1/14 Procedimiento Nº: PS/00258/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 28 de enero de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, el reclamado o VDF). Los motivos en que basa la reclamación son los siguientes: La recepción de llamadas comerciales no deseadas en nombre de VDF en su línea de teléfono fijo ***TELEFONO.1. Manifiesta que dicha línea receptora está inscrita en la Lista Robinson. Última llamada recibida fue el 14/01/20 a las 15:20 horas desde la línea telefónica ***TELEFONO.2. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante / de los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. ANTECEDENTES Fecha de entrada de la reclamación: 28 de enero de 2020 Reclamante: A.A.A. (el reclamante) Reclamado: VODAFONE ESPAÑA, S.A.U. (el reclamado o VDF) Los antecedentes que constan en los sistemas de información son los siguientes: Con fecha 09 de marzo de 2020 y número de registro 023219/2020 (procedimiento E/02269/2020) se traslada a VDF notificación de la reclamación presentada por el reclamante de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), para que procediese a su análisis y diera respuesta a esta Agencia en el plazo de un mes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 En fecha 15 de abril de 2020 (Nº de registro 014615/2020) se recibe contestación de la entidad reclamada, alegando lo siguiente: “Hemos verificado que la línea telefónica del reclamante consta en la lista Robinson oficial de ADigital desde el 13 de febrero de 2018, así como en la lista Robinson interna de Vodafone desde el 7 de marzo de 2019. Hemos comprobado si el número llamante denunciado figura en nuestra base de datos con los números telefónicos que usan nuestros colaboradores para realizar llamadas de captación. A tal efecto, hemos verificado que uno de ellos se encuentra asociado al siguiente colaborador del canal door to door: Solivesa_Grupo Estradicall, S.A.C. No obstante, queremos destacar que, este colaborador no trata las bases de datos facilitadas por Vodafone, sino que utiliza sus propias bases de datos. (…) hemos comprobado que las llamadas indicadas han sido realizadas por un colaborador del sector door to door: Solivesa. No se aporta el contrato con dicho colaborador dado que ya consta dentro de la documentación que obra en el expediente E/9052/2019.” Con fecha 01 de junio de 2020, en el procedimiento E/02269/2020 la Agencia Española de Protección de Datos procede a notificar al reclamado (Nº registro 043098/2020) la admisión a trámite de la reclamación y llevar a cabo las siguientes actuaciones de investigación: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: GRUPO ESTRADICALL, S.A.C., con NIF extranjero 20602658458, y con domicilio en MZA. E, LOTE 8 COOPEMAR CONST. Callao, Ventanilla, Lima, Perú. VODAFONE ESPAÑA, S.A.U., con NIF A80907397, y con domicilio en Avda. América 115, 28042 Madrid. SOLIVESA MASTER FRANCHISE, S.L., con NIF 97154488, y con domicilio en Calle Salamanca 60, 3º, pta 7, 46005 Valencia. LEAST COST ROUTING TELECOM, S.L., con NIF B82470162, y con domicilio en Calle Fernando Rey 8, Pozuelo de Alarcón, 28223 Madrid. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN A raíz de las investigaciones realizadas se ha obtenido la siguiente información: Según respuesta de ADIGITAL (registro de entrada O00007128e2000012120) a requerimiento de información (documento con denominación “Solic. info Robinson”, registro de salida, O00007128s2000020831) certifica que la línea del reclamante se encuentra inscrita en la lista Robinson desde el 08 de febrero de 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 Mediante información obtenida del registro de numeración de operadores de telecomunicaciones, en la página web de la CNMC (documento con denominación “Diligencia”), se verifica que, a fecha de investigación de este expediente, el operador del número origen de las llamadas ***TELEFONO.2 es LEAST COST ROUTING TELECOM, S.L. Según respuesta de O00007128e2000013131) indica: LEAST COST (registro de entrada “La línea está contratada por nuestro “Reseller/Revendedor” SOLIVESA MÁSTER FRANCHISE, S.L. Ha habido una llamada a la línea ***TELEFONO.1 el día 14 de enero de 2020 a las 15:18h.” Según respuesta de SOLIVESA MÁSTER FRANCHISE, S.L. (registro de entrada O00007128e2000013826) indica que: “Titularidad de la línea de abonado ***TELEFONO.2 RAZÓN SOCIAL: GRUPO ESTRADICALL… LOCALIDAD: LIMA. PAÍS: PERÚ. La llamada al número ***TELEFONO.1 no está registrada en la fecha indicada.” “La línea ***TELEFONO.2 está de baja desde el día 29 de septiembre de 2020.” Posteriormente se recibe comunicado de subsanación de SOLIVESA MÁSTER FRANCHISE, S.L. (registro de entrada O00007128e2000015523) indicando: “En relación con la solicitud de información realizada por ustedes sobre el expediente con nº de Ref.: E/09405/2020 les informamos de que por un error humano les dimos parte de la información errónea. Tras hacer una nueva comprobación de los registros, hemos detectado que sí existe una llamada realizada desde el número ***TELEFONO.2 al número ***TELEFONO.1 el día 14 de enero de 2020 a las 15:18 horas.” Se envió requerimiento de información al GRUPO ESTRADICALL SAC (Lima, Perú) por correo internacional certificado (N.º de registro O00007128s2000024610) del cual no se ha recibido respuesta. Según respuesta de ORANGE (registro de entrada O00007128e2000013431) a requerimiento de información sobre titularidad del número destino y la recepción de las llamadas desde los números denunciados indica que: “En relación a la titularidad de línea fija ***TELEFONO.1 esta mercantil viene a confirmar que, la numeración fija se encuentra asignada a “el reclamante”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 Así mismo se confirma la recepción de la llamada en el número del reclamante desde el ***TELEFONO.2 a fecha 14 de enero de 2020 en la hora indicada. Según contratos aportados (registro de entrada O00007128e2100001230) por SOLIVESA MÁSTER FRANCHISE, S.L., se tiene: Contrato entre SOLIVESA MÁSTER FRANCHISE, S.L. (REVENDEDORA en adelante) y LEAST COST ROUTING TELECOM, S.L. (LCRCOM o VENDEDORA en adelante) con denominación “CONTRATO LCR.compressed.pdf”: Según descripción del contrato, el mismo es para la reventa de productos y servicios de comunicaciones electrónicas facilitados por LEAST COST ROUTING TELECOM, S.L. En la cláusula 4.9, especifica que, “El REVENDEDOR establecerá su propia política de expansión y, en consecuencia, establecerá, marcará, fijará y determinará, el ámbito geográfico donde se propone establecer o abrir los mercados a los que va destinada la reventa de SERVICIOS adquiridos de LCRCOM que se propone revender.” Mediante información obtenida del E/09388/2020 (documento con denominación “Diligencia2”) de contratos aportados por SOLIVESA MÁSTER FRANCHISE, S.L. se tiene: Del contrato entre VODAFONE ESPAÑA S.A.U. (VODAFONE) y SOLIVESA MÁSTER FRANCHISE, S.L. (COLABORADOR), se extrae lo siguiente: En el apartado II, indica que el Grupo Vodafone presta sus servicios tanto a través de VODAFONE-ES como VODAFONE ONO, S.A.U., existiendo entre estas dos sociedades (conjunta o indistintamente denominadas “VDF”) un acuerdo de colaboración comercial para la comercialización conjunta y/o recíproca de los servicios que presta cada una de ellas. En el apartado V indica que el COLABORADOR manifiesta tener la capacidad y medios técnicos adecuados para formar parte de la red comercial de VODAFONE. En el apartado VI indica que el ámbito del contrato es la promoción door-to-door de los servicios en nombre y por cuenta de VDF. En la cláusula SEGUNDA, apartado 2.1 indica que el objeto del contrato es la promoción comercial de los servicios de VODAFONE. En la cláusula TERCERA, indica que el contrato tendrá validez desde el 1 de mayo de 2019 hasta el 31 de marzo de 2020. En la cláusula 13.5 VODAFONE indica que el COLABORADOR se compromete al estricto cumplimiento de la normativa vigente en materia de protección de datos. En la cláusula 13.6 se indica que de conformidad con la legislación vigente el COLABORADOR tendrá la consideración de encargado de tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 La cláusula 13.7 indica que el COLABORADOR mantendrá indemne a VODAFONE de cualquier perjuicio derivado del incumplimiento por parte del COLABORADOR o de sus terceros colaboradores de cualquiera de las obligaciones previstas en la presente cláusula y en particular por cualquier sanción impuesta por la Agencia Española de Protección de Datos. No consta en el contrato la posibilidad de subcontratar los servicios a entidades fuera del Espacio Económico Europeo, debiendo el encargado (SOLIVESA) ajustarse en todo momento a lo dispuesto en el RGPD. En el Anexo 2, consta que la ubicación del tratamiento se realiza en “España”. Del contrato entre SOLIVESA MÁSTER FRANCHISE, S.L. (SOLIVESA) y GRUPO ESTRADICALL (SUBAGENTE) se tiene que: En el apartado 1.1 de la estipulación PRIMERA, indica que el SUBAGENTE se compromete a desarrollar las actividades de intermediación en altas de clientes para el operador VODAFONE. En la estipulación SEGUNDA indica que el contrato tendrá una duración de 12 meses contados a partir del día de su firma, que fue el 27 de septiembre de 2018. Indica también que, transcurrido el término inicial, el contrato se prorrogará por períodos de igual duración, salvo denuncia expresa por alguna de las partes. En el requerimiento (N.º de registro O00007128s2100007438) se le solicita a SOLIVESA contrato vigente con ESTRADICALL a último trimestre de 2019 con lo cual el contrato debería estar renovado, según lo estipulado anteriormente, hasta 27 de septiembre de 2020. En la estipulación TERCERA indica que las actividades de promoción y altas se realizará conforme los procedimientos establecidos por SOLIVESA. Las actividades del SUBAGENTE, en el ejercicio del contrato se realizarán en el territorio español. En la estipulación SÉPTIMA relativa a la “Prohibición de comercialización inadecuada o fraudulenta” indica que (entre otras) se considerará comercialización inadecuada la inobservancia en la comercialización de la normativa en vigor que le sea aplicable. En la estipulación DÉCIMOCUARTA, apartado de responsabilidad, indica que cada parte deberá hacer frente a la responsabilidad que se derive de su propio incumplimiento de la LOPD 15/1999. TERCERO: Mediante Acuerdo de fecha 27 de mayo de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por: Por la presunta infracción del art. 48.1.
- b)de la LGT en relación con el art. 21 del RGPD y 23 de la LOPDGDD, tipificada como grave en el artículo 77.37 de la citada LGT, sin perjuicio de lo que resulte de la instrucción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 Por la presunta infracción del art. 28.1 del RGPD, tipificado en el artículo 83.4.
- a)de dicha norma, sin perjuicio de lo que resulte de la instrucción. CUARTO: El reclamado solicitó copia del expediente que le fue entregado y ampliación de plazo para presentar alegaciones que le fue concedida. En fecha 21/06/2021 el reclamado (VDF) presentó alegaciones al acuerdo de inicio de procedimiento sancionador, en resumen, en los siguientes términos: 1. La llamada al reclamante se efectuó por tercera entidad ajena a VDF, en concreto por la entidad Grupo Estradicall SAC de nacionalidad peruana, a la que SOLIVESA vendió/adjudicó la línea llamante en calidad de operadora de telecomunicaciones autorizada por la CNMC 2. Respecto de la infracción del art 28 del RGPD, VDF alega el principio de “non bis in idem”, toda vez que ya se ha sancionado por iguales hechos con anterioridad. QUINTO: Con fecha 22/06/2021 se emitió propuesta de Resolución en los siguientes términos: << Que por la Directora de la Agencia Española de Protección de Datos se proceda al ARCHIVO de las actuaciones relativas al art. 48.1.
- b)de la LGT, de conformidad con lo dispuesto en el art. 31 de la citada LRJSP. Que por la Directora de la Agencia Española de Protección de Datos se proceda al ARCHIVO de las actuaciones relativas al art. 28 del RGPD, de conformidad con lo dispuesto en el art. 31 de la citada LRJSP.>>. SÉPTIMO: Transcurrido el plazo para presentar alegaciones a la Propuesta de Resolución, no consta en esta AEPD que hayan sido presentadas. De las actuaciones practicadas en el presente procedimiento han quedado acreditado los siguientes, HECHOS PROBADOS PRIMERO: El reclamante, con fecha 28 de enero de 2020, interpuso reclamación ante la Agencia Española de Protección de Datos contra VODAFONE ESPAÑA, S.A.U. por la recepción de llamadas comerciales no deseadas en nombre de VDF en su línea de teléfono fijo ***TELEFONO.1 desde la línea llamante ***TELEFONO.2 SEGUNDO: Según respuesta de ADIGITAL (registro de entrada e2000012120) a requerimiento de información (documento con denominación “Solic. info Robinson”, registro de salida, O00007128s2000020831) certifica que la línea del reclamante se encuentra inscrita en la lista Robinson desde el 08 de febrero de 2019. TERCERO: Según respuesta de LEAST COST (registro de entrada e2000013131) indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 “La línea está contratada por nuestro “Reseller/Revendedor” SOLIVESA MÁSTER FRANCHISE, S.L. Ha habido una llamada a la línea ***TELEFONO.1 el día 14 de enero de 2020 a las 15:18h.” CUARTO: Según respuesta de ORANGE (registro de entrada e2000013431) a requerimiento de información sobre titularidad del número destino y la recepción de las llamadas desde los números denunciados indica que: “En relación a la titularidad de línea fija ***TELEFONO.1 esta mercantil viene a confirmar que, la numeración fija se encuentra asignada a “el reclamante”. Así mismo se confirma la recepción de la llamada en el número del reclamante desde el ***TELEFONO.2 a fecha 14 de enero de 2020 en la hora indicada. QUINTO: Del contrato entre VODAFONE ESPAÑA S.A.U. (VODAFONE) y SOLIVESA MÁSTER FRANCHISE, S.L. (COLABORADOR), se extrae lo siguiente: En el apartado II, indica que el Grupo Vodafone presta sus servicios tanto a través de VODAFONE-ES como VODAFONE ONO, S.A.U., existiendo entre estas dos sociedades un acuerdo de colaboración comercial para la comercialización conjunta y/o recíproca de los servicios que presta cada una de ellas. En el apartado V indica que el COLABORADOR manifiesta tener la capacidad y medios técnicos adecuados para formar parte de la red comercial de VODAFONE. En el apartado VI indica que el ámbito del contrato es la promoción door-todoor de los servicios en nombre y por cuenta de VDF. En la cláusula SEGUNDA, apartado 2.1 indica que el objeto del contrato es la promoción comercial de los servicios de VODAFONE. En consecuencia, VDF actúa en calidad de responsable del tratamiento. En la cláusula TERCERA, indica que el contrato tendrá validez desde el 1 de mayo de 2019 hasta el 31 de marzo de 2020. En la cláusula 13.6 se indica que de conformidad con la legislación vigente el COLABORADOR tendrá la consideración de encargado de tratamiento. SEXTO: Los hechos ahora analizados respecto de la infracción al art. 48.1.
- b)de la LGT, ya han sido objeto de ARCHIVO por esta Agencia en expedientes similares de referencia PS/0006/2021 y PS/00257/2021. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 De conformidad con lo establecido en el artículo 84.3) de la LGT, la competencia para iniciar y resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 48.1.
- b)de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo, LGT), incluido en su Título III, que señala: <<Artículo 48. Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados. 1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones electrónicas tendrán los siguientes derechos: (…)
- b)A oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a ser informado de este derecho.>> III En relación con las llamadas telefónicas, se regula el ejercicio del derecho de oposición en el artículo 21 del RGPD, donde se establece que: <<1. El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras
- e)o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones. 2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. 3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas. 6. Cuando los datos personales se traten con fines de investigación científica o histórica o fines estadísticos de conformidad con el artículo 89, apartado 1, el interesado tendrá derecho, por motivos relacionados con su situación particular, a oponerse al tratamiento de datos personales que le conciernan, salvo que sea necesario para el cumplimiento de una misión realizada por razones de interés público.>> IV El artículo 23 de la LOPDGDD, respecto a los sistemas de exclusión publicitaria señala lo siguiente: <<Artículo 23. Sistemas de exclusión publicitaria. 1. Será lícito el tratamiento de datos personales que tenga por objeto evitar el envío de comunicaciones comerciales a quienes hubiesen manifestado su negativa u oposición a recibirlas. A tal efecto, podrán crearse sistemas de información, generales o sectoriales, en los que solo se incluirán los datos imprescindibles para identificar a los afectados. Estos sistemas también podrán incluir servicios de preferencia, mediante los cuales los afectados limiten la recepción de comunicaciones comerciales a las procedentes de determinadas empresas. 2. Las entidades responsables de los sistemas de exclusión publicitaria comunicarán a la autoridad de control competente su creación, su carácter general o sectorial, así como el modo en que los afectados pueden incorporarse a los mismos y, en su caso, hacer valer sus preferencias. La autoridad de control competente hará pública en su sede electrónica una relación de los sistemas de esta naturaleza que le fueran comunicados, incorporando la información mencionada en el párrafo anterior. A tal efecto, la autoridad de control competente a la que se haya comunicado la creación del sistema lo pondrá en conocimiento de las restantes autoridades de control para su publicación por todas ellas. 3. Cuando un afectado manifieste a un responsable su deseo de que sus datos no sean tratados para la remisión de comunicaciones comerciales, este deberá informarle de los sistemas de exclusión publicitaria existentes, pudiendo remitirse a la información publicada por la autoridad de control competente. 4. Quienes pretendan realizar comunicaciones de mercadotecnia directa, deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuación, excluyendo del tratamiento los datos de los afectados que hubieran C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 manifestado su oposición o negativa al mismo. A estos efectos, para considerar cumplida la obligación anterior será suficiente la consulta de los sistemas de exclusión incluidos en la relación publicada por la autoridad de control competente. No será necesario realizar la consulta a la que se refiere el párrafo anterior cuando el afectado hubiera prestado, conforme a lo dispuesto en esta ley orgánica, su consentimiento para recibir la comunicación a quien pretenda realizarla.>> V Si bien, el citado artículo 48 de la LGT no configura el derecho de oposición, por lo que debemos acudir a las normas de protección de datos en las que se regula el derecho de oposición: artículo 21 del RGPD, (Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos) y artículo 23 de la LOPDGDD (Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales). La infracción se tipifica como grave en el artículo 77.37 de dicha norma pudiendo ser sancionada con multa de hasta 2.000.000 de euros, de acuerdo con el artículo 79.1.
- c)de la citada LGT. Debe tenerse en cuenta que la línea del reclamante no solo se encontraba inscrita en el listo de exclusión publicitaria robinson de Adigital desde el 13/02/2018, sino también en el listado de exclusión publicitaria interno de la reclamada desde el 7/03/2019, y la llamada se produjo el 14/01/2020, lo que vulnera tanto el artículo 21 del RGPD como el art. 23 de la LOPDGDD. No obstante lo anterior, consta en esta Agencia en los expedientes de referencia PS/0006/2021 y PS/00257/2021 y ambos objeto de archivo, que la responsabilidad de la llamada realizada al reclamante desde la línea ***TELEFONO.2 es de responsabilidad exclusiva de la entidad Estradicall SAC de origen peruano y, en consecuencia, no le es aplicable el RGPD. En este sentido, no consta que VDF haya contratado en su CRM producto alguno con el reclamante a través de la acción comercial ahora analizada. VI Los hechos expuestos también podrían ser constitutivos de una infracción, imputable a VDF en calidad de responsable del tratamiento ahora analizado, por vulneración del artículo 28.1 del RGPD, tipificada en el artículo 83.4 de dicha norma, considerada leve a efectos de prescripción en el artículo 73.
- j)de la LOPDGDD, por los siguientes motivos: El artículo 28 del RGPD señala lo siguiente: “Art. 28, Encargado del tratamiento. 1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
- a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
- b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
- c)tomará todas las medidas necesarias de conformidad con el artículo 32;
- d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
- e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
- f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
- g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
- h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 En relación con lo dispuesto en la letra
- h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.” VIII De la documentación obrante en el expediente y, en concreto, en los contratos de responsable, encargado y subencargado que rigen las relaciones entre VDF, SOLIVESA y GRUPO ESTADICALL, respectivamente, se infiere por VDF una posible C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 infracción al art. 28.1 del RGPD, al no constar ninguna medida implantada por VFD, en calidad de responsable del tratamiento, que permita monitorear la actuación de los encargados del tratamiento ahora analizado durante la ejecución del contrato que evite actuaciones infractoras como las mencionadas. No obstante, en relación con la reclamación ahora analizada y admitida a trámite por esta Agencia, le informamos de la incoación del procedimiento sancionador de referencia nº PS/00059/2020 contra la reclamada en fecha 26/02/2020 y resuelto el 11/02/2021, por hechos similares a los ahora analizados coincidiendo sujeto, hecho y fundamento. Asimismo, le comunicamos que con fecha 11 de febrero de 2021 se ha dictado la resolución del procedimiento, que ha sido publicada en la página web de la Agencia http://www.aepd.es, en donde podrá tener acceso al texto de la Resolución. En la citada resolución se hace constar que “…Los hechos expuestos, suponen la comisión por parte de VDF, de una infracción del artículo 48.1.
- b)de la Ley LGT, recogido en su Título III, que señala del derecho: (…)
- b)A oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a ser informado de este derecho”. Si bien, el citado artículo no configura de forma explícita tal derecho, se debe acudir a las normas de protección de datos ya indicadas en los Fundamentos anteriores en las que se regula el derecho de oposición: artículo 21 del RGPD, y artículo 23 de la LOPDGDD. Esta Infracción se encuentra tipificada como “grave”, en el artículo 77.37) de dicha norma, que considera como tal: “37. La vulneración grave de los derechos de los consumidores y usuarios finales, según lo establecido en el título III de la Ley y su normativa de desarrollo”. pudiendo ser sancionada con multa de hasta 2.000.000 €, de acuerdo con el artículo 79.1.
- c)de la citada LGT.” De esta forma, se da cumplimiento a lo establecido en el art. 77.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos), que establece que la autoridad de control ante la que se haya presentado la reclamación informará sobre el curso y el resultado de la reclamación. Finalmente, el artículo 31 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP), sobre la concurrencia de sanciones, establece: “1. No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y fundamento.” Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR las actuaciones relativas al art. 48.1.
- b)de la LGT, de conformidad con lo dispuesto en el art. 31 de la citada LRJSP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 ARCHIVAR de las actuaciones relativas al art. 28 del RGPD, de conformidad con lo dispuesto en el art. 31 de la citada LRJSP. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es