← España

PS-00227-2019

1/13 Procedimiento Nº: PS/00227/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La afectada interpuso el 10/05/2019 reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra XFERA MÓVILES, S.A. (MASMOVIL), con NIF A82528548 (en adelante XFERA). Los motivos en que basa la reclamación son, en síntesis, los siguientes: que tanto la línea de teléfono fijo como la conexión a Internet a través de ADSL, dejaron de funcionar repentinamente; que puesta en contacto con la compañía le comunicó que se había producido un cambio del nombre del titular, domicilio, y tipo de acceso a Internet, ahora por fibra óptica, pero que seguía constando su DNI, cuenta bancaria y correo electrónico; que estas nuevas condiciones de servicio provocaron un cambio de contrato que produjo cargos en su cuenta bancaria y que pese a haber presentado una reclamación ante la compañía con fecha 30/05/2018, con número de incidencia ***INCIDENCIA.1, a fecha de presentación de la reclamación en la Agencia, sigue sin teléfono fijo ni conexión a Internet, si bien las líneas móviles incluidas en el contrato si funcionan. Tampoco puede conectarse con el Área de clientes; que según el denunciante tuvieron lugar el 29/05/2018 Y, entre otra, anexa la siguiente documentación:  Contrato de Servicios Combinados MASMOVIL particulares  Documento SEPA  Factura de fecha 1 de marzo de 2018 donde constan los datos de la reclamante y el acceso a Internet por ADSL correspondiente al contrato ***CONTRATO.1 (Obtenida vía web del Área de clientes)  Factura de fecha 1 de junio de 2018 donde constan los datos cambiados y acceso a Internet por fibra óptica correspondiente al contrato ***CONTRATO.2 (Obtenida vía web del Área de clientes)  Denuncia con fecha ***FECHA.1 interpuesta ante la Dirección General de la Policía, con número de atesado ***ATESTADO.1, adjuntando dos hojas mecanografiadas por una cara, exponiendo los hechos. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante / de los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). 1 En la documentación aportada por la reclamante, se constata que ha habido un cambio de contrato en donde se han cambiado el nombre del titular del contrato y el domicilio, conservando la cuenta bancaria de cargo correspondiente a la reclamante. 1. Con fecha 6 y 8/12/2018 se recibe en esta Agencia dos escritos exactamente iguales procedentes de XFERA correspondientes al traslado de la reclamación. En ellos manifiesta, al haberse presentado denuncia ante la Dirección General de la Policía, que “…teniendo en cuenta que estos hechos ya están siendo investigados de forma oficial por la vía penal, solicitamos se esté a la resolución de dicho procedimiento para esclarecer las posibles casusas del incidente… “. Cabe mencionar que, en estos escritos, aunque el expediente al que hacen referencia es el correcto, nombran como reclamante a una persona diferente de la que ha presentado la reclamación en este caso. Probablemente, se trate de un reclamante de otro expediente. 2. Con fecha 10/05/2019 se recibe en esta Agencia nuevo escrito de XFERA, esta vez figurando el reclamante correcto, contestando parcialmente a lo que se le requería. En él manifiesta que se abrieron dos incidencias con fecha de gestión de 20/08/2018 (***INCIDENCIA.1 y ***INCIDENCIA.2) y otra incidencia posterior con fecha de gestión de 11/09/2018 (INCIDENCIA.3). La reclamada informa que como consecuencia de estas incidencias se ha rectificado el nombre del titular del contrato, a la vez que se confirmó que el contrato ***CONTRATO.1 no generó facturación por lo que se encuentra “sin acción pendiente”. Preguntada por la situación del procedimiento judicial mencionado en su primer escrito, y en el que solicitaban mantenerse a la espera de resolución, manifiestan que desconocen el estado de tramitación del mismo. Aportan impresión de pantalla de la tramitación de la incidencia de suplantación de identidad en donde se aprecia número de incidencia ***INCIDENCIA.4 y fecha de creación de 11/11/2018 y estado sin resolver. Sobre las causas que han motivado la reclamación, informan de que no pueden ser completamente expuestas en el momento de presentación de este escrito. Finalmente manifiestan que están adoptando internamente las acciones oportunas de cara a implementar nuevas medidas formativas, incluyendo asesoramiento externo, para todo el personal implicado en los procesos comerciales. 3. Preguntada la reclamada mediante requerimiento de esta Agencia por la vía por la que se produjo la suplantación de identidad y el procedimiento empleado para la acreditación de identidad, no ha dado respuesta a las cuestiones planteadas. TERCERO: Con fecha 11/06/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 6.1.

  1. a)del RGPD, tipificada en el artículo 83.4 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones el 01/07/2019 manifestando, en síntesis, lo siguiente: el error en la apreciación de la infracción del artículo 6.1 del RGPD y que en todo momento su actuación se ajustó a la legalidad vigente siendo cuestión distinta la intervención de un tercero de mala fe con finalidad defraudatoria; que consta acreditado en el expediente la apertura de causa penal para la averiguación de los hechos que son objeto de atención en el mismo acuerdo de Inicio y que la misma prejudicialidad penal impide la prosecución de este expediente que debe ser suspendido en tanto no se resuelva aquélla; la invocación del principio de presunción de inocencia debido a la insuficiencia justificación de la pretendida sanción administrativa y el archivo del expediente. QUINTO: Con fecha 31/07/2019, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/10393/2018. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00227/2019 presentadas por XFERA MÓVILES, S.A. y la documentación que a ellas acompaña. Solicitar a XFERA copia del contenido de las incidencias MM177623, MM234465 y MM272613. Solicitar a la reclamante documentación que obre en su poder relacionada con procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados y la copia de su DNI. La representación de la reclamada presentó escrito de ampliación de plazo el 13/08/2019, que fue atendido mediante escrito de 26/08/2019. SEXTO: En fecha 05/11/2019, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a XFERA por infracción del artículo 6.1.
  2. a)del RGPD, tipificada en el artículo 83.5.
  3. a)del RGPD, con multa de 60.000 €. Asimismo, se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de XFERA presentó el 05/12/2019 escrito en el que reiteraba las alegaciones vertidas durante el procedimiento; que en todo caso la sanción habría de moderarse para ajustarse al principio de proporcionalidad. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 03/07/2018 de la reclamante en el que denuncia a XFERA señalando que tanto la línea fija de teléfono como la conexión a Internet a través de ADSL dejaron de funcionar y que puesta en contacto con la compañía le comunicaron que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 había producido un cambio de titular, domicilio y tipo de acceso a Internet (ahora por fibra óptica), pero que continuaban constando su DNI, su cuenta bancaria a efectos de domiciliación y correo electrónico; que estas nuevas condiciones provocaron un cambio de contrato que provocando cargos en su cuenta bancaria y que pese a haber presentado una reclamación ante la compañía, a fecha de presentación de la reclamación en la Agencia, sigue sin teléfono fijo ni conexión a Internet, aunque si funcionan las líneas móviles incluidas en el contrato, tampoco puede conectarse al Área de clientes de la compañía. SEGUNDO. Consta denuncia ante Comisaría de Policía Nacional el ***FECHA.1, Atestado nº ***ATESTADO.1. La reclamante manifiesta, entre otras: “Que estos años transcurren con normalidad llevando a cabo el pago de facturas al día, hasta que el martes paso día 29/05/2018 se percata de que no funciona la conexión a internet por o que se pone en contacto con la compañía Masmovil quienes le informan que no funciona el ADSL (lo que tenía contratado la compareciente), pero si la fibra. Que además le informan que se hizo un cambio de contrato el día 18/05/2018 en el cual se incluye conexión a internet por fibra óptica y una línea fija así como un cambio en los datos con lo que inicialmente se contrató el servicio (los de la compareciente) para incluir una nueva línea fija ***TELÉFONO.3, así como la contratación de fibra óptica en vez del ADSL que tenía contratado la compareciente. Que en el nuevo contrato se cambian los datos de la compareciente, apareciendo como titular A.A.A., con DNI ***NIF.1 y domicilio en ***DIRECCIÓN.1 de Madrid. Que desconoce quién es esta persona ya que no ha oído ese nombre en la vida”. TERCERO. Consta aportado CONTRATO DE SERVICIOS COMBINADOS MASMOVIL PARTICULARES suscrito por la entidad y el reclamante el 08/09/2016, en el que figuran sus datos de carácter personal, constando como servicios contratados dos líneas de telefonía móvil asociados a los números ***TELÉFONO.1 y ***TELÉFONO.2 y servicios de telefonía fija y acceso a internet de banda ancha, vinculados a la línea fija ***TELÉFONO.3, no figurando en el citado contrato cambio de titular ni datos del anterior titular. CUARTO. Aporta igualmente documento de Aceptación domiciliación de pago facturas en cuenta bancaria, de su titularidad. QUINTO. Consta copia de la factura emitida por XFERA nº ***FACTURA.1, de fecha 01/03/2018 en las que figuran los datos personales de la reclamante (nombre, apellidos, DNI, datos cuenta bancaria de su titularidad, etc.) SEXTO. Consta copia de la factura emitida por XFERA, nº ***FACTURA.2, de fecha 01/06/2018 en las que figuran los datos personales del tercero: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 B.B.B. Calle ***DIRECCIÓN.2 28044 Madrid Madrid Paralelamente, en la factura figura como forma de pago consta domiciliación bancaria y como titular de la misma cuenta de la que es titular la reclamante, consta asociada a B.B.B. SEPTIMO. XFERA el 10/05/2018 ha aportado captura de pantalla de sus sistemas informáticos relacionada con la tramitación de incidencia por suplantación de identidad, número ***INCIDENCIA.4 y fecha de creación de 11/11/2018, estado sin resolver. En la parte inferior figura el siguiente comentario: ”por favor verificad, adjunto la llamada donde el operador llama al cliente para hacer migración de tecnología pero a pesar de que el cliente da otros datos diferentes, el operador, en lugar de verificar/contrastar, hace cambio de mysim de dirección, nombre directamente”. OCTAVO. XFERA no ha aportado documento alguno que acredite o justifique la modificación de las condiciones señaladas anteriormente en el contrato llevado a cabo con la reclamante. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Con carácter previo procede resolver la alegación presentada por la representación del reclamado, en base a la existencia de una prejudicialidad penal. Se manifiesta que al haber tenido conocimiento que ciertos hechos que podrían ser constitutivos de un supuesto de delito de estafa tipificado en el artículo 248 y siguientes del Código Penal, se ha presentado una denuncia ante la policía nacional, lo que conllevaría la declaración de la suspensión del presente procedimiento ante la concurrencia de una posible infracción penal por falsedad documental, suplantación de la personalidad y estafa. En particular, y en virtud de la denuncia presentada por la reclamante, Avon ha tenido conocimiento de que se podría haber falseado su proceso de contratación empleando un tercero de forma fraudulenta la identidad de la denunciante. Debe tenerse en cuenta que el art. 77.4 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP): “En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien”. Sin embargo, aunque existieran diligencias previas penales en tramitación, que no constan, hay que indicar, que no existe la triple identidad necesaria para aplicar el artículo 77 de la LPACAP, (de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 sujeto, hecho y fundamento), entre la infracción administrativa que se valora y la posible infracción o infracciones penales que se pudieran derivar de las presuntas Diligencias Previas practicadas por un órgano jurisdiccional. Esto, porque el sujeto infractor es obvio que no sería el mismo –respecto a las infracciones de la LOPD el responsable es la XFERA, en tanto que el responsable penal de un eventual delito de usurpación de personalidad o estafa sería el tercero que se hubiera hecho pasar por el reclamante. Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico protegido por la LOPDGDD es el derecho fundamental a la protección de datos personales, el bien jurídico que se protege en los tipos penales cuya comisión investigaría, llegado el caso, el Juzgado de Instrucción serían el estado civil, el patrimonio, etc. En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de 27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la entrada en vigor de la LPACAP): “En este sentido el Art. 7 del Real Decreto 1398/1993, de 4 de agosto, del procedimiento para el ejercicio de la potestad sancionadora, únicamente prevé la suspensión del procedimiento administrativo cuando se verifique la existencia efectiva y real de un procedimiento penal, si se estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la infracción administrativa y la infracción penal que pudiera corresponder. No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta condicione directamente la decisión que haya de tomarse o que sea imprescindible para resolver, presupuestos que no concurren en el caso examinado, en el que existe una separación entre los hechos por los que se sanciona en la resolución ahora recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos, también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía (contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la facultad de disposición de sus datos personales por parte de su titular, por lo que tal objeción de la demandada ha de ser rechazada”. En consideración a lo expuesto no puede prosperar la cuestión planteada por la representación de XFERA y debe ser rechazada. III El RGPD se ocupa en su artículo 5 de los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de licitud, lealtad y transparencia, señalando: “1. Los datos personales serán:
  4. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); Por otra parte, el artículo 6, Licitud del tratamiento, del RGPD establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  5. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” El artículo 7 del RGPD, Condiciones para el consentimiento, señala que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. Y el artículo 4 del RGPD, Definiciones, en su apartado 11, señala que: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. También el artículo 6, Tratamiento basado en el consentimiento del afectado, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. Se atribuye a la reclamada la vulneración del artículo 6 del RGPD; de conformidad con los hechos declarados probados consta acreditado que la reclamada llevo a cabo la modificación de los datos contenidos en el contrato de telefonía suscrito con la reclamante, vinculándolos a los datos personales de un tercero que nada tenía que ver con la misma sin su consentimiento. IV De conformidad con lo expresado con anterioridad, el tratamiento de datos requiere la existencia de una base legal que lo legitime, como el consentimiento del interesado prestado válidamente. De la documentación obrante en el expediente se evidencia que XFERA vulneró el artículo 6.1.
  7. a)del RGPD, puesto que la citada entidad realizo un tratamiento ilícito de los datos personales del reclamante materializado en la alteración de las condiciones y datos personales de la reclamante contenidos en el contrato que les unía, asociando su NIF y sus datos bancarios al nombre, apellidos y domicilio correspondiente a un tercero; que tanto la línea de telefonía móvil como el ADSL contratadas dejaron de funcionar a partir de las citadas modificaciones y que ante la reclamación interpuesta por la reclamante ante XFERA fue calificada como fraude para su estudio. La Sala de lo Contencioso Administrativo de la Audiencia Nacional, en supuestos similares ha considerado que cuando el titular de los datos niega el consentimiento en el tratamiento de sus datos corresponde la carga de la prueba a quien afirma su existencia debiendo el responsable del tratamiento recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Así, la SAN de 31/05/2006 (Rec. 539/2004), Fundamento de Derecho Cuarto. La reclamante ha aportado copia del contrato suscrito con la compañía de fecha 08/09/2016 donde no figura cambio de titular ni datos de titular anterior, asi como las facturas anterior y posterior a la citada modificación, en la primera figuran sus datos de dirección y de domiciliación bancaria vinculados a sus datos de carácter personal mientras que en la segunda sus datos personales han sido modificados figurando los de un tercero ajeno a aquella y como forma de pago consta domiciliación bancaria vinculándose el tercero como titular de la misma cuenta de la que es titular la reclamante. Hay que señalar que el respeto al principio de licitud de los datos exige que conste acreditado que el titular de los datos consintió en el tratamiento de los datos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 carácter personal y desplegar una razonable diligencia imprescindible para acreditar ese extremo. De no actuar así el resultado sería vaciar de contenido el principio de licitud. En este sentido, XFERA en escrito de 10/05/2018 ha aportado captura de pantalla relacionada con la tramitación de incidencia por suplantación de identidad, número de incidencia ***INCIDENCIA.4 y fecha de creación de 11/11/2018, sin resolver. En la parte inferior figura el siguiente comentario:” por favor verificad, adjunto la llamada donde el operador llama al cliente para hacer migración de tecnología pero a pesar de que el cliente da otros datos diferentes, el operador, en lugar de verificar/contrastar, hace cambio de mysim de dirección, nombre directamente”. Además, ha de destacarse que pese al requerimiento informativo de la Agencia, la reclamada no trasladó respuesta a las cuestiones planteadas como la vía por la que se produjo la supuesta suplantación y el procedimiento empleado para acreditar la personalidad, limitándose a señalar que las causas que provocó la incidencia no podían ser expuestas al desconocer lo ocurrido. V La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
  8. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala a efectos de prescripción que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  9. b)El tratamiento de datos personales personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” De conformidad con los hechos considerados probados, el reclamado vulneró el artículo 6.1.
  10. a)del RGPD, al tratar de manera ilícita los datos personales de la reclamante sin que constara su consentimiento, modificando las condiciones y los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 datos personales contenidos en el contrato que les unía, asociando su NIF y datos bancarios al nombre, apellidos y domicilio correspondiente a un tercero, infracción que viene tipificada en el artículo 83.5.
  11. a)del RGPD y que a efectos de prescripción viene determinada en el artículo 72.1.
  12. b)de la LOPDGDD. VI A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  13. a)a
  14. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  15. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  16. b)la intencionalidad o negligencia en la infracción;
  17. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  18. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  19. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  20. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  21. g)las categorías de los datos de carácter personal afectados por la infracción;
  22. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  23. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  24. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  25. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
  26. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 “2. De acuerdo a lo previsto en el artículo 83.2.
  27. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  28. a)El carácter continuado de la infracción.
  29. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  30. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  32. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  33. f)La afectación a los derechos de los menores.
  34. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  35. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5 del RGPD de la que se responsabiliza a XFERA, en una valoración inicial, se estiman concurrentes los siguientes factores: El alcance meramente local del tratamiento llevado a cabo por la entidad reclamada, pues se trata de un único tratamiento llevado a cabo sin consentimiento en el contrato de suministro que les unía. Solo se ha visto afectada una persona por la conducta infractora. El daño y perjuicio causado a la reclamante al tener que interponer reclamación ante la entidad y denuncia ante la policía y, además, según sus propias manifestaciones la duración de la infracción ya que a fecha de la presentación de la reclamación en la Agencia seguía sin teléfono fijo ni conexión a Internet. La forma en que la autoridad de control tuvo conocimiento de la infracción, en la medida en que esta ha sido a través de la reclamación de la afectada. La entidad reclamada no ha concretado las medidas implementadas a fin de evitar que se produzcan incidencias similares a fin de evitar incidencias como la sucedidas alterando los datos contractuales de su titular sin consentimiento, etc. No se tiene constancia de que la entidad hubiera obrado dolosamente, aunque se observa una actuación bastante poco diligente. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal pues en su actividad habitual trata datos de clientes como de terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 La entidad reclamada tiene la consideración de una gran empresa. Por tanto, de conformidad con los criterios de graduación establecidos en el artículo 83 del RGPD y 76 de la LOPDGDD se impone una sanción de 60.000 euros de la que XFERA debe responder. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a XFERA MÓVILES, S.A. (MASMOVIL), con NIF A82528548, por una infracción del artículo 6.1.
  36. a)del RGPD, tipificada en el artículo 83.5.
  37. a)del RGPD, una multa de 60.000 € (sesenta mil euros). SEGUNDO: NOTIFICAR (MASMOVIL). la presente resolución a XFERA MÓVILES, S.A. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  39. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.