PS-00170-2024

1/38  Expediente N.º: EXP202301365 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: FACUA-Sevilla, en representación de D. A.A.A., con DNI ***NIF.1 (en adelante la parte reclamante) con fecha 27/12/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra XFERA MÓVILES, S.A. con NIF A82528548 (en adelante XFERA o la parte reclamada). La reclamación venia motivada por los siguientes hechos: la parte reclamante manifestaba que la parte reclamada había llevado a cabo una portabilidad sin su consentimiento. Señalaba que en fecha 14/09/2022 recibió un mensaje de texto en el que le informaban que su línea seria portada el 15/09/2022; manifestaba no haber solicitado portabilidad alguna ni contratación de servicio alguno con la parte reclamada. La nueva tarjeta SIM fue entregada en su domicilio a un tercero que no mostró su DNI. SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, o a estos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, se dio traslado de la reclamación a la parte reclamada para que procediera a su análisis y diera respuesta en el plazo de un mes. TERCERO: En fecha 15/03/2023 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando la no admisión a trámite de la reclamación. La resolución fue notificada a la parte recurrente, en fecha 16/03/2023, según consta acreditado en el expediente. CUARTO: En fecha 14/04/2023 la parte reclamante interpuso recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202301365, en el que muestra su disconformidad con la resolución impugnada, solicitando que se admita a trámite la reclamación inicial presentada. En fecha 30/08/2023 se remitió el recurso interpuesto a la parte reclamada en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/38 Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, lo que se realizó mediante escrito de respuesta de fecha 06/09/2023. QUINTO: EL 15/09/2023 la Directora de la Agencia Española de Protección de Datos resolvió estimar el recurso de reposición interpuesto contra la resolución dictada el 15/03/2023 y admitir a trámite la reclamación formulada de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. En las respuestas ofrecidas por la parte reclamada, en fechas 21/11/2023 y 19/02/2024, a los requerimientos de información confirman que la contratación se realizó a través de Internet y aportan información del procedimiento de contratación con portabilidad mediante acta de presencia ante notario de 14/02/2023. La verificación de la voluntad de contratar y llevar a cabo la portabilidad se manifiesta a través del formulario que se rellena expresamente con esa finalidad y en el que se informa de dicha circunstancia mediante el texto “Usaremos los siguientes datos para portar tu número actual a la nueva tarjeta SIM de MASMOVIL”. Además, se envía un SMS con la finalidad de verificar la línea para evitar suplantaciones o errores. Según consideraciones de los representantes de la entidad “la conservación de números por los usuarios finales (portabilidad) se encuentra regulada en la Ley 11/2022, de 28 de junio, general de telecomunicaciones y en la mencionada Especificación Técnica, no estando relacionado este proceso técnico con las competencias de esta Agencia de garantizar la seguridad en el tratamiento de datos de carácter personal. En este sentido, la portabilidad numérica se encuentra regida por su regulación específica, siendo uno de sus requisitos el consentimiento del abonado para proceder al ejecutar los procesos técnicos que lleva aparejado ese proceso”. Según considera la entidad existió manifestación de la voluntad de llevar a cabo la portabilidad y el tratamiento de datos personales cumplía con los requisitos de licitud y transparencia. Asimismo, consideran que no existió suplantación de la identidad ya que los datos proporcionados en la solicitud correspondían todos a su persona (dirección, teléfonos de contacto, datos identificativos…) y la tarjeta SIM fue entregada en su domicilio. En lo que respecta a la verificación de la identidad del contratante, esta se lleva a cabo en el momento de la entrega de la tarjeta SIM, que es el primer momento en el que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/38 puede realizar una comprobación de la identidad mediante exhibición del documento acreditativo de la identidad y la persona que porta dicho documento. En relación con la acreditación de que se remitió al interesado un código de validación por SMS al teléfono que se iba a portar y que fue incluida en el formulario de contratación web, la parte reclamada manifiesta que: El texto del SMS que se le envió al interesado fue aportado por él mismo en su denuncia “MASMOVIL: Tu línea móvil ***TELÉFONO.1 será portada el 15/09/2022 entre las 2am y 6am. A partir de entonces ya puedes cambiar tu tarjeta SIM" Facilitan copia del registro en sus sistemas de dicha comunicación. La acción afirmativa para llevar a cabo la portabilidad se ofreció en el propio formulario de contratación en la web cuando el interesado indica que desea llevar a cabo una portabilidad y proporciona toda la información solicitada específicamente para ello En lo referente al sistema de códigos de validación por SMS implantado actualmente, se encontraba en fase de desarrollo y pruebas en el momento de la portabilidad del interesado, implementándose poco después, siendo los formularios los mismos en el momento de la contratación del interesado, a falta solo de esa funcionalidad. La finalidad de este sistema de OTP no es revalidar el consentimiento sino confirmar la posesión de la numeración que se pretende portar. En este caso el propio interesado ha aportado en la denuncia el contenido del mensaje de texto remitido informando de la portabilidad. En lo que respecta al consentimiento para tratar los datos personales del interesado para llevar a cabo la portabilidad, los representantes de la entidad indican que se prestó en el momento de rellenar el formulario de la página web que tiene tal finalidad y confirmarlo. En relación al momento del proceso de contratación en que se considera acreditada la identidad del cliente la parte reclamada manifiesta que: En los procesos de contratación a distancia la acreditación de la identidad se lleva a cabo en el momento de la entrega de la tarjeta SIM, ya que es el único momento previo a la activación, en el que el titular de la numeración está presente, junto con su DNI, a fin de acreditar su identidad. Es el mensajero quien debe cotejar que la tarjeta SIM es entregada al destinatario del paquete mediante la exhibición de su DNI, instrucción que aparece en el propio albarán de la tarjeta SIM. Aportan copia de dicho albarán en el que se puede comprobar que la dirección de entrega es la misma que la proporcionada por el denunciante en su escrito. En lo referente a la información de la que dispone el transportista en el momento de la entrega, esta se limita a la información incluida en el campo “Destinatario” que es la misma que aparece en la etiqueta del sobre. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/38 El número de DNI es un dato que el mensajero desconoce, que debe proporcionarse por el destinatario a la vez que exhibe su DNI y cuyo número el mensajero introduce en una PDA. El mensajero solo puede proceder a la entrega del paquete en caso de que la PDA le devuelva un OK tras la introducción del número del DNI proporcionado por el destinatario. Si el DNI proporcionado no coincidiera con el del cliente, la PDA devolvería un KO y el paquete no debería ser entregado. SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la parte reclamada es una gran empresa constituida en el año 2.000, y con un volumen de negocios de 1.996 millones de euros en el año 2.022. OCTAVO: Con fecha 31/05/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada por la presunta infracción del artículo 6.1 del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5.

1. a)del citado Reglamento. NOVENO: Notificado el acuerdo de inicio la parte reclamada solicitó mediante escrito de 10/06/2024 ampliación de plazo para formular alegaciones y copia del expediente; plazo que le fue concedido y copia remitida mediante escrito del instructor de misma fecha. El 26/06/2024 la parte reclamada presentó escrito de alegaciones manifestado, en síntesis: la caducidad del recurso de reposición interpuesto; en cuanto a las cuestiones jurídico materiales, la sorpresa por la apertura de un procedimiento sancionador por ausencia de base de legitimación pues el propio reclamante reconoce que no se produjo una suplantación de identidad; que existía un contrato entre las partes por el que el consentimiento existió; vulneración del principio de presunción de inocencia; la ausencia de culpabilidad; la existencia de circunstancias que no han sido tenidas en cuenta y que atenúan la posible culpabilidad; el archivo del expediente y subsidiariamente, una minoración de la sanción en leve. DÉCIMO: Con fecha 10/12/2024, se acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por la parte reclamada y la documentación que acompaña. DECIMOPRIMERO: Con fecha 14 de marzo de 2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se sancione a XFERA MÓVILES, S.A.U., con NIF A82528548, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
2. a)del RGPD, con una multa de 200.000 € (doscientos mil euros). DECIMOSEGUNDO: Notificada la propuesta de resolución, el día 18 de marzo de 2025, la parte reclamada solicitó ampliación del plazo que le fue concedido y presentó escrito de alegaciones el día 4 de abril de 2024 en el que, en síntesis, se aduce que se reitera en las alegaciones previamente presentadas, es decir: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/38 ALEGACIONES JURÍDICO-FORMALES ÚNICA. Caducidad del recurso de reposición. Señala XFERA, que el plazo máximo para dictar y notificar la resolución del recurso será de un mes, y que el plazo que la AEPD empleó para resolver el recurso de reposición interpuesto por la parte reclamante fue de cinco meses. Manifiesta XFERA que el artículo 25.1 apartado
3. b)de la LPACAP, estipula, en concreto, que, en los procedimientos de carácter sancionador, el vencimiento del plazo máximo estipulado sin que se haya notificado resolución expresa por la Administración, produce los siguientes efectos: “
4. b)En los procedimientos en que la Administración ejercite potestades sancionadoras o, en general, de intervención, susceptibles de producir efectos desfavorables o de gravamen, se producirá la caducidad. En estos casos, la resolución que declare la caducidad ordenará el archivo de las actuaciones, con los efectos previstos en el artículo 95”. Afirma XFERA que, por tal motivo, ante la superación del plazo máximo para resolver el recurso interpuesto por la parte reclamante, la Agencia debió ordenar el archivo de las actuaciones, con los efectos previstos en el artículo 95 de la LPAC. ALEGACIONES JURÍDICO-MATERIALES PRIMERA. Del supuesto de hecho: de la existencia de un tratamiento con legitimación. La parte reclamada, insiste en que todos los datos coinciden con los del reclamante y que el proceso de entrega de la nueva tarjeta SIM se realizó sin ninguna incidencia en el domicilio del reclamante y señala que el mensajero previa verificación de la identidad mediante el cotejo del documento de identidad, entregó el paquete al reclamante, quien firmó el albarán de entrega y pese a constar acreditado lo contrario documentalmente, el reclamante niega haber recogido el paquete con la tarjeta SIM, pese a haberse efectuado la entrega en su propio domicilio y constar su firma en el albarán de entrega. Señala, que resulta innegable que consta acreditado la existencia de un contrato entre el reclamante y XFERA, formalizado por el propio reclamante en el canal web de XFERA y que se ejecutó y confirmó en el momento de la activación de la SIM por el reclamante el 15 de septiembre y su posterior uso hasta el día 23 del mismo mes. Afirma XFERA que no cabe considerar concurrente la existencia de un tratamiento de datos sin legitimación, en la medida en la que consta acreditada la solicitud realizada por el reclamante, titular de la línea que se quiere portar, al cumplimentar el procedimiento designado por XFERA al efecto. Sostiene XFERA que cuenta con una base de legitimación que justifica el tratamiento de los datos del reclamante y que permite su tratamiento en base a la relación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/38 contractual formalizada, no resultando posible identificar, en la conducta de esta parte, una infracción del artículo 6.1 del RGPD. SEGUNDA. De la existencia de un contrato válido y la prestación del consentimiento por el Reclamante. XFERA se reitera en que el reclamante aduce que no prestó válidamente el consentimiento contractual, debido a que no llegó a firmar, en términos estrictos, un contrato, indicando que constituye una cuestión relativa a la prestación del consentimiento contractual, que excede al ámbito competencial de la AEPD y a la propia normativa de protección de datos, y que en el presente caso, tienen lugar los requisitos que nuestro ordenamiento jurídico establece para entender válidamente prestado el consentimiento en los contratos electrónicos. XFERA vuelve a señalar el procedimiento llevado a cabo para la contratación y repite lo ya manifestado en las alegaciones al acuerdo de inicio del presente procedimiento sancionador, señalando en resumen que el video aportado por el propio reclamante acredita que todos los requisitos necesarios para que tenga lugar una contratación se cumplieron (oferta, documento contractual que rellenó el reclamante, aceptación expresa, confirmación y compra) y señala que las actuaciones posteriores del reclamante reafirman la prestación de su consentimiento y su voluntad de contratar con XFERA: en el momento de la entrega, el reclamante aceptó la misma y recibió el paquete en su domicilio. Manifiesta XFERA que derivado de lo anterior cuenta con una base de legitimación que justifica el tratamiento de los datos del reclamante y que permite su tratamiento en base a la relación contractual formalizada, no resultando posible identificar, en la conducta de XFERA de una infracción del artículo 6.1 del RGPD. TERCERA. Vulneración de las normas generales que rigen los procedimientos administrativos. XFERA, señala que el principio de seguridad jurídica determina el necesario carácter objetivo de la decisión administrativa, sin que quepa regular la decisión a una interpretación subjetiva no tipificada, ni motivada de la Autoridad Administrativa. Y alega que así lo estipula la Sentencia del Tribunal Constitucional 46/1990, de 15 de marzo: "La exigencia del artículo 9.3 relativa al principio de seguridad jurídica implica que el legislador debe perseguir la claridad y no la confusión normativa, debe procurar que acerca de la materia sobre la que legisle sepan los operadores jurídicos y los ciudadanos a qué atenerse, y debe huir de provocar situaciones objetivamente confusas [...]. Hay que promover y buscar la certeza respecto a qué es Derecho y no provocar juegos y relaciones entre normas como consecuencia de las cuales se introducen perplejidades difícilmente salvables respecto a la previsibilidad de cuál sea el Derecho aplicable, cuáles las consecuencias derivadas de las normas vigentes, incluso cuáles sean éstas". Asimismo, indica que el artículo 35 de la LPACAP establece, la exigencia de motivación de ciertos actos administrativos: “1. Serán motivados, con sucinta referencia de hechos y fundamentos de derecho: (…)
5. h)Las propuestas de resolución en los procedimientos de carácter sancionador, así como los actos que resuelvan procedimientos de carácter sancionador o de responsabilidad patrimonial (…).”. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/38 relación con la motivación de los actos administrativos, el Tribunal Supremo ha declarado, en su Sentencia de 4 de abril de 2012, que: "La exigencia de la motivación de los actos administrativos responde, según reiterada doctrina jurisprudencial, de la que es exponente la Sentencia del Tribunal Supremo de 16 de julio de 2001, a la finalidad de que el interesado pueda conocer con exactitud y precisión el cuándo, cómo y por qué de lo establecido por la Administración, con la amplitud necesaria para la defensa de sus derechos e intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el conocimiento de los datos fácticos y normativos que les permitan resolver la impugnación judicial del acto, en el juicio de su facultad de revisión y control de la actividad administrativa; de tal modo que la falta de esa motivación o su insuficiencia notoria, en la medida que impiden impugnar ese acto con seria posibilidad de criticar las bases y criterios en que se funda, integran un vicio de anulabilidad, en cuanto dejan al interesado en situación de indefensión. Todo ello sin perjuicio de la lógica discrepancia de quien obtiene una resolución desfavorable a sus intereses, lo que no constituye falta de motivación, porque su derecho no alcanza a la concesión de lo pedido, ya que nadie tiene derecho a que le den la razón, sino a que la decisión que se le brinda ofrezca la explicación necesaria para que el administrado pueda conocer con exactitud y precisión el contenido del acto". Indica la parte reclamada, que la Agencia considera como hecho probado las manifestaciones del reclamante, que aluden a que éste no prestó su consentimiento a XFERA, pese a haber aceptado de forma expresa la oferta propuesta por ésta y completar con sus datos personales y de su línea telefónica el formulario y contrato relativo al servicio de telefonía de XFERA, así como efectivamente activar y hacer uso del servicio que afirma no haber contratado durante una semana. Señala XFERA que, no habiendo sido valoradas las pruebas aportadas, la Agencia ha generado una manifiesta situación de indefensión para XFERA. El artículo 90.1. de la Ley 39/2015 específicamente señala que: “En el caso de procedimientos de carácter sancionador, además del contenido previsto en los dos artículos anteriores, la resolución incluirá la valoración de las pruebas practicadas, en especial aquellas que constituyan los fundamentos básicos de la decisión, fijarán los hechos y, en su caso, la persona o personas responsables, la infracción o infracciones cometidas y la sanción o sanciones que se imponen, o bien la declaración de no existencia de infracción o responsabilidad”. Expone que la Sentencia del Tribunal Constitucional 145/2004, de 13 de septiembre, el derecho a la defensa, que proscribe cualquier indefensión, incluye la denegación inmotivada de medios de prueba (por todas, SSTC 7/1998, de 13 de enero; 3/1999, de 26 de enero; 14/1999, de 22 de febrero; 276/2000, de 16 de noviembre, y 117/2002, de 20 de mayo). Con su actuación, que niega la existencia de una relación contractual entre el reclamante y XFERA sin ningún razonamiento al respecto, pese a constar acreditada su existencia, mediante el Documento nº 1 aportado al presente y pese a haber hecho uso del servicio el propio denunciante durante una semana; la AEPD vulnera el derecho de esta parte a utilizar los medios de prueba adecuados para la defensa, de lo que se deriva una vulneración del artículo 24.2 de la Constitución Española. CUARTA. Circunstancias aplicables al caso individual, conforme al art. 83.2 RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/38 XFERA, señala que no procede la imposición de sanción alguna y expone los criterios que han sido atendidos como agravantes por la AEPD, y considera que no concurren las circunstancias para su consideración en relación con los hechos analizados. Así mismo, señala que según lo establecido en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, concurren en el presente las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la supuesta infracción por la Agencia: 1) En ningún momento se han tratado categorías especiales de datos (Art.83.2 g). 2) El grado de cooperación de XFERA con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos: ha quedado acreditado que se ha contestado en tiempo y forma a todos los requerimientos de información solicitados por esta Agencia, en línea con la práctica habitual de esta mercantil de total colaboración con la autoridad de protección de datos (Art. 83.2 f). 3) La adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42 (Art. 83.2 j). De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1. El 27/12/2022 tiene entrada en la AEPD escrito FACUA-Sevilla, en representación de D. A.A.A., con DNI ***NIF.1 (en adelante la parte reclamante) en el que manifiesta que la parte reclamada ha llevado a cabo una portabilidad sin su consentimiento; en fecha 14/09/2022 recibió un mensaje de texto en el que le informaban que su línea seria portada al día siguiente; manifiesta no haber solicitado portabilidad alguna ni contratación de servicio alguno con la parte reclamada; la nueva tarjeta SIM fue entregada en su domicilio a un tercero que no mostró su DNI. 2. El 14/09/2022, la parte reclamante recibió un mensaje SMS con el siguiente texto: MASMOVIL: Tu línea móvil ***TELÉFONO.1 será portada el 15/09/2022 entre las 2 am y 6 am. A partir de entonces ya puedes cambiar tu tarjeta SIM”. 3. En escrito de 19/02/2023 en respuesta a la pregunta realizada por inspector actuante: ¿Acreditación de que se remitió al interesado un código de validación por SMS al teléfono que se iba a portar y que fue incluida en el formulario de contratación web? Señala la parte reclamada que: “(…) En lo referente al sistema de códigos de validación por SMS con el que contamos actualmente, se encontraba en fase de desarrollo y pruebas en el momento de la portabilidad del interesado, implementándose poco después, siendo los formularios los mismos en el momento de la contratación del interesado, a falta solo de esa funcionalidad. La finalidad de este sistema de OTP no es revalidar el consentimiento, lo cual, como indicábamos, no es un requisito conforme la legislación vigente, sino confirmar la posesión de la numeración que se pretende portar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/38 (…)” 4. En escrito de 19/02/2023 en respuesta a la pregunta realizada por inspector actuante: ¿Detalle de en qué momento del proceso de contratación se considera acreditada la identidad del cliente, así como qué documentación debe aportar en su caso? Señala la parte reclamada que: “En los procesos de contratación a distancia la acreditación de la identidad se lleva a cabo en el momento de la entrega de la tarjeta SIM, ya que es el único momento previo a la activación, en el que el titular de la numeración está presente, junto con su DNI, a fin de acreditar su identidad. Es el mensajero quien debe cotejar que la tarjeta SIM es entregada al destinatario del paquete mediante la exhibición de su DNI, instrucción que aparece en el propio albarán de la tarjeta SIM, el cual hemos aportado varias veces ya a lo largo del procedimiento”. 5. La parte reclamada en escrito de 08/03/2023 manifiesta que “…la portabilidad fue solicitada el 13 de septiembre de 2022 a través de (...), correspondiente al canal de ventas web, de modo que la solicitud se llevó a cabo a través de la web de la marca MASMOVIL…” y “…además de la línea a portar ***TELÉFONO.1, se proporciona en la solicitud como teléfono de contacto el ***TELÉFONO.2, que es el mismo teléfono de contacto aportado por FACUA, representantes del interesado, como medio de contacto…” Y en ese mismo escrito se señala que “De los primeros análisis realizados por el departamento de fraude, consistentes en comprobar la exactitud de los datos proporcionados, no se detectan indicios de fraude en relación con esta contratación. Puede por tanto concluirse en primera instancia que los datos identificativos, dirección y teléfono de contacto son realmente los del interesado, no apreciándose elementos de suplantación de identidad”. Por último, consta reflejado en este mismo escrito lo siguiente: “El número de DNI es un dato que el mensajero desconoce, que debe proporcionarse por el destinatario a la vez que exhibe su DNI y cuyo número el mensajero introduce en una PDA. El mensajero solo puede proceder a la entrega del paquete en caso de que la PDA le devuelva un OK tras la introducción del número del DNI proporcionado por el destinatario. Si el DNI proporcionado no coincidiera con el del cliente, la PDA devolvería un KO y el paquete no debería ser entregado. 6. La parte reclamada ha aportado contrato de portabilidad suscrito con la parte reclamante; en el mismo figuran los datos de carácter personal, los relativos al producto contratado y los datos económico (nº de cuenta); el documento no figura firmado por la parte reclamante, como tampoco figura firmada la orden de domiciliación de adeudo SEPA. 7. Consta aportado Contrato de Prestación de servicios, suscrito en Madrid el 15/07/2015, entre Xfera e Interbox Technology, S.L. cuyo objeto es la prestación de servicios logísticos a cambio de una remuneración. En la cláusula 1.6, Distribución y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/38 entrega, epígrafe 1.6.4, Comprobación de la identidad del cliente y cancelación entregas, se establece que: “EL OPERADOR LOGISTICO deberá proceder a la comprobación la identidad del cliente en el momento de la entrega del pedido. A tal fin, la persona designada por el OPERADOR LOGISTICO para realizar la entrega del pedido deberá solicitar al cliente, que previamente habrá sido informado de ello, la exhibición de un documento acreditativo de su identidad (Documento Nacional de Identidad, Tarjeta de Extranjero o Pasaporte). En caso de que el destinatario del pedido no fuera capaz de exhibir un documento acreditativo de su identidad o si el documento exhibido correspondiera a una persona distinta de la que realizó el pedido, según los datos obrantes en el Sistema Integrado, el OPERADOR LOGISTICO deberá cancelar la entrega y el pedido será transportado de nuevo a la Plataforma, donde se almacenara en una ubicación habilitada al efecto. EL OPERADOR LOGISTICO deberá proceder al registro informático de esta circunstancia en el plazo máximo de 24 horas desde que se produzca la cancelación de una entrega por la causa prevista en este apartado, de que esa información esté disponible en el Sistema Integrado. EL OPERADOR LOGISTICO asume ante YOIGO la plena disponibilidad sobre la comprobación de la identidad de los clientes en el momento de la entrega de los pedidos. La carga de la prueba acerca del cumplimento de esta obligación por parte del OPERADOR LOGISTICO correrá siempre a cargo del OPERADOR LOGISTICO, que deberá mantener indemne a YOIGO, frente a cualquier reclamación daño o perjuicio relacionado con la entrega de un pedido sin comprobación de la identidad del destinatario FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/38 varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; Además, el artículo 4.7 del RGPD establece que el «responsable del tratamiento» o «responsable» es: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. Una tarjeta SIM es una tarjeta inteligente que contiene un chip en el que se almacena el número de línea telefónica móvil del cliente, así como el número de identificación personal, pero que también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Además, a los efectos de los artículos 4.1 y 4.2 del RGPD la formalización de nuevas altas de clientes mediante la portabilidad de sus líneas de telefonía supone un tratamiento de datos personales. XFERA realiza esta actividad en su condición de responsable del tratamiento dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones al Acuerdo de Inicio 1. En primer lugar, alega la reclamada la caducidad del recurso de reposición interpuesto por FACUA contra la resolución dictada acordando inadmitir la reclamación presentada por la parte reclamante. La Sección 3, Recurso potestativo de reposición, del Capítulo II, Recursos administrativos, de la de la LPACAP establece en los artículos 124, Plazos, que: “1. El plazo para la interposición del recurso de reposición será de un mes, si el acto fuera expreso. Transcurrido dicho plazo, únicamente podrá interponerse recurso contencioso-administrativo, sin perjuicio, en su caso, de la procedencia del recurso extraordinario de revisión. Si el acto no fuera expreso, el solicitante y otros posibles interesados podrán interponer recurso de reposición en cualquier momento a partir del día siguiente a aquel en que, de acuerdo con su normativa específica, se produzca el acto presunto. 2. El plazo máximo para dictar y notificar la resolución del recurso será de un mes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/38 3. Contra la resolución de un recurso de reposición no podrá interponerse de nuevo dicho recurso”. Pues bien, la Resolución de la no admisión a trámite de la reclamación fue dictada el 15/03/2023, siendo notificada en fecha 16/03/2023, según acuse que consta en el expediente. Posteriormente, en fecha 14/04/2023, es decir, antes del transcurso del plazo de un mes a partir del día siguiente a la notificación de Resolución de no admisión de la reclamación presentada, la parte reclamante interpuso recurso potestativo de reposición correspondiente contra la Resolución dictada, habiendo sido estimado mediante Resolución de la Directora de la Agencia el 15/09/2023 y habiendo sido notificado en la misma fecha según consta en acuse de recibo. Por tanto, no puede acordarse la caducidad, como indica la parte reclamada, del recurso puesto que fue interpuesto en plazo por la representación de la parte reclamante; cuestión distinta es que la AEPD resolviera el mismo de manera extemporánea, si bien ya se señalaba en la Resolución del mismo que venía motivado “a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, …” Por consiguiente, la alegación formulada no puede ser aceptada. 2. En segundo lugar, alega la parte reclamada que le resulta llamativo que la AEPD le abra procedimiento sancionador por ausencia de base de legitimación, cuando el propio reclamante reconoce que no se produjo una suplantación de identidad y que fue él quien rellenó sus datos en el sitio web de MásMóvil. Y ciertamente sorprende la citada afirmación puesto que no es cierto que la parte reclamante en los escritos remitidos a lo largo del procedimiento a la AEPD hay realizado tales manifestaciones; así, en el escrito de recurso señala “que los datos y el teléfono de contacto proporcionados en la solicitud eran los correctos y que coincidían con los del reclamante. Sin embargo, en la presente denuncia no se ha denunciado eso, sino que lo que se ha denunciado es que el proceso de contratación de la empresa Masmovil a través de la página web de la empresa: https://www.masmovil.es/tarifas-moviles, se ha podido verificar que cuando un usuario elige la tarifa y rellena sus datos, aparece un mensaje en que se anuncia ”AHORA TE FALTA FIRMAR CONTRATO” y que sin embargo, la realidad es que, a lo largo del proceso de contratación, nunca hay que llegar a firmar ningún contrato”. Por lo tanto, que los datos proporcionados en la solicitud fueran los correctos y coincidieran con los suyos, los del reclamante, media un abismo con lo afirmado de que el propio reclamante reconoce que fue el quien relleno los datos en el formulario de la web. Por el contrario, si es cierto que la parte reclamada en su escrito de 07/03/2023 manifiesta que no existió fraude, incurriendo en una suerte de voluntarismo, manifestando que no hubo fraude: “De los primeros análisis realizados por el departamento de fraude, consistentes en comprobar la exactitud de los datos proporcionados, no se detectan indicios de fraude en relación con esta contratación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/38 Puede por tanto concluirse en primera instancia que los datos identificativos, dirección y teléfono de contacto son realmente los del interesado, no apreciándose elementos de suplantación de identidad”. 3. Alega la parte reclamada la existencia de un contrato entre las partes, por lo que sorprende que se inicie un procedimiento sancionador existiendo una base de legitimación de las contempladas en el artículo 6.1 del RGPD. Sin embargo, tal alegato al igual que los anteriores debe decaer; en el caso analizado, la infracción que se le imputa a la parte reclamada es la recogida en el artículo 6 del RGPD, " Licitud del tratamiento", que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito, entre los que se encuentra: "
6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales...". En el presente caso, consta acreditado que la contratación de la portabilidad de la línea de telefonía móvil titularidad de la parte reclamante no contaba con su autorización ni consentimiento y así lo manifiesta en su escrito de reclamación cuando se indica: “PRIMERO: Que siendo el Sr. A.A.A. cliente de la empresa O2, el mismo recibió en su terminal el día 14/09/22 un mensaje SMS procedente de la empresa MAsmovil con el siguiente texto: “MASMOVIL: Tu línea móvil ***TELÉFONO.1 será portada el 15/09/2022 entre las 2am y 6am. A partir de entonces ya puedes cambiar tu tarjeta SIM" Ese mismo día, se personó sin consentimiento de nuestro socio un mensajero en su domicilio, (donde sólo estaba su mujer) quien le solicitó a la misma el número de DNI del Sr. A.A.A., sin ni siquiera aclarar de qué tipo de gestión se trataba ni qué tipo de paquete iba a entregar, la cual se lo facilitó (sin ni quiera enseñárselo), pensando que se trataba de algún otro tipo de pedido realizado a otra empresa”. La parte reclamada, no ha aportado ningún tipo de documento, protocolo o procedimiento que evidencie haber efectuado la verificación de la identidad del contratante cuando fue solicitada la portabilidad de la línea de telefonía móvil ***TELÉFONO.1, ni constan evidencias de controles realizados con la finalidad de comprobar la identidad de la persona que solicitaba la portabilidad y que quien contrataba era quien decía ser. Así, ante la pregunta formulada por el inspector actuante en el requerimiento de información de fecha 05/02/2024: ¿Acreditación de que se remitió al interesado un código de validación por SMS al teléfono que se iba a portar y que fue incluida en el formulario de contratación web? La parte reclamada respondía en fecha 19/02/2024: “(…) En lo referente al sistema de códigos de validación por SMS con el que contamos actualmente, se encontraba en fase de desarrollo y pruebas en el momento de la portabilidad del interesado, implementándose poco después, siendo los formularios los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/38 mismos en el momento de la contratación del interesado, a falta solo de esa funcionalidad. La finalidad de este sistema de OTP no es revalidar el consentimiento, lo cual, como indicábamos, no es un requisito conforme la legislación vigente, sino confirmar la posesión de la numeración que se pretende portar. (…)” Por tanto, en la fecha de contratación de la portabilidad de la línea móvil titularidad de la parte reclamante no existía método, formula o procedimiento de validación de la identidad del contratante mediante SMS, sino que se encontraba en fase de desarrollo e implantándose con posterioridad. Por otra parte, el Acta notarial aportada en la que se da fe de la realización del proceso seguido para la portabilidad de una línea de telefonía móvil, siguiendo los pasos señalados o indicados en la página web de la compañía, acredita que la portabilidad llevada a cabo a través de los formularios recogidos en la web de la compañía provoca la realización de la contratación, pero no prueba la identidad de quien lo realiza y que quien la realiza es quien dice ser. 4. La parte reclamada ha alegado una evidente vulneración del principio de presunción de inocencia. Artículo 53, Derechos del interesado en el procedimiento administrativo, de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece en su apartado 2, letra b): “(…) 2. Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos:
7. a)A ser notificado de los hechos que se le imputen, de las infracciones que tales hechos puedan constituir y de las sanciones que, en su caso, se les pudieran imponer, así como de la identidad del instructor, de la autoridad competente para imponer la sanción y de la norma que atribuya tal competencia.
8. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. El derecho a la presunción de inocencia rige sin excepciones en el procedimiento administrativo sancionador –si bien con ciertas matizaciones- por cuanto es una manifestación de la potestad punitiva del Estado y comporta, (STC 76/1990) “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. El Tribunal Supremo (STS de 26/10/1998) ha indicado que la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/38 constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” La prueba de cargo de la infracción del artículo 6.1 de la LOPD que se atribuye a la parte reclamada es que no contaba con base de legitimación alguna para la contratación de la portabilidad de la línea de telefonía móvil titularidad de la parte reclamada, cuestión que no ha sido desvirtuada en las alegaciones formuladas al acuerdo de inicio. En contraste con las evidencias que acreditan la infracción la parte reclamada no ha aportado prueba alguna que sustente la versión ofrecida en el curso del procedimiento sancionador de que existía un contrato entre las partes. Ni el SMS enviado por la parte reclamada conteniendo el texto: “MASMOVIL: Tu línea móvil ***TELÉFONO.1 será portada el 15/09/2022 entre las 2 am y 6 am. A partir de entonces ya puedes cambiar tu tarjeta SIM”, ni por supuesto el Acta notarial aportada acreditan la identidad de la parte reclamante y que esta fuera quien llevo a cabo la portabilidad. Señalar en todo caso que está acreditado en la documentación que sirvió de base a la apertura del expediente sancionador que había existido un tratamiento de datos por la parte reclamada para el que carecía de legitimación, por lo que era a ella a quien incumbía la carga de acreditar que exista una base legal que legitimaba el tratamiento efectuado. Nos remitimos a la SAN de 11/05/2001 en la que se indica que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción”. La conducta analizada, de la que es responsable la parte reclamada constituye una infracción del artículo 6.1 del RGPD, tipificada como infracción muy grave en el artículo 85.3.
9. a)del RGPD. 5. Alega la parte reclamada ausencia de culpabilidad en el tratamiento llevado a cabo. Sin embargo, dicho argumento debe ser rechazado; habiéndose acreditado la conducta típica, el tratamiento de los datos personales del reclamante sin acreditar ninguna de las bases de legitimación que se establecen en el artículo 6.1 del RGPD, la cuestión por tanto se centra en determinar si de tal conducta puede nacer responsabilidad administrativa sancionadora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/38 La reclamada solicita que se acuerde el archivo del procedimiento por ausencia de culpabilidad al faltar los requisitos esenciales para imponer una sanción administrativa. En el ámbito del Derecho Administrativo sancionador rige el principio de culpabilidad, de forma que el elemento subjetivo o culpabilístico es una condición indispensable para que nazca la responsabilidad sancionadora. El artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP) regula el principio de culpabilidad y dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” De conformidad con este precepto, la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica cabe citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz (…)” La decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que le resulta exigible. Conviene recordar lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción (…) que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz (…)” En conexión con lo expuesto hay que referirse al artículo 5.2 del RGPD (principio de responsabilidad proactiva), según el cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/38 demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa en materia de protección de datos, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. Y sobre esta cuestión no hay que olvidar el artículo 24.1 del RGPD que sobre la responsabilidad del responsable del tratamiento dispone: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario." Cabría señalar cual fue la diligencia observada por la parte reclamada en relación con la conducta que debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar era la precisa para cumplir las obligaciones que le imponía el artículo 6.1 del RGPD y que motivó la apertura del procedimiento sancionador. Por tanto, de conformidad con el principio de proactividad la parte reclamada no adoptó una actitud consciente y diligente, sin haber aportado ningún tipo de evidencia, documento, testimonio o justificante acreditativo de haber efectuado la verificación de la identidad del contratante cuando fue solicitada la portabilidad de la línea de telefonía móvil ***TELÉFONO.1, sin que consten controles realizados para verificar la identidad del contratante y que quien contrataba era quien decía ser, evitando incidencias como las que dio lugar a la reclamación y la apertura del procedimiento, infracción del artículo 6.1 del RGPD, actitud y comportamiento que no ha existido en el presente caso, evidenciando ausencia de diligencia. 6. La parte reclamada ha alegado la vulneración del principio de tipicidad y la nulidad del acto administrativo. . No obstante, la citada argumentación se considera irrelevante y no puede ser aceptada; en el presente caso se atribuye a la reclamada en el procedimiento sancionador incoado la infracción del principio de legitimación en el tratamiento de los datos de carácter personal previsto en el artículo 6.1 del RGPD que dispone: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/38
10. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
11. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
12. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
13. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
14. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
15. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
16. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Los principios que presiden el tratamiento, establecidos en el artículo 5 del RGPD, son de obligado cumplimiento para el responsable de un tratamiento. Es más, el artículo 5.2. del RGPD introduce el principio de responsabilidad proactiva en virtud del cual el responsable del tratamiento queda obligado a cumplir los principios descritos en el artículo 5.1, y a estar en condiciones de demostrar su cumplimiento, lo que conlleva trasladar al responsable la carga de la prueba del cumplimiento de esa obligación. Como ha manifestado el Gabinete Jurídico de la AEPD el RGPD ha supuesto un cambio de paradigma al abordar la regulación del derecho a la protección de datos personales, que pasa a fundamentarse en el principio de “responsabilidad proactiva” (“accountability”) La exposición de motivos de la LOPDGDD dice que “la mayor novedad que presenta el Reglamento (UE) 2016/679 es la evolución de un modelo basado, fundamentalmente, en el control del cumplimiento otro que descansa en el principio de responsabilidad activa”. En relación con el principio de legitimación de los datos los Considerandos 39 y 40 disponen que: