← España

PS-00235-2020

1/8  Procedimiento Nº: PS/00235/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 6 de marzo de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Telefónica Móviles España, S.A.U. con NIF A78923125 (en adelante, la reclamada). La reclamante manifiesta que era titular de cinco líneas contratadas con la reclamada (aporta números), utilizando una de ellas su hijo (***TELÉFONO.1). Así las cosas, el 14 de enero de 2020, su hijo recibe en su teléfono un mensaje indicando que dicha línea había dejado de compartir datos móviles con el resto de las líneas. Contacta con la reclamada y le manifiestan que aquélla estaba desactivada y que ya no era de su titularidad. Pues bien, se persona en una tienda de la reclamada y le informan de que terceras personas, haciéndose pasar por la reclamante, habían realizado un cambio de titularidad de la línea a favor de un tercero, sin que se hubiese realizado ningún tipo de comprobación de identidad al respecto. Ese mismo día (14/01/2020), el nuevo titular solicita en una tienda un duplicado de la tarjeta SIM por robo o pérdida, abriendo un número de incidencia la reclamada La reclamante, aporta con su escrito de reclamación los siguientes documentos: 1. Nombre y apellidos del tercero, dirección. tienda, fecha y hora, y número de incidencia. 2. Facturas acreditativas de la titularidad anterior. 3. Captura móvil donde consta la salida de su hijo de varios grupos de fecha 14 de enero de 2020. 4. Captura mensaje WhatsApp de un contacto relatando la petición de dinero. 5. Denuncia ante la Policía del 14 de enero de 2020 interpuesta por la reclamante y por su hijo. SEGUNDO: De conformidad con el artículo 65.4 de la LOPGDD, que ha previsto un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistentes en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubiere designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. Como resultado de este trámite, con fecha 8 de julio de 2020, la reclamada manifiesta: Que han remitido carta de respuesta a la reclamación de la reclamante. Adjuntan copia del escrito. TERCERO: El resultado del trámite de traslado iniciado en el hecho anterior no permitió entender satisfechas las pretensiones de la reclamante. En consecuencia, dado que la reclamada contestó solo que “se han adoptado medidas adicionales de seguridad”. Es por lo que con fecha 24 de julio de 2020, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. CUARTO: Con fecha 25 de septiembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el mencionado acuerdo de inicio, la reclamada solicitó ampliación de plazo para formular alegaciones. Con fecha 5 de octubre de 2020, se notificó la concesión de ampliación del mencionado plazo por 5 días. Posteriormente, la reclamada presentó alegaciones en las cuales, en síntesis, manifestaba que: “TME cuenta con un procedimiento consolidado y adecuado de verificación de la identidad de nuestros clientes. En este procedimiento de verificación de identidad se solicitan, además de los datos identificativos del antiguo y del nuevo titular, los últimos 4 dígitos de la cuenta bancaria del antiguo titular. Por tanto, interesa hacer hincapié en que el motivo de la situación expuesta por la reclamante se debe a la obtención y uso ilícito de los datos personales de la reclamante por parte del suplantador y al posterior engaño al agente comercial de ***TELÉFONO.2 que tramitó la solicitud de cambio de titular, y no a un tratamiento ilegitimo de los datos de la reclamante por parte de mi representada. Una vez interpuesta la reclamación ante TME, dos días después de haberse producido el cambio de titular y posterior duplicado de tarjeta, se le ofrece a la reclamante la posibilidad de restablecer la titularidad de la línea. No obstante, la reclamante manifiesta el deseo de que no se lleven a cabo más gestiones, en la medida en la que prefiere ser asesorada por sus abogados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 En consecuencia, mi representada considera que no ha existido infracción del artículo 6.1 del RGPD para realizar el tratamiento de los datos de la reclamante por su parte, sino por parte de un suplantador, ya que el tratamiento de esos datos por parte de TME resulta necesario para gestionar la relación contractual con la reclamante, y a los efectos de realizar dicho tratamiento, TME tiene establecida una operativa que reviste las garantías suficiente para asegura el cumplimiento de la normativa vigente en materia de protección de datos”. Solicita se tengan en cuenta las circunstancias que han concurrido en los hechos objeto del procedimiento y, para el caso que se aprecie la infracción, se reduzca la cuantía de la sanción propuesta en el Acuerdo de Inicio y que se dicte Resolución ordenando el archivo del presente expediente sancionador o subsidiariamente, se minore la sanción inicialmente propuesta en virtud del art. 83 del RGPD. SEXTO: Con fecha 26 de octubre de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas todas las actuaciones previas, así como los documentos aportados por la reclamada. SÉPTIMO: Con fecha 3 de diciembre de 2020 se formuló la propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a la reclamada, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 75.000 euros. OCTAVO: Notificada la propuesta de resolución, el 9 de diciembre de 2020, solicitó ampliación de plazo para formular alegaciones, siendo concedido. La parte reclamada presentó escrito de alegaciones ratificándose en las realizadas al Acuerdo de Inicio, solicitando se proponga declaración de inexistencia de responsabilidad por parte de la reclamada por presunta infracción que se le imputa en el presente procedimiento, y se dicte en su día Resolución ordenando el archivo del presente expediente sancionador al margen referenciado, y subsidiariamente, minore la sanción inicialmente propuesta del art. 83 del RGPD. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS PRIMERO: La reclamante fue titular de cinco líneas contratadas con la reclamada (aporta números), utilizando una de ellas su hijo (***TELÉFONO.1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 SEGUNDO: Consta que el 14 de enero de 2020, el hijo de la reclamante, recibe un mensaje participándole que dicha línea había dejado de compartir datos móviles con el resto de las líneas. Contacta con la reclamada y le comunican que la línea estaba desactivada y que ya no era de su titularidad. TERCERO: Se constata que la reclamante se personó en una tienda de la reclamada y le informan que terceras personas, haciéndose pasar por la reclamante, habían realizado un cambio de titularidad de la línea a favor de un tercero, sin que se hubiese realizado ningún tipo de comprobación de identidad al respecto. Consta que el 14 de enero de 2020, el nuevo titular solicita en una tienda de la reclamada un duplicado de la tarjeta SIM por robo o pérdida, abriendo un número de incidencia la reclamada (aporta nombre y apellidos del tercero, dirección, tienda, fecha y hora, y número de incidencia). CUARTO: La reclamada, reconoce los hechos, en sus alegaciones, y manifiesta que se debe a la obtención y uso ilícito de los datos personales de la reclamante por parte del suplantador y al posterior engaño del suplantador al agente comercial de ***TELÉFONO.2 que tramitó la solicitud de cambio de titular. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control y según lo establecido en los arts. 47 y 48.1 de LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa a la parte reclamada la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:

  1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  2. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  3. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
  4. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” III La documentación que obra en el expediente ofrece evidencias de que la reclamada vulneró el artículo 6.1 del RGPD. En tal sentido, consta acreditado que la reclamada trató los datos personales de la reclamante sin legitimación para ello. Está claro, que la reclamada ha llevado a cabo el cambio de la titularidad de la línea de la reclamante, sin legitimación para ello, tal como reconoce la reclamada en sus alegaciones, manifestando: “que se debe a la obtención y uso ilícito de los datos personales de la reclamante por parte del suplantador y al posterior engaño del suplantador al agente comercial de 1004 que tramitó la solicitud de cambio de titular”. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada. El respeto al principio de licitud que está en la esencia del derecho fundamental de protección de datos de carácter personal exige que conste acreditado que la responsable del tratamiento desplegó la diligencia imprescindible para acreditar ese extremo. De no actuar así -y de no exigirlo así esta Agencia, a quien le incumbe velar por el cumplimiento de la normativa reguladora del derecho de protección de datos de carácter personal- el resultado sería vaciar de contenido el principio de licitud. La falta de diligencia desplegada por la entidad en el cumplimiento de las obligaciones impuestas por la normativa de protección de datos de carácter personal es, pues, evidente. Un cumplimiento diligente del principio de licitud en el tratamiento de datos de terceros requiere que la responsable del tratamiento esté en condiciones de probarlo (principio de responsabilidad proactiva). Así pues, habiendo quedado acreditado que la reclamada trató los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 personales de la reclamante, quien niega su consentimiento al tratamiento, y en tanto la primera no ha aportado prueba alguna para desvirtuar tales evidencias, se estima que los hechos que se someten a la valoración de esta Agencia podrían ser constitutivos de una infracción del artículo 6.1 del RGPD, infracción tipificada en el artículo 83.5 del citado Reglamento 2016/679. IV A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  5. a)a
  6. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  7. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  8. b)la intencionalidad o negligencia en la infracción;
  9. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  10. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  11. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  12. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  13. g)las categorías de los datos de carácter personal afectados por la infracción;
  14. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  15. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  16. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  17. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  18. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  19. k)del Reglamento (UE) 2016/679 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 también podrán tenerse en cuenta:
  20. a)El carácter continuado de la infracción.
  21. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  22. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  24. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  25. f)La afectación a los derechos de los menores.
  26. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  27. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer a la entidad reclamada como responsable de una infracción tipificada en el artículo 83.5.
  28. a)del RGPD, se estiman concurrentes en el presente caso, en calidad de agravantes, los siguientes factores: - La duración del tratamiento ilegítimo de los datos del afectado efectuado por la reclamada (artículo 83.2.
  29. a)del RGPD). - La intencionalidad o negligencia de la infracción (art.83.2.
  30. b)del RGPD). - Se encuentran afectados identificadores personales básicos (datos personales y bancarios (art.83.2.
  31. g)del RGPD). - La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD) Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a TELEFÓNICA MÓVILES ESPAÑA, S.A.U., con NIF A78923125, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 75.000 euros (setenta y cinco mil euros). SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA MÓVILES ESPAÑA, S.A.U. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  32. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  33. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.