesto analizado, será siempre competencia del responsable por no haber actuado con la diligencia debida. SEGUNDA.- Cablanol, S.L. fue notificado, por lo tanto, al actuar como responsable del tratamiento independiente de mi representada, es obligación de la entidad implementar las medidas necesaria para dar trámite al derecho de oposición. La Agencia establece que mi representada vulneró el artículo 21 del RGPD por no tramitar correctamente el derecho de oposición del interesado. Ante esta afirmación, mostramos nuestra respetuosa disconformidad, ya que, en primer lugar, siguiendo con lo establecido en la manifestación primera de las presentes alegaciones, Cablanol, S.L., actuó como responsable del tratamiento, siendo su obligación tramitar este derecho, tal y como se indica en el artículo 12.1 del RGPD; “el responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22”. Asimismo, en segundo lugar, la Agencia indica en su resolución que se debería de haber notificado a Cablanol, S.L., para que no remitiese más comunicaciones comerciales al interesado. Según la Agencia: “Esta actuación no solo no era necesaria porque Cablanol, S.L. actuaba como responsable del tratamiento, sino que esta entidad ya había sido informada, ya que el interesado, al interponer su reclamación, lo hizo, al mismo tiempo, ante Vodafone y Cablanol, S.L.., tal y como se evidenció en el Anexo 1 del traslado de reclamación y solicitud de información en relación con el expediente E/00285/2021, que nos remitió esta Agencia. Tenemos que recordar que la dirección de email info@vodafone-españa.com , tal y como se indicó en el Escrito de Alegaciones de 26 de abril, es utilizada para el envío de los correos electrónicos que originaron esta reclamación y no pertenece a mi representada, sino que es titularidad de la entidad Cablanol, S.L. Por lo tanto, Cablanol, S.L. tendría que haber tramitado, como lo hizo mi representada, el derecho de oposición, no solo porque actuaba como responsable del tratamiento independiente de Vodafone, sino porque había sido notificada de la reclamación. TERCERA.- La dirección de correo electrónico que fue utilizado para el envío de las comunicaciones comerciales por parte de Cablanol, S.L. no puede ser considerado como dato personal, no aplicando por lo tanto el RGPD. La dirección de correo electrónico que fue utilizada para el envío de comunicaciones comerciales por parte de Cablanol, S.L. sería ***EMAIL.1. Esta dirección de correo electrónico, único dato que es usado por Cablanol, S.L para el envío de las comunicaciones no puede ser considerado como dato personal. Para ello nos fundamos en lo dispuesto en el Informe 0437/2010 de esta Agencia: “La dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos generalmente por su titular, con la única limitación de que dicha dirección no coincida con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, pudiendo incluso, en principio, coincidir con el nombre de otra persona distinta de la del titular. De lo antedicho se desprende que podemos referirnos a dos supuestos esenciales de dirección de correo electrónico, atendiendo al grado de identificación que la misma realiza con el titular de la cuenta de correo: […]. Un segundo supuesto sería aquel en que, en principio, la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta (por referirse, por ejemplo, el código de la cuenta de correo a una denominación abstracta o a una simple combinación alfanumérica sin significado alguno). Al mismo tiempo, es de interés puntualizar que la Comisión Europea1, en su página web oficial informa de que una dirección de correo electrónico que cumpla el formato “info@empresa.com”, no debe de considerarse como dato personal. Este formato de dirección de correo electrónico que no es considerado como dato personal por parte de la Comisión Europea tiene una estructura idéntica a la del correo electrónico objeto de estudio en el presente procedimiento; ***EMAIL.1. Por lo tanto, al no poder considerar la dirección de correo electrónico de este supuesto como dato de carácter personal, esta reclamación quedaría fuera del ámbito de aplicación del RGPD y, por ende, de la competencia de la Agencia. Página oficial de la Comisión Europea donde se analiza el siguiente asunto https://ec.europa.eu/info/law/lawtopic/data-protection/reform/what-personal-data_es CUARTA.- Subsidiariamente, para el caso de que se entendiera que sí ha habido infracción, son varios los factores que hacen llegar a la conclusión de que la actuación de Vodafone no ha sido negligente y, en consecuencia, no puede imponerse a la misma sanción alguna Con carácter subsidiario, para el supuesto de que la Agencia entendiera que sí ha habido infracción de los artículos 21 del RGPD y 21 de la LSSI (lo que negamos), no procede la imposición de sanción alguna al haber actuado de forma diligente (no culposa). Mi representada no pudo actuar con negligencia cuando Cablanol, S.L. actuó de forma independiente a las directrices de Vodafone, convirtiéndose en responsable del tratamiento. A mayor abundamiento, la actuación de Cablanol, S.L. puso en riesgo a mi representada, actuando de forma autónoma y sin autorización. Todos estos factores prueban que Vodafone no tuvo control sobre lo dispuesto por Cablanol, S.L. y que, por ende, no pudo actuar de forma negligente. Asimismo, volver a indicar que, cuando mi representada tuvo conocimiento del incumplimiento contractual de Cablanol, S.L., terminó el contrato que los vinculaba, demostrando una vez más el efecto pernicioso que esta relación había generado en Vodafone. Por todo ello, mantenemos la improcedencia de la imposición de sanción alguna. En virtud de todo lo anterior, SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS que tenga por presentado este escrito y todos los documentos que lo acompañan y, en su virtud, tenga por efectuadas las manifestaciones en él contenidas y, tras los trámites oportunos, acuerde: El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas. Subsidiariamente, que en caso de imponerse alguna sanción se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas en el presente escrito”. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados lo siguiente: HECHOS PROBADOS 1.- En la documentación aportada por el reclamante, en su escrito de fecha 14/11/20, se constatan los siguientes datos para tener en cuenta en este procedimiento: - El día 24/08/20 el reclamante recibe un correo electrónico publicitario con las siguientes características: o o o o De: VODAFONE <info@vodafone-españa.com> Para: DELEGADO PROTECCION DE DATOS, ***EMAIL.1 Asunto: MEJORA LAS COMUNICACIONES DE TU NEGOCIO. El mensaje publicitario incluido en el correo tenía el siguiente texto:  - “ACTUALIZA LAS COMUNICACIONES DE TU EMPRESA CON VODAFONE”.: Vente a VODAFONE Ahora tus líneas y centralita con grandes descuentos. 900264036. Solo este mes Llévate el nuevo iPhone 11 GRATIS al contratar tu centralita Ahora desde solo 131€/mes llévate: una centralita + 2 canales de comunicación + llamadas ilimitadas a fijos y móviles (nacionales) + Adsl o fibra* + terminales + mantenimiento incluido + *según cobertura. Y solo este mes llévate uno de estos productos de regalo al contratar tu centralita Samsung Galaxy S20 iPad Pro 64GB iPhone 11 Samsung Note 10 ¡No puedes perder una oportunidad como esta! El día 28/08/20, el reclamante envía varios correos electrónicos con las siguientes características: o o o o C/ Jorge Juan, 6 28001 – Madrid De: A.A.A. ***EMAIL.2 Para: derechosprotecciondatos@vodafone.es DPO-SPAIN@VODAFONE.COM y info@xn--vodafone-espaa-2nb.com Asunto: Derecho de oposición ante Vodafone España S.A.U. Texto: “Tras haber recibido esta comunicación comercial sobre los servicios de Vodafone España S.A.U. en mi cuenta de correo electrónico ***EMAIL.1, sin que yo la haya solicitado ni autorizado, mediante el presente escrito con firma electrónica reconocida ejerzo mis derecho de oposición, de conformidad con lo previsto en el artículo 21 del Reglamento General de Protección de Datos, y en consecuencia, les solicito www.aepd.es sedeagpd.gob.es 14/26 la oposición al tratamiento de mis datos personales con fines de mercadotecnia, incluyendo la elaboración de perfiles sobre mi persona, tanto por Ustedes como por cualquier otro con el que contraten. Les recuerdo que es doctrina del Tribunal Supremo que “cuando una entidad responsable del tratamiento de datos personales, ante la que se ejercite el derecho de oposición al tratamiento de datos personales para actividades publicitarias, contrate con otra la publicidad de sus productos y servicios, está obligada a adoptar las cautelas y medidas razonables para garantizar la efectividad del derecho de oposición; y una de dichas medidas puede consistir en la comunicación de los datos excluidos de tratamiento publicitario a la empresa con la que contrate la prestación de servicios publicitarios”. - El día 29/08/20, desde la dirección de correo electrónico <<VODAFONE>> (derechosprotecciondatos@vodafone.es), responden al reclamante indicándole con el siguiente mensaje: o - “Estimado Sr. De acuerdo con su escrito en el que, según lo previsto en la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de carácter personal, ejerce su derecho de oposición a posibles cesiones de sus datos a empresas del Grupo Vodafone, por la presente le informamos que esta sociedad procede a tomar razón de inmediato de su petición. Anexo se ejerce la oposición al trato de datos con fines comerciales, en este sentido, le comunicamos que hemos ordenado la exclusión de sus datos de los envíos de información comercial desde esta entidad y de las promociones comerciales de esta entidad basadas en el tratamiento de sus datos de navegación”. Los días 19/10/20; 05/11/20; 09/11/20 y 16/11/20, el reclamante vuelve a recibir correos electrónicos con mensajes publicitarios que hacen referencia a una promoción de VODAFONE (línea móvil, centralita, 2 canales de comunicaciones, llamadas ilimitadas…), desde la dirección: <<info@vodafone-españa.com>>. Los mensajes publicitarios contienen la siguiente información: o C/ Jorge Juan, 6 28001 – Madrid “ACTUALIZA LAS COMUNICACIONES DE TU EMPRESA CON VODAFONE: Vente a VODAFONE Ahora tus líneas y centralita con grandes descuentos. 900264036 Analizamos tu situación y buscamos la opción que más te beneficie, y en menos de 24 horas te enviamos el presupuesto. Solo este mes Llévate el nuevo iPhone 12 GRATIS al contratar tu centralita. SOLICITAR INFORMACIÓN-Ahora desde solo 131€/mes llévate: 1 línea móvil + una centralita + 2 canales de comunicación + llamadas ilimitadas a fijos y móviles (nacionales) + Adsl o fibra* + terminales + mantenimiento incluido *según cobertura. Y solo este mes llévate www.aepd.es sedeagpd.gob.es 15/26 uno de estos productos de regalo al contratar tu centralita Samsung Galaxy S20 iPad Air 64GB iPhone 12 Samsung Note 2.- Por su parte, la entidad reclamada, VODAFONE, alegó en un principio que: - El dominio utilizado para el envío de los correos electrónicos, info@vodafoneespaña.com , no pertenece a VODAFONE, sino que es titularidad de la entidad Cablanol, S.L. Esta entidad ha creado dicho dominio para el envío de publicidad a bases de datos de las que actúa como responsable del tratamiento y promocionando sus propias ofertas haciendo uso del nombre comercial de Vodafone y sus servicios sin autorización previa. - La imagen corporativa utilizada por Cablanol, S.L. cuando se refiere a Vodafone, no es la autorizada por Vodafone ni emplea el uso de logos oficiales de Vodafone simplemente hace un uso indebido de un color rojo que no se corresponde con el código de color oficial de Vodafone y del nombre de Vodafone sin atender a la fuente de la letra que tampoco se corresponde con el oficial de la marca. - El número de teléfono de contacto que se aporta en las comunicaciones de los correos electrónicos enviados al reclamante, el 900 264 036, pertenece a la entidad Cablanol, S.L. - Cablanol, S.L. es una entidad subcontratada por la entidad Vesaleads, S.L. (entidad perteneciente al Grupo Solivesa para la comercialización de servicios de Vodafone en el segmento microempresas), con la cual Vodafone ha suscrito un contrato de agencia para la comercialización de servicios a clientes microempresas. 3º.- De la documentación presentada por la entidad reclamada junto con sus alegaciones, destaca, en el documento titulado: “ACUERDO DE TRATAMIENTO DE DATOS PERSONALES DE VODAFONE”, firmado el 01/10/19, entre las entidades, VODAFONE y Vesaleads SL, para el desempeño de la actividad de Vodafone, lo siguiente: - ANTECEDENTES: (…) (
9. b)Las partes han acordado que el Encargado de Tratamiento podrá tratar ciertos Datos Personales contenidos en ficheros de Vodafone, en nombre y por cuenta de éste, quién podrá actuar en calidad de "Responsable de tratamiento" o de "Encargado de tratamiento" tal y como se recoge en el Reglamento General de Protección de Datos, en adelante RGPD con respecto a dichos Datos Personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 - (…) 2. TRATAMIENTO SEGÚN LAS INSTRUCCIONES DE VODAFONE o 2.1. El Encargado de Tratamiento garantiza y se compromete a que en todo momento:  - 2.1.1.Sólo tratará los Datos Personales para llevar a cabo las actividades encomendadas en el Acuerdo, de conformidad con las finalidades encomendadas y según lo acordado por escrito por las partes y, únicamente actuará conforme a las indicaciones facilitadas por escrito por Vodafone. En particular, el Encargado de Tratamiento no ejercerá por sí mismo el control, ni transferirá dichos Datos Personales a un tercero, salvo que Vodafone lo autorice expresamente y por escrito;  2.1.1.1.no tratará, aplicará o utilizará los Datos Personales para ninguna finalidad que no sea la requerida por Vodafone y que no sea necesaria para proporcionar los Servicios acordados;  2.1.1.2.no tratará los Datos Personales para sus propios fines ni incluirá Datos Personales en productos o servicios ofrecidos a terceros;  2.1.1.3.deberá completar un Apéndice de Tratamiento separado de manera independiente para cada Servicio que requiera el Tratamiento de Datos Personales. (…) 6. USO DE SUB-ENCARGADO DE TRATAMIENTOS o C/ Jorge Juan, 6 28001 – Madrid 6.1. El Encargado de Tratamiento no subcontratará o externalizará ningún Tratamiento de Datos Personales a ninguna otra persona o entidad, incluyendo las Entidades del Grupo del Encargado de Tratamiento ("Subencargado de Tratamiento") a menos y hasta que:  6.1.1.El Encargado de Tratamiento haya notificado a Vodafone mediante notificación formal por escrito el nombre completo y sede social o sede principal del SubEncargado de Tratamiento completando el Anexo 1.  6.1.2.El Encargado de Tratamiento haya notificado a Vodafone cualquier cambio que se requiera hacer al Anexo 1 de acuerdo con esta Cláusula 7.  6.1.3. El Encargado de Tratamiento haya proporcionado a Vodafone el detalle (incluyendo categorías) del Tratamiento que debe www.aepd.es sedeagpd.gob.es 17/26 realizar el SubEncargado de Tratamiento con relación a los Servicios prestados;  6.1.4.Encargado de Tratamiento haya firmado un acuerdo con dicho Subencargado de Tratamiento que, en ningún caso, podrá ser menos exigentes que lo contenido en el presente Acuerdo;  6.1.5.Vodafone no se haya opuesto de manera fundamentada a la subcontratación o externalización dentro de los diez