1/6 Procedimiento Nº: PS/00262/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 30 de julio de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra XFERA MÓVILES, S.A. con NIF A82528548 (en adelante, el reclamado). Los motivos en que basa la reclamación consiste en la posible suplantación de identidad, ya que dicha entidad le reclama el pago de una deuda que el reclamante no reconoce. Cuando el reclamante tuvo conocimiento de tal requerimiento de pago, interpuso denuncia ante la Dirección General de la Policía. Junto a la reclamación aporta copia de denuncia policial de fecha 28 de julio de 2018 y las facturas correspondientes a la deuda requerida. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. Asimismo, se constatan los siguientes extremos: Con fecha 6 de diciembre de 2018, se recibe en esta Agencia, con número de registro 209002/2018, escrito de contestación al traslado de la reclamación procedente de XFERA MÓVILES, S.A. (en lo sucesivo, XFERA), como propietaria de la marca MÁSMOVIL, haciendo las siguientes manifestaciones: - Que, al igual que el reclamante, es voluntad de esta parte conocer las causas que han podido llevar a la incidencia que ha dado lugar a esta reclamación para lo que se está investigando a nivel interno las posibles causas del incidente. - Que puesto que existe una denuncia por estos mismos hechos en sede policial con número de atesado 14651/18, interpuesta en fecha 28 de julio del año en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 curso (Anexo 1 de la reclamación), y que teniendo en cuenta que estos hechos ya están siendo investigados de forma oficial por la vía penal, solicitan que se esté a la resolución de dicho procedimiento para esclarecer las posibles casusas del incidente, en virtud del fundamento del principio de no bis in ídem, que ordena el procedimiento sancionador en ambos ordenamientos A la vista de tales manifestaciones, se realiza nuevo requerimiento por parte de esta Agencia a XFERA para que aporte documentación que permita acreditar aspectos como el contrato de servicio, el procedimiento de contratación y de acreditación de la identidad, así como conocer el estado del procedimiento por vía penal correspondiente al atestado policial 14651/18, al que hace referencia XFERA en su escrito, sin haber recibido contestación al respecto en el plazo dado para ello. TERCERO: Con fecha 22 de julio de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
- f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
- f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informó de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. CUARTO: No habiendo formulado alegaciones ni presentado pruebas en el plazo dado, se procede a dictar la presente resolución teniendo en cuenta los siguientes: HECHOS PRIMERO: Se denuncia la suplantación de identidad, en la contratación del servicio del reclamado, no teniendo noticia de ello hasta que dicha entidad le reclama el pago de una deuda que el reclamante no reconoce, tras lo cual interpone denuncia ante la Dirección General de la Policía el 28 de julio de 2018, aportándose copia de dicha denuncia y de las facturas correspondientes a la deuda requerida. SEGUNDO: El reclamado manifiesta que se está investigando a nivel interno las posibles causas del incidente objeto de la presente reclamación pero que al existir una denuncia por estos mismos hechos en sede policial con número de atesado 14651/18, interpuesta en fecha 28 de julio del año 2018 (Anexo 1 de la reclamación), y que teniendo en cuenta que estos hechos ya están siendo investigados de forma oficial por la vía penal, el reclamado manifiesta que esperará a que se dicte la resolución de dicho procedimiento para esclarecer las posibles casusas del incidente, en virtud del fundamento del principio de no bis in ídem, que ordena el procedimiento sancionador en ambos ordenamientos. . C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 4.11 del RGPD define el «consentimiento del interesado» como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen, así el artículo 6.1 del RGPD establece que para que el tratamiento sea lícito se requerirá que el interesado de su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. Por su parte el artículo 6.1 del RGPD establece que “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.” III De conformidad con las evidencias de las que se dispone en el presente momento, se considera que el reclamado ha utilizado los datos de la reclamante para la contratación de la línea telefónica ***TELEFONO.1 sin su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 El reclamante manifiesta que el cargo realizado por la entidad denunciada tiene como origen la contratación de la línea ***TELEFONO.1, activada en fecha 12 de enero de 2018, y la compra de un terminal con pago a plazos modelo Samsung Galaxy S8 64GB, por valor de 654€. Añade que la línea fue contrata “on line” y facilitan a esta Agencia informe sobre la contratación y copia del contrato. XFERA MÓVILES, S.A. ha manifestado que se está investigando a nivel interno las posibles causas del incidente y que tras la denuncia interpuesta el 28 de julio de 2018 en sede policial con número de atesado 14651/18, estos hechos ya están siendo investigados de forma oficial por la vía penal, por lo que solicita que se esté a la resolución de dicho procedimiento para esclarecer las posibles causas del incidente, en virtud del fundamento del principio de no bis in ídem, que ordena el procedimiento sancionador en ambos ordenamientos jurídicos. Esta Agencia consideró necesario constatar tales afirmaciones y para ello realizó nuevo requerimiento de información a XFERA sobre el contrato de servicio, el procedimiento de contratación y de acreditación de la identidad, y sobre el estado del procedimiento por vía penal correspondiente al atestado policial 14651/18, al que hace referencia en su escrito, sin haber recibido contestación al respecto en el plazo dado para ello. Por lo tanto, se considera que al no obtener respuesta al requerimiento de la AEPD, se entiende que la entidad no ha procedido a la cancelación de los datos personales del reclamante y en consecuencia continúa el tratamiento, por lo que de conformidad con las evidencias de las que se dispone en el presente momento, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por una presunta vulneración del artículo 6 del RGPD, indicado en el fundamento II. III El artículo 72.1.
- b)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- c)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento en el artículo 6 del Reglamento (UE) 2016/679.” IV Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En el presente caso estamos ante acción negligente no intencional, pero significativos identificados (artículo 83.2
- b) Se encuentran afectados identificadores personales básicos (nombre, un número de identificación, el identificador de línea), según el artículo 83.2
- g)Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a XFERA MÓVILES, S.A. con NIF A82528548, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 60.000 € (sesenta mil euros). SEGUNDO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A.. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es