PS-00240-2024

1/24  Expediente N.º: EXP202300438 Procedimiento Sancionador N.º PS/00240/2024 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 2 de diciembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra FRUTAS CALISA, S.L. con NIF B37460607. Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, sin mediar consentimiento previo, fue contactada a través de la aplicación de telefonía móvil WhatsApp por un trabajador de la parte reclamada, entendiendo que dicho trabajador obtuvo sus datos de los aportados por la parte reclamante para la gestión de la tarjeta SALAMANCA TARJETA ACTIVA, que es utilizada por sus usuarios para obtener el descuento en compras realizadas en comercios locales. Junto a la reclamación aporta la siguiente documentación: - Captura de pantalla de los mensajes de WhatsApp recibidos el 25 y 27 de noviembre de 2022. Mensaje recibido del número de teléfono ***TELEFONO.1 que contiene foto de perfil del titular. El contenido del mensaje, según la reclamante, recibido el viernes, 25 noviembre de 2022 a las 20:32 es: “Una chica wapa vegana y simpática quien sera jaajajaj” 20:32 “Te dejo adivinar quien soy” 20:33 “Sicker de whatsapp levantando los brazos” 20:59 Mensaje del domingo 27 de noviembre de 2022: “A.A.A.??(“ 13:46 La aplicación WhatsApp muestra el mensaje: “El remitente no está en tus contactos.” Con las opciones: “Bloquear”, “Reportar” y “Añadir a Contactos”. - C/ Jorge Juan, 6 28001 – Madrid Denuncia planteada ante la Policía Nacional del 30 de noviembre de 2022 por los mensajes de WhatsApp recibidos el 25 de noviembre de 2022 y siguientes, del teléfono ***TELEFONO.1, que por la foto del perfil ha identificado como un trabajador de la frutería Frutas Calisa (...), cuyo nombre posiblemente sea B.B.B. y que ha localizado su teléfono a través de la tarjeta ACTIVA SALAMANCA. www.aepd.es sedeagpd.gob.es 2/24 - Captura de pantalla de compras realizadas y descuentos aplicados con la tarjeta SALAMANCA TARJETA ACTIVA las fechas: 5, 18 y 22 de noviembre de 2022, en el establecimiento de la parte reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha de 18 de enero de 2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha de 29 de enero de 2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente el 20 de febrero de 2023. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. No habiéndose recibido respuesta por parte de la reclamada, con fecha de 23 de febrero de 2023, se reitera la notificación del traslado de la reclamación por vía electrónica a la parte reclamada, que no recogió la notificación referida, entendiéndose rechazada con fecha de 6 de marzo de 2023. TERCERO: Con fecha de 2 de marzo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha de 7 de marzo de 2023, la parte reclamada presenta escrito contestando al traslado, en el que manifiesta lo siguiente: "PRIMERO: Los hechos alegados por la denunciante no son tal y como esta persona dice que son. SEGUNDO: Con fecha del mes de noviembre la reclamante, clienta habitual de la frutería desde hace bastante tiempo, hace un encargo de unas verduras e hierbas que habitualmente no se venden porque son productos veganos perecederos y como cada semana nos indica lo que quiere, se le trae y esta a su vez al día siguiente o un par de días se le llama por teléfono (TELEFONO QUE ELLA ME DA PERSONALMENTE) pasa por la frutería, retira su pedido y lo paga. TERCERA: Quiero hacer hincapié que además de ser clienta, todos los años hacemos un sorteo de una cesta en NAVIDAD y, para lo cual cada cliente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/24 INDICA SU NOMBRE Y NUMERO DE TELEFONO, para que sepamos y llamemos al cliente que le haya tocado la cesta y este año también ha participado y claramente, dejó su nombre y teléfono. CUARTA: Cual fue mi sorpresa que a finales de noviembre A.A.A. hizo su pedido y como no pasaba a recoger los productos que encargo, se le llamó por teléfono, como siempre y al no atender a las llamadas, se mandó un wassap (sic) para recordarle que el pedido estaba preparado y no volvimos a tener noticias suyas. no recibimos ninguna contestación. Cuál fue mi asombro de que esta clienta a través de la AEPD dice que hemos sacado sus datos de una tarjeta llamada ACTIVA, y nos pone una reclamación por Protección de datos, lo cual es totalmente FALSO, pues es la reclamante la que me da su teléfono personalmente muchos meses atrás, mintiendo en su declaración y alegación. QUINTA: Nunca hubo intención de dañar ni vulnerar los datos del cliente, considerando que el cliente también era interesado en recoger la mercancía en tiempo y forma como siempre había hecho, ni hubo mala fe puesto que el teléfono es un dato fácil de conseguir y no es considerado un dato de alto riesgo. SEXTA: FRUTAS CALISA S.L como tal cumple con la Ley en todos los sentidos y por eso aportamos las facturas de la Implantación de LOPD, que hicimos en su día por consejo de nuestra Asesor (***EMPRESA.1) a través de la empresa ***EMPRESA.2 ,la cual trabaja con la empresa ***EMPRESA.3 con fecha del 07/06/2019, y volviendo a actualizarla en el año 2021( 07/04/21) por las actualizaciones de la AEPD y siguiendo el criterio de nuestra ASESORIA ,y cumplir con la Ley. Aportamos los informes técnicos y todo lo relacionado con la implantación, y las medidas, además de que la empresa ha tomado la decisión de formar a sus trabajadores en esta materia, para que conozcan de primera mano lo que es, y no es un dato personal, y su posible vulnerabilidad. Aportamos diploma acreditativo de la formación realizada por un trabajador, curso de 60 horas que avala sus conocimientos en materia de Protección de Datos. " Junto a su escrito, aporta el certificado de participación en el curso de protección de datos realizado por B.B.B. y las facturas de pago del mismo, así como copia del Registro de Actividades del Tratamiento de FRUTAS CALISA, S.L. QUINTO: En fecha 14 de marzo de 2023, una vez analizadas las razones expuestas por la parte reclamada que obran en el expediente, se dicta resolución por la Directora de la Agencia Española de Protección de Datos, acordando el archivo de la reclamación. La resolución fue notificada a la parte recurrente, en fecha 14 de marzo de 2023, según consta acreditado en el expediente. SEXTO: En fecha 13 de abril de 2023 la reclamante interpone un recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución de archivo recaída en el expediente, en el que muestra su disconformidad con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/24 resolución impugnada, alegando que es falso que aportase su número de teléfono por la vía manifestada por la parte reclamada, al no haber participado nunca en un sorteo con esta entidad ni haber realizado ningún pedido, destacando además que la parte reclamada nunca prueba estos hechos como responsable del tratamiento. Asimismo, destaca que, aunque esto fuera cierto, el mensaje recibido era claramente de índole personal y no profesional, ya que no hace ninguna referencia a ningún pedido ni el remitente, B.B.B., se identifica como trabajador de la empresa. En fecha 30 de agosto de 2023 se dio audiencia del recurso de reposición a la parte reclamada, en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes. Remitida la notificación por vía electrónica, el plazo para recogerla expiró el 19 de septiembre de 2023, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha de 29 de enero de 2023, como consta en el certificado que obra en el expediente. SÉPTIMO: El 24 de octubre de 2023 la Directora de la Agencia Española de Protección de Datos resuelve estimar el recurso interpuesto por la reclamante, ordenando la continuación del procedimiento ante la falta de evidencias presentadas por la parte reclamada de las manifestaciones realizadas en su escrito de 7 de marzo de 2023, no habiéndose aportado prueba alguna de la existencia de consentimiento ni de contrato vigente que justificase la obtención del número de teléfono de la reclamante, no siendo el contenido de los mensajes remitidos a la misma de contenido profesional, sino personal, sin que en ellos se mencione la existencia de un pedido de productos veganos a la que se refiere la reclamada. OCTAVO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: De acuerdo con el Informe de Actuaciones previas emitido por el inspector del procedimiento con fecha de 22 de mayo de 2024, se realizaron las siguientes averiguaciones al objeto de determinar la autoría del remisor de los mensajes puestos en cuestión en el presente procedimiento y el origen del tratamiento de los datos personales de la reclamante por la reclamada: - C/ Jorge Juan, 6 28001 – Madrid Con fecha de 10 de noviembre de 2023 se expide diligencia por la inspectora para hacer constar que se ha consultado en la web https://numeracionyoperadores.cnmc.es/portabilidad/movil/operador, en la que VODAFONE ESPAÑA aparece como el operador del número ***TELEFONO.2, desde el que se remitieron los mensajes de WhatsApp objeto de la reclamación. www.aepd.es sedeagpd.gob.es 5/24 - A la vista del resultado de tal diligencia, se realiza con dicha fecha requerimiento de información a la entidad VODAFONE ESPAÑA; al objeto de solicitar la: “Titularidad de la línea de abonado de número ***TELEFONO.1, concretamente en el día 25 de noviembre de 2022, especificando nombre/razón social, NIF/CIF así como domicilio. En caso de haber sido dada de baja o cambiada la titularidad con posterioridad a la fecha especificada, se pide información sobre la fecha en que se produjo la baja. En caso de haber sido portada dicha línea, se pide información sobre la fecha en que fue portada así como la identificación de la operadora beneficiaria”. - Con fecha de 1 de diciembre de 2023, VODAFONE ESPAÑA contesta a tal requerimiento, indicando que: “Tras la recepción del presente requerimiento de información, mi representada ha procedido a realizar las comprobaciones pertinentes, no identificando la numeración ***TELEFONO.1 como propia. Por este motivo, mi representada ha consultado la información disponible en el Registro de Numeraciones y Operadores de Telecomunicaciones de la Comisión Nacional de los Mercados y la Competencia (CNMC), encontrando que la numeración indicada previamente pertenece al operador ORANGE ESPAGNE, S.A. UNIPERSONAL (en adelante, ORANGE). A este respecto, se adjunta captura de pantalla del resultado de dicha búsqueda”. - Con fecha de 1 de diciembre de 2023, la inspectora remite un segundo requerimiento de información a VODAFONE ESPAÑA, al objeto de que aclare si a fecha de la remisión de los mensajes (25 de noviembre de 2022) el titular de la línea era VODAFONE ESPAÑA u ORANGE, y con fecha de 14 de diciembre de 2023, VODAFONE ESPAÑA responde, aclarando lo siguiente: “Tras la recepción del presente requerimiento de información, mi representada ha procedido a realizar las comprobaciones pertinentes, verificando que la numeración ***TELEFONO.2, en fecha 25 de noviembre de 2022, no constaba como propia. Asimismo, que la línea referida perteneció en el pasado a Vodafone, en concreto hasta el 11 de diciembre de 2020”. - Aclarado este particular, con fecha de 14 de diciembre de 2023, se requiere a ORANGE que aporte información sobre el titular de la línea citada, a fecha de 25 de noviembre de 2022. - De la respuesta de Orange Espagne, S.A.U. de 20 de diciembre de 2023 Nº registro REGAGE23e00086372963, se evidencia que: “La línea ***TELEFONO.1 está activa en Jazztel desde el 16 de febrero de 2021 hasta la actualidad a nombre de B.B.B. con NIF ***NIF.1, cuyo domicilio fiscal está sito en ***DIRECCION.1”. - A la vista de que el domicilio fiscal del titular de la línea coincide con el de la entidad reclamada FRUTERÍAS CALISA, según el Informe mercantil obtenido de la herramienta Axesor con fecha de 13 de noviembre de 2023, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/24 con fecha de 6 de diciembre de 2023 se realiza un requerimiento a FRUTAS CALISA, que por no contestarse en plazo, es reiterado el 26 de septiembre de 2023 por la inspectora, en el cual: “Se solicita que en el plazo de diez días hábiles presente la siguiente información relativa a A.A.A., como consecuencia de que sin mediar consentimiento previo, fue contactado a través de la aplicación de telefonía móvil WhatsApp por un trabajador de la parte reclamada. 1. Confirmación de la relación laboral existente ente B.B.B.y Frutas Calisa S.L. el 25 de noviembre de 2022. 2. Horario comercial del establecimiento. 3. Razón de los mensajes de WhatsApp enviados a la reclamante el viernes, 25 noviembre de 2022 desde número de teléfono ***TELEFONO.1: “Una chica wapa vegana y simpatica quien sera jaajajaj” 20:32 “Te dejo adivinar quien soy” 20:33 “Sicker de whatsapp levantando los brazos” 20:59. Y el domingo 27 de noviembre de 2022: “A.A.A.??(“ 13:46 4. Origen del que han obtenido los datos personales de la reclamante. 5. Base de legitimación para el tratamiento de los datos personales de la reclamante. 6. Si la base del tratamiento es el consentimiento del interesado, evidencia de este. 7. Cualquier otra que considere relevante.” - El 15 de abril de 2024, la FRUTERÍAS CALISA, responde al requerimiento de esta Agencia C.C.C. ((...) del presunto titular de la línea desde la que se remitió el mensaje, que es empleado de la frutería), manifestando, en síntesis, lo siguiente: 1. Reitera los mismos argumentos manifestados en su escrito de 7 de marzo de 2023 contestando al traslado de esta Agencia. En los que niega que los hechos hayan ocurrido tal y como se relatan por la reclamante, manifestando que fue ésta la que le proporcionó voluntariamente el número de teléfono a C.C.C. muchos meses atrás para que el establecimiento la pudiera informar de cuando podía pasar a recoger sus pedidos veganos, que por ser perecederos precisaban solicitarse expresamente, y que es clienta habitual por lo que ya había dejado su nombre y número de teléfono para poder participaren el sorteo de la cesta de navidad de cada año. Reitera, así mismo, que B.B.B. recibió formación en materia de protección de datos personales, acreditándolo con su certificado de participación. 2. Añade que los mensajes remitidos el día 25 y 27 de noviembre de 2022 respondieron a los siguientes motivos: “Mi sorpresa es que a finales de noviembre A.A.A. hizo su pedido y como no pasaba a recoger los productos que encargo, se le llamo por teléfono, como siempre y al no atender a las llamadas, (...) B.B.B. el viernes 25 de Noviembre, le mando un wassap (sic) como habitualmente hacíamos para recordarle que el pedido estaba preparado y viendo que el producto encargado es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24 perecedero , el sábado no paso a recogerlo y el Domingo 27 de noviembre no había contestado y se le insiste para recoger el pedido el lunes 28, y no volvimos a tener noticias suyas”. 3. Contestando al requerimiento de información, señala literalmente lo siguiente: ”1-Confirmamos la relación laboral de B.B.B., adjuntando nómina. 2-Horario comercial de la frutería de lunes a viernes de 9 a 14 y de 17 a 20 horas. Sábados de 9 a 14 horas 3-La razón de los mensajes. debido al respeto con el cual se trata a todos los clientes de la frutería con exquisito trato familiar, se le comunica mediante wasap (sic), como otras y tantas veces que su pedido especial y que no tenemos habitualmente en la frutería, lo tiene a su disposición en nuestro local. 4-El origen del dato de su teléfono y aplicación de wasap (sic) es que la clienta nos lo proporciona ella personalmente, para llamarle y comunicarle cuando tiene la mercancía que ella nos encarga, ya que habitualmente ese tipo de productos no los traemos porque su consumo es prácticamente nulo por parte de los clientes habituales. 5-La base legitima del número de teléfono de esta clienta, es una situación concreta en la cual ella nos facilita su teléfono y nos da su consentimiento como dice la ley para llamarla por lo tanto es un dato personal que ella quiere aportar y asi hace. Por lo tanto, hay una relación de interés legítimo con un fin de mercadotecnia directa. 6-Por lo tanto, hay un consentimiento verbal por parte de la interesada para su interés.” Junto con su escrito, se adjunta la siguiente documentación: 1. Registro de actividades como responsable del tratamiento, en el que se incluye el tratamiento “CLIENTES Y PROVEEDORES” con el siguiente contenido: Descripción Gestión comercial con clientes y proveedores. Incluye datos de contacto de personas físicas que presten servicios a una persona jurídica, inclusive los profesionales individuales Finalidades Gestión de clientes, contable, fiscal y administrativa Legitimación Tratamiento lícito SIN NECESIDAD DE CONSENTIMIENTO por un INTERÉS LEGÍTIMO del Responsable del tratamiento o Tercero Categorías de interesados Clientes y usuarios, Proveedores Criterios de conservación Conservados INDEFINIDAMENTE mientras sea necesario para mantener el fin del tratamiento Sistema de tratamiento Parcialmente Automatizado (Mixto) Categorías de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24 Datos identificativos DNI o NIF, Nombre y apellidos, Dirección postal o electrónica, Teléfono, Firma manual Datos sensibles No existen Otro tipo de datos Características personales, Circunstancias sociales, Información comercial, Económicos, financieros y de seguro, Transacciones de bienes y servicios Categorías de destinatarios Cesiones Organizaciones o personas directamente relacionadas con el responsable Transferencias internacionale s No existen 2. Certificado de participación en la acción formativa: “Protección de datos personales y derechos digitales (Normativa PSD2 y LO 3/2018)” del 01/04/2020 al 29/04/2020 de B.B.B. que presta sus servicios en la Empresa FRUTAS CALISA S.L. expedido por ***EMPRESA.4. - Con fecha de 20 de mayo de 2024 se expide nueva diligencia por la inspectora para hacer constar el resultado de su consulta acerca de las condiciones de la Tarjeta Activa de Salamanca a la que se refiere la reclamante como fuente de obtención de su número de teléfono por parte de la entidad reclamada FRUTERIAS CALISA, que actuaba como entidad adherida a este sistema, al que se cedían sus datos personales. La diligencia hace constar que: “Consultada la web https://appactiva.aytosalamanca.es/index.php, se obtienen: 1. https://intranet.appactiva.aytosalamanca.es/uploads/CondicionsUs/Con dicions Us_Asso141_es_20200904_101125.pdf, se obtienen las “CONDICIONES GENERALES DE USO Y FUNCIONAMIENTO DE LA CUENTA MONEDER PARA TITULARES” Activa Salamanca, y 2. https://intranet.appactiva.aytosalamanca.es/uploads/CondicionsUs/Con dicions Us_CondEst_es_20200904_101125.pdf con las “CONDICIONES GENERALES DE USO Y FUNCIONAMIENTO DE LA CUENTA MONEDER PARA LOS ESTABLECIMIENTOS” que se incorporan como anexos a esta diligencia”. Con respecto a esta documentación, en su informe de actuaciones previas, la inspectora hace constar la siguiente evidencia: “En las “CONDICIONES GENERALES DE USO Y FUNCIONAMIENTO DE LA CUENTA MONEDER PARA TITULARES” de ACTIVA SALAMANCA Diligencia de 20/05/2024 que ha tenido que aceptar la reclamante para hacer uso de la tarjeta ACTIVA SALAMANCA, se incluye: La finalidad del tratamiento de los datos es cualquier actividad relacionada con los usos propios de la CUENTA ACTIVA y la relación contractual con sus titulares, incluyendo el análisis, la estadística y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24 formación de perfiles, así como la realización de acciones de publicidad, promoción y marketing de la PLATAFORMA ACTIVA, de sus comerciantes adheridos y PROMOCIÓN ECONÓMICA DE SALAMANCA. El objetivo y esencia de la CUENTA ACTIVA es que pueda ser utilizada en todos los comercios adheridos al sistema de fidelización y por eso el titular autoriza necesariamente y expresamente a la PLATAFORMA ACTIVA a que los datos contenidos en la solicitud y todas aquellas que se obtengan en el desarrollo normal de este sistema, sean cedidas tan sólo a los negocios adheridos donde se haga uso de la CUENTA ACTIVA o donde se haya dado de alta, con la misma finalidad de obtener moneda ACTIVA, su canje, así como, la comunicación directa a los titulares de la CUENTA ACTIVA de ofertas, promociones e información relacionada con los comercios y servicios adheridos. En el supuesto de que el titular de la CUENTA ACTIVA desee oponerse a la recepción de publicidad, ofertas, promociones e información de un comercio específico o de PROMOCIÓN ECONÓMICA DE SALAMANCA específica se podrá dar de baja desde la APP, o a través de las opciones de baja automatizadas que aparecerán en los bloques publicitarios que el titular de la CUENTA ACTIVA pueda recibir. En el supuesto de que los datos facilitados sean de un tercero, este tendrá que ser informado sobre estas condiciones de uso y funcionamiento, siendo el único responsable la persona que facilite y/o rellene el formulario de solicitud. El titular conservará la moneda ACTIVA que tuviera acumulada hasta el momento de darse de baja pudiendo canjear los puntos posteriormente a la misma.” NOVENO: Con fecha 3 de septiembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.

1. a)del RGPD. DÉCIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
2. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/24 establecido en el artículo 64.2.
3. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta que fecha de 25 y 27 de noviembre de 2022, la reclamante recibió los siguientes mensajes de WhastApp por parte del número de teléfono ***TELEFONO.1 que se aportan junto con la reclamación con el siguiente contenido: - Mensaje recibido el viernes, 25 noviembre de 2022 a las 20:32 es: “Una chica wapa vegana y simpática quien sera jaajajaj” 20:32 “Te dejo adivinar quien soy” 20:33 “Sicker de whatsapp levantando los brazos” 20:59 - Mensaje recibido el domingo 27 de noviembre de 2022: “A.A.A.??(“ 13:46) - En ambos casos, aparece una foto de perfil que de acuerdo con la reclamante coincide con la del reclamado, y la aplicación WhatsApp muestra el mensaje: “El remitente no está en tus contactos.” Con las opciones: “Bloquear”, “Reportar” y “Añadir a Contactos”. SEGUNDO: Consta acreditado que la reclamante proporcionó sus datos personales al establecimiento comercial FRUTAS CALISA, S.L para finalidades comerciales relacionada con la compra de productos en la misma. Se ha probado que la misma era titular de la cuenta moneder por la que podía utilizar la denominada “tarjeta salamanca activa” para realizar pagos y obtener descuentos en las tiendas asociadas a dicha cuenta, entre las que se encontraba la tienda en la que trabajaba el reclamado, FRUTAS CALISA, S.L, y que utilizó la tarjeta en la misma para hacer compras en la misma los días 5, 18, y 22 de noviembre, de acuerdo con lo que consta acreditado mediante la aportación de las capturas de pantalla de compras realizadas y descuentos aplicados con la tarjeta SALAMANCA TARJETA ACTIVA aportadas por la reclamante. De acuerdo con la Diligencia expedida por la inspectora con fecha de 20 de mayo de 2024 se expide nueva diligencia por la inspectora para hacer constar que ha obtenido de la web https://appactiva.aytosalamanca.es/index.php, las condiciones generales de aplicación a la Tarjeta Activa de Salamanca, en la que FRUTERIAS CALISA, actuaba como entidad adherida a este sistema, al que se cedían sus datos personales. En dichas condiciones generales, unidas a la Diligencia, se establece que los titulares de datos personales proporcionados a esta cuenta autorizan que los mismos puedan ser cedidos únicamente a los establecimientos adheridos para su uso con unas finalidades comerciales concretas. Se señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 “La finalidad del tratamiento de los datos es cualquier actividad relacionada con los usos propios de la CUENTA ACTIVA y la relación contractual con sus titulares, incluyendo el análisis, la estadística y la formación de perfiles, así como la realización de acciones de publicidad, promoción y marketing de la PLATAFORMA ACTIVA, de sus comerciantes adheridos y PROMOCIÓN ECONÓMICA DE SALAMANCA. El objetivo y esencia de la CUENTA ACTIVA es que pueda ser utilizada en todos los comercios adheridos al sistema de fidelización y por eso el titular autoriza necesariamente y expresamente a la PLATAFORMA ACTIVA a que los datos contenidos en la solicitud y todas aquellas que se obtengan en el desarrollo normal de este sistema, sean cedidas tan sólo a los negocios adheridos donde se haga uso de la CUENTA ACTIVA o donde se haya dado de alta, con la misma finalidad de obtener moneda ACTIVA, su canje, así como, la comunicación directa a los titulares de la CUENTA ACTIVA de ofertas, promociones e información relacionada con los comercios y servicios adheridos”. TERCERO: Consta acreditado que el empleado de FRUTAS CALISA, S.L, B.B.B., obtuvo los datos personales de la reclamante a los que tenía acceso como empleado (nombre, apellidos y número de teléfono) y le remitió los mensajes a los que se refiere el presente expediente con una finalidad no comercial, Dicho hecho queda acreditado por las siguientes evidencias: - De la respuesta de Orange Espagne, S.A.U. de 20 de diciembre de 2024, Nº registro REGAGE23e00086372963, se evidencia que: “La línea ***TELEFONO.1 está activa en Jazztel desde el 16 de febrero de 2021 hasta la actualidad a nombre de B.B.B. con NIF ***NIF.1, cuyo domicilio fiscal está sito en ***DIRECCION.1”. - La reclamante manifiesta que fue atendida por este empleado de la frutería, y que reconoce la fotografía del perfil de WhatsApp desde el que se remitieron los mensajes se correspondía con la de “B.B.B.”. - Se ha confirmado que B.B.B. es empleado de la frutería y (...) de su propietario, C.C.C., que así lo ha manifestado en sus dos respuestas a los requerimientos que fueron realizados al establecimiento en la fase de investigación, aportando el contrato laboral suscrito con este, por lo que disponía de acceso a los datos personales que constan en el sistema de la tarjeta salamanca activa. - El establecimiento FRUTAS CALISA, S.L reconoce que se remitieron mensajes de WhastApp a la reclamante en dicha fecha, si bien con la finalidad de advertir a la misma de que podía recoger su pedido de productos veganos. Dicho aviso, sin embargo, no consta en los mensajes aportados. CUARTO: Consta acreditado que B.B.B. participó y obtuvo un certificado de participación en la acción formativa: “Protección de datos personales y derechos digitales (Normativa PSD2 y LO 3/2018)” del 01/04/2020 al 29/04/2020 de que presta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/24 sus servicios en la Empresa FRUTAS CALISA S.L. expedido por ***EMPRESA.4, que ha sido aportado durante la fase de actuaciones previas de investigación. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El nombre, apellidos y número de teléfono de las personas físicas se consideran datos personales, cuyo tratamiento se somete al régimen previsto en el RGPD, así como a sus disposiciones de desarrollo, de acuerdo con lo previsto en el artículo 4. 1, y 4.2 del RGPD, que dispone lo siguiente: “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24 comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Si bien constituye un hecho controvertido la fuente por la que se accedió a dichos datos personales ( a través del sistema de SALAMANCA TARJETA ACTIVA, como dice la reclamante, o porque la propia reclamante proporcionó los datos directamente al establecimiento, como señala la parte reclamada), así como la finalidad y contenido de dichos mensajes (de contenido personal según la reclamante, y de contenido profesional según la reclamada), lo cierto es que no cabe lugar a dudas de que la remisión de estos dos mensajes a la reclamante implicó la ejecución de dos operaciones de tratamiento del número de teléfono de la reclamante (y por ende, de su nombre y apellidos), que encajan en la definición de tratamiento de datos personales contenida el artículo 4.2 del RGPD: recogida/extracción para poder obtener el número de teléfono, así como su utilización para remitir los mensajes. La ejecución de las operaciones de tratamiento de datos personales a las que se ha hecho referencia está sometida al cumplimiento de determinados requisitos previstos en la normativa de protección de datos, cuyo incumplimiento podría derivar en una infracción administrativa tipificada en el RGPD, cuya potestad sancionadora es competencia de esta Agencia, por lo que otra cuestión previa a determinar es quién sería considerado responsable del tratamiento, y por tanto, y por tanto, presunto sujeto de la responsabilidad administrativa derivada en caso de incumplimiento, de acuerdo con lo previsto en el artículo 70. 1
4. a)de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de derechos digitales (en adelante, LOPPDD): “Artículo 70. Sujetos responsables. 1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
5. a)Los responsables de los tratamientos.
6. b)Los encargados de los tratamientos.
7. c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
8. d)Las entidades de certificación.
9. e)Las entidades acreditadas de supervisión de los códigos de conducta. (…)”. En el presente supuesto, se considera que el responsable de la realización de las operaciones de tratamiento antes citadas fue el empleado de la frutería y (...) de B.B.B., contra el que debe dirigirse el presente procedimiento, puesto que fue el que fijo los fines y medios del tratamiento al acceder a los datos y remitir los mensajes a la reclamante. Todo ello, a tenor de lo previsto en el artículo 4.7 del RGPD, que dispone lo siguiente: 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24 Ello se desprende de las siguientes evidencias constatadas en las actuaciones de investigación del presente expediente: - El titular del número de teléfono desde el que se remitieron los mensajes es B.B.B., según consta en la respuesta de la Compañía telefónica que opera la línea, a la que se realizó un requerimiento dentro de la investigación. La línea de dicho número no se hallaba a nombre de la frutería, ni de su propietario, como hubiera sido de esperar en el caso de que los mensajes se hubieran remitido a nombre o por cuenta del establecimiento. - La reclamante manifiesta además que la fotografía del perfil de WhatsApp desde el que se remitieron los mensajes se correspondía con la de “B.B.B.”, lo que no hace más que confirmar la evidencia anterior, que de por sí sola es ya determinante. - Se ha confirmado que B.B.B. es empleado de la frutería y (...) de su propietario, C.C.C., que así lo ha manifestado en sus dos respuestas a los requerimientos que fueron realizados al establecimiento en la fase de investigación, aportando el contrato laboral suscrito con este. Por tanto, por su condición de empleado y (...) del propietario, podía tener acceso a los datos personales que ésta la reclamante había proporcionado a la frutería, sea a través del sistema de la tarjeta salamanca activa, o por habérselos proporcionado al propietario del establecimiento, C.C.C. para que contactase a la reclamante para recoger los pedidos, como éste manifiesta. - El contenido de los propios mensajes, de los que no se deduce ninguna finalidad profesional que forme parte de la actividad comercial de la frutería, pues ni aparece la palabra “pedido” ni se advierte de que está preparado ni pendiente de recoger, siendo su contenido claramente personal de lo que se deduce una aparente intención de contactar con la reclamante para fines personales y no para fines contractuales, al dirigirse a ella en un tono personal sin referencia alguna a su pedido. En conclusión, de estas evidencias se deduce que cuando B.B.B. accedió al número de teléfono de la reclamante y le remitió los mensajes a los que se refiere este expediente, no actuaba como empleado de la frutería en el cumplimiento de sus funciones, ni en cumplimiento de las instrucciones dadas por el propietario de la frutería respecto a los posibles pedidos veganos que estaban pendientes de recoger como éste manifiesta, por lo que debe ser considerado responsable del tratamiento al que se refiere el presente expediente a título personal. En consecuencia, queda acreditado que B.B.B. habría incurrido en un incumplimiento de la normativa de protección de datos personales al tratar los datos de la reclamante, sin base de legitimación por lo que cabe exigirle responsabilidad administrativa por los presuntos incumplimientos cometidos, de acuerdo con lo previsto en el artículo 70. 1
10. a)de LOPPDD. III Obligación incumplida. Carencia de base de licitud para el tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/24 El RGPD regula en su artículo 5 los principios que presiden el tratamiento de los datos de carácter personal y establece en el apartado 1: “1. Los datos personales serán: (el subrayado es nuestro)
11. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
12. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
13. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
14. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
15. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
16. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” El artículo 5.2 establece: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 6 del RGPD, bajo la rúbrica “Licitud del tratamiento”, concreta en su apartado 1 los supuestos en los que el tratamiento de datos personales es considerado lícito (el subrayado es nuestro): “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
17. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
18. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
19. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
20. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24
21. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
22. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
23. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
24. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3.La base del tratamiento indicado en el apartado 1, letras
25. c)y e), deberá ser establecida por:
26. a)el Derecho de la Unión, o
27. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
28. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/24
29. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
30. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
31. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
32. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.” En relación con el asunto que nos ocupa, existen evidencias de que se utilizaron por el empleado de la frutería los datos personales que la reclamante había proporcionado al establecimiento FRUTAS CALISA por motivos profesionales, y no al empleado de la misma, por motivos personales. Para poder realizar cualquier operación de tratamiento de datos personales, es requisito indispensable que el responsable del tratamiento (en este caso, B.B.B.) disponga de una de las bases de licitud previstas en el artículo 6.1 del RGPD, que le legitimen en el supuesto concreto, para la finalidad de que se trate, a realizar la operación de consulta/extracción del número de teléfono de la reclamante, y sobre todo, para poder utilizar el referido número de teléfono para remitirle mensajes de WhatsApp, que deberán siempre responder a la finalidad para cuyo uso se ha proporcionado dicho dato personal. Base de licitud que corresponderá acreditar al responsable, de acuerdo con lo señalado en el artículo 5.2 del RGPD, lo que no ha ocurrido en este caso. En este sentido, es especialmente importante lo que señala el Considerando 39 del RGPD, que establece lo siguiente (el subrayado es nuestro): “