← España

PS-00269-2023

1/16 Expediente N.º: EXP202208928 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: DOÑA A.A.A. (en adelante, la parte reclamante) con fecha 13 de julio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra NATURGESTYGAS, S.L. con NIF B88390661 (en adelante, NATURGESTY o parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que tras recibir una llamada de teléfono de una empresa que se identifica como Naturgy, le informan que le corresponde realizar una inspección de gas obligatoria, personándose en su domicilio en fecha 27 de junio de 2022 para llevarla a cabo. En fechas 1 y 5 de julio de 2022, recibe dos cargos en su cuenta bancaria de la parte reclamada, empresa con la que no tiene contrato alguno. Tras contactar con su empresa suministradora de gas, le confirman que no han realizado inspección alguna ni tienen relación con la parte reclamada. Junto a la reclamación aporta denuncia policial de 5 de julio de 2022, recibos bancarios emitidos por la entidad reclamada y copia de la pegatina que pegaron en su calentador. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a NATURGESTY, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 5 de septiembre de 2022 como consta en el certificado que obra en el expediente. Si bien, no se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 13 de octubre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 24/03/2023, y en respuesta al requerimiento de información sobre el origen de los datos personales del reclamante, NATURGESTY contesta que: “Los datos personales de la reclamante relativos a su nombre completo, dirección y número de teléfono, se han obtenido de la base de datos comprada a la empresa Infobel, cuyos datos fiscales son KAPITAL SA, ***DIRECCIÓN.1. Esta base de datos se compró en el año 2016, facilitando la mencionada empresa, un CD-ROM con un programa instalable que incluía una base de datos con números telefónicos, direcciones y nombres de personas y empresas en España.” “Naturgestygas S.L. utiliza como práctica habitual para la captación de clientes, la compra de bases de datos a empresas especializadas en estos servicios. Para ello, solo contrata con proveedores que le ofrezcan garantías suficientes en cuanto al cumplimiento normativo de la legislación vigente en materia de protección de datos, presumiendo que los datos obtenidos por estas empresas tienen un origen lícito basado en el consentimiento del usuario.” “… no se dispone de factura justificativa de la compra de este programa porque se destruyó, ya que había transcurrido el período de prescripción de 4 años previsto en el artículo 29.2, letra

  1. e)de la Ley 58/2003, de 17 de diciembre, General Tributaria y 165.Uno de la Ley 37/1992...” “El dato relativo al número de cuenta bancaria se obtuvo directamente de la reclamante cuando firmó el documento SEPA (Ver Anexo IV – Página 5) en la visita recibida por nuestro técnico. Además, el control de calidad del servicio prestado, incluido en este mismo anexo, fue firmado y rellenado de puño y letra por el marido de la reclamante, en el cual, como puede apreciarse, se le informó sobre las causas de resolución del contrato, así como, de lo relativo a sus derechos en materia de protección de datos.” “El dato relativo al Documento Nacional de Identidad de la reclamante se obtuvo directamente de la misma cuando se rellenó el contrato de mantenimiento junto con las condiciones generales del servicio prestado y el acta de la actuación realizada cuyo número de identificación referencial es 1192 (Ver Anexo IV – Páginas 1 a 4). Ambos documentos están debidamente firmados por la parte reclamante.” QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad NATURGESTYGAS, S.L. es una sociedad limitada constituida en el año 2019, con un capital social de 3.000 euros; si bien, desde su constitución, no han depositado cuentas anuales en el Registro Mercantil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 SEXTO: Con fecha 4 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que se pide se le exonere de toda responsabilidad derivada del acuerdo de inicio de procedimiento sancionador. En sus alegaciones, en síntesis, la parte reclamada aduce: 1.- En su primera alegación y a efectos de determinar la legislación aplicable que justifica y regula las comunicaciones comerciales telefónicas, alega que la ley vigente en la fecha de los hechos era la recientemente derogada Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, los hechos se produjeron el 14 junio de 2022, entrando en vigor la Ley 11/2022, de 28 de junio, General de Telecomunicaciones, el 29 de junio, aunque en su Disposición Final Sexta dispone: “2. El derecho de los usuarios finales a no recibir llamadas no deseadas con fines de comunicación comercial contemplado en el artículo 66.1.
  2. b)entrará en vigor en el plazo de un año a contar desde la publicación de la presente ley en el «Boletín Oficial del Estado». Por tanto, considera que la justificación de la base legal la encontramos en el artículo 48.1. letra
  3. b)de la Ley 9/2014. 2.- La entidad reclamada también hace referencia al origen o procedencia de los datos de la reclamante, destacando que el dato del número telefónico de la reclamante se obtuvo de la compra de una base de datos a la empresa Infobel. NATURGESTY afirma que para estar la reclamante en las guías telefónicas, tuvo que expresar su consentimiento para ello, pudiendo recibir tales llamadas comerciales con base legítima en su propio consentimiento y el interés legítimo del responsable conforme dispone el artículo 6.1 del RGPD. 3.- Por último, hace referencia a las dos circunstancias agravantes tenidas en cuenta en la graduación de la sanción: - La intencionalidad o negligencia en la infracción, respecto de la cual considera que ha actuado con la diligencia legalmente exigible, pues consultó si la clienta estaba incluida o no en sistemas de exclusión publicitaria. -La vinculación de la actividad del infractor con la realización de tratamientos de datos Personales, considerando que actuaron dentro de la legalidad vigente, habiéndose adaptado a la nueva normativa recogida por la Ley 11/2022, de 28 de junio, General de Telecomunicaciones. Si bien, se desestimaron las alegaciones presentadas. OCTAVO: Con fecha 13 de agosto de 2024 se formuló propuesta de resolución, proponiendo se sancione a NATURGESTYGAS, S.L., con NIF B88390661, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa 10.000 € (DIEZ MILEUROS). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 NOVENO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, se han presentado por la parte reclamada escrito alegaciones en plazo legalmente establecido. En sus alegaciones, en síntesis, la parte reclamada aduce: - - - En su primera alegación, manifiestan que lo expuesto por la Agencia Española de Protección de Datos “No obstante, es importante reseñar que, en ningún momento, la entidad reclamada ha acreditado ni ha aportado ningún documento que acredite que los datos se hayan obtenido de una base de datos comprada a la empresa Infobel” es erróneo, aportándose nuevamente el Anexo I – Fotografía del programa comprado y el Anexo II – Imagen del programa Infobel con los datos de la clienta. En su segunda alegación, hace referencia a que la llamada comercial (objeto de esta reclamación) no se realiza hasta el 2022, estando ya vigente la actual Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales por lo que, para determinar si la llamada comercial se hizo conforme a lo dispuesto legalmente, debe aplicarse la Ley 11/2022, de 28 de junio, General de Telecomunicaciones, vigente en el momento de la comunicación. Por último, en su tercera alegación pone de relieve el cambio sustancial normativo sufrido, puesto que se ha pasado de un sistema en el que se presumía la existencia de un interés legítimo del responsable que le facultaba para realizar las llamadas, reconociéndose exclusivamente un derecho de oposición, a un nuevo sistema en el que se reconoce el derecho de los afectados a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que el responsable acredite la existencia de un interés legítimo sobre el que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado, en aplicación de la ya cita Ley 11/2022, de 28 de junio, General de Telecomunicaciones. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta en el expediente denuncia presentada ante la Policía Nacional con nº de Atestado ***ATESTADO.1, en la que consta que, tras el cargo del recibo, la parte reclamada corrobora que pertenece a la entidad NATURGESTYGAS S.L. Que el recibo se ha emitido por una supuesta contratación de servicios y mantenimiento y que la denunciante niega haber contratado ningún tipo de servicio con esta empresa, no entendiendo como han tenido acceso a sus datos y a su cuenta bancaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 SEGUNDO: Consta en el expediente manifestación de la entidad reclamada, en el siguiente sentido: “Los datos personales de la reclamante relativos a su nombre completo, dirección y número de teléfono, se han obtenido de la base de datos comprada a la empresa Infobel, cuyos datos fiscales son KAPITAL SA, ***DIRECCIÓN.1. Esta base de datos se compró en el año 2016, facilitando la mencionada empresa, un CD-ROM con un programa instalable que incluía una base de datos con números telefónicos, direcciones y nombres de personas y empresas en España.” “… no se dispone de factura justificativa de la compra de este programa porque se destruyó, ya que había transcurrido el período de prescripción de 4 años previsto en el artículo 29.2, letra
  4. e)de la Ley 58/2003, de 17 de diciembre, General Tributaria y 165.Uno de la Ley 37/1992...” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones a la propuesta de resolución En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente, según el orden expuesto: La entidad reclamada alega: PRIMERO. – ACREDITACIÓN DOCUMENTAL DE LA COMPRA DE LA BASE DE DATOS En virtud de lo expuesto por esta Agencia en la contestación al Informe emitido por esta parte sobre las causas que han motivado el acuerdo de iniciación del procedimiento sancionador, se indicó lo siguiente: “En contestación a lo alegado debemos significar, a efectos de fijar el marco legal aplicable y la legislación aplicable que justifica y regula las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 comunicaciones comerciales telefónicas, que es la propia entidad reclamada la que afirma que “… Los datos personales de la reclamante relativos a su nombre completo, dirección y número de teléfono, se han obtenido de la base de datos comprada a la empresa Infobel, cuyos datos fiscales son KAPITAL SA, ***DIRECCIÓN.1. Esta base de datos se compró en el año 2016, facilitando la mencionada empresa, un CD-ROM con un programa instalable que incluía una base de datos con números telefónicos, direcciones y nombres de personas y empresas en España.” Si bien, “… no se dispone de factura justificativa de la compra de este programa porque se destruyó”. A tal respecto, esta Agencia nos indica: “No obstante, es importante reseñar que, en ningún momento, la entidad reclamada ha acreditado ni ha aportado ningún documento que acredite que los datos se hayan obtenido de una base de datos comprada a la empresa Infobel”. Lo expuesto por esta Agencia no es correcto, ya que en la contestación al requerimiento de información que se emitió el 24 de marzo de 2023, se aporta como Anexo I la fotografía del programa mencionado Infobel; y en su Anexo II, los datos de la reclamante en dicho programa. Se aporta nuevamente como prueba los siguientes: (Anexo I – Fotografía del programa comprado). (Anexo II – Imagen del programa Infobel con los datos de la clienta). Además, esta Agencia indica en diversos apartados de la propuesta de resolución, que no existe justificación ni prueba documental relativa a la compra de dicha base de datos indicándose en reiteradas ocasiones por esta parte, que conforme al principio de limitación del plazo de conservación establecido en el punto
  5. e)del artículo 5 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, no se dispone de factura justificativa de la compra de este programa porque se destruyó, ya que había transcurrido el período de prescripción de 4 años previsto en el artículo 29.2, letra
  6. e)de la Ley 58/2003, de 17 de diciembre, General Tributaria y 165.Uno de la Ley 37/1992, que impone a los empresarios y profesionales a conservar las facturas y justificantes que tengan relación con sus obligaciones tributaria. En contestación a lo alegado, esta Agencia Española de Protección de Datos debe insistir en el hecho de que, en ningún momento, la entidad reclamada ha acreditado ni ha aportado ningún documento que acredite que los datos se hayan obtenido de una base de datos comprada a la empresa Infobel. Lo único que se aporta por NATURGESTY son dos fotografías correspondientes a un CD-ROM y una caratula en las que aparece la palabra “Infobel”, que en ningún caso, permiten considerar ni deducir que los datos personales de la parte reclamante se obtuvieron de la empresa Infobel, cuyos datos fiscales son KAPITAL SA, ***DIRECCIÓN.1. Continúa diciendo la entidad reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 SEGUNDO. – DETERMINACIÓN DE LA LEY APLICABLE En la propuesta de resolución, esta Agencia establece que la legislación aplicable es la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, al establecer que era la normativa vigente en el momento de la realización de la compra de la base de datos. Sin embargo, la llamada comercial (objeto de esta reclamación) no se realiza hasta el 2022, estando ya vigente la actual Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), por lo que, para determinar si la llamada comercial se hizo conforme a lo dispuesto legalmente, se debe acudir a esta normativa junto con la Ley 11/2022, de 28 de junio, General de Telecomunicaciones, vigente en el momento de la comunicación. En consideración a lo aquí expuesto, el artículo 23 de la LOPDGDD relativo a los sistemas de exclusión publicitaria dispone: “1. Será lícito el tratamiento de datos personales que tenga por objeto evitar el envío de comunicaciones comerciales a quienes hubiesen manifestado su negativa u oposición a recibirlas”. En el caso que nos atañe, se revisó la Lista Robinson y la reclamante no se encontraba en ella, por lo que no manifestó en ningún momento su negativa u oposición a recibir tales llamadas comerciales. El artículo continúa: “4. Quienes pretendan realizar comunicaciones de mercadotecnia directa, deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuación, excluyendo del tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa al mismo. A estos efectos, para considerar cumplida la obligación anterior será suficiente la consulta de los sistemas de exclusión incluidos en la relación publicada por la autoridad de control competente”. Como se aprecia en los Anexo I y II aportados en las Alegaciones al inicio del procedimiento sancionador con fecha 13 de octubre de 2023, la reclamante no se encontraba inscrita a los sistemas de exclusión publicitaria. Se vuelven a aportar como prueba: (Anexo III – Captura de la página Axesor donde aparecen los datos de la clienta). (Anexo IV – Captura de la página Axesor donde se refleja que NO estaba inscrita en el sistema de exclusión publicitaria). En contestación a lo manifestado por la entidad reclamada y a pesar de que, en ningún momento, se ha podido probar por la misma que los datos personales de la parte reclamante se hayan obtenido de la empresa Infobel, consta en el expediente manifestación de la entidad reclamada, en el siguiente sentido: “Los datos personales de la reclamante relativos a su nombre completo, dirección y número de teléfono, se han obtenido de la base de datos comprada a la empresa Infobel, cuyos datos fiscales son KAPITAL SA, ***DIRECCIÓN.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 Esta base de datos se compró en el año 2016, facilitando la mencionada empresa, un CD-ROM con un programa instalable que incluía una base de datos con números telefónicos, direcciones y nombres de personas y empresas en España” y así consta, en el hecho probado segundo. En consecuencia y puesto que fue en el año 2016 cuando tuvo lugar la supuesta compra de la base de datos, era y es de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, cuyo artículo 3
  7. j)establecía que: “A los efectos de la presente Ley Orgánica se entenderá por:
  8. j)Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación…”. Por su parte, el artículo 28 del mismo texto legal, bajo la rúbrica de “Datos incluidos en las fuentes de acceso público” establecía que: “1. Los datos personales que figuren en el censo promocional, o las listas de personas pertenecientes a grupos de profesionales a que se refiere el artículo 3,
  9. j)de esta Ley deberán limitarse a los que sean estrictamente necesarios para cumplir la finalidad a que se destina cada listado. La inclusión de datos adicionales por las entidades responsables del mantenimiento de dichas fuentes requerirá el consentimiento del interesado, que podrá ser revocado en cualquier momento. 2. Los interesados tendrán derecho a que la entidad responsable del mantenimiento de los listados de los Colegios profesionales indique gratuitamente que sus datos personales no pueden utilizarse para fines de publicidad o prospección comercial. Los interesados tendrán derecho a exigir gratuitamente la exclusión de la totalidad de sus datos personales que consten en el censo promocional por las entidades encargadas del mantenimiento de dichas fuentes. La atención a la solicitud de exclusión de la información innecesaria o de inclusión de la objeción al uso de los datos para fines de publicidad o venta a distancia deberá realizarse en el plazo de diez días respecto de las informaciones que se realicen mediante consulta o comunicación telemática y en la siguiente edición del listado cualquiera que sea el soporte en que se edite. 3. Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su obtención. 4. Los datos que figuren en las guías de servicios de telecomunicaciones disponibles al público se regirán por su normativa específica.” (el subrayado es de este organismo). En consecuencia y transcurrido más de un año desde la compra de dicha base de datos, la misma ha perdido su carácter de fuente de acceso público, siendo necesaria causa legitimadora en el tratamiento de dichos datos personales. El artículo 7 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, establecía: “1. A efectos del artículo 3, párrafo
  10. j)de la Ley Orgánica 15/1999, se entenderá que sólo tendrán el carácter de fuentes accesibles al público:
  11. b)Las guías de servicios de comunicaciones electrónicas, en los términos previstos por su normativa específica. La normativa específica que regulaba las guías de servicios de comunicaciones electrónicas, en el momento de la supuesta compra de la base de datos en el año 2016 era la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones que, en el Artículo 48 “Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados”, en su apartado tercero establece que: “3. Respecto a la protección de datos personales y la privacidad en relación con las guías de abonados, los usuarios finales de los servicios de comunicaciones electrónicas tendrán los siguientes derechos:
  12. a)A figurar en las guías de abonados.
  13. b)A ser informados gratuitamente de la inclusión de sus datos en las guías, así como de la finalidad de las mismas, con carácter previo a dicha inclusión.
  14. c)A no figurar en las guías o a solicitar la omisión de algunos de sus datos, en la medida en que tales datos sean pertinentes para la finalidad de la guía que haya estipulado su proveedor…”. Por tanto, se debe volver a insistir en el hecho de que la parte reclamante debería haber sido informada de su inclusión en dicha base de datos, así como de la finalidad de la misma, circunstancia esta que no ha sido acreditada en ningún momento, por NATURGESTY. TERCERO. – PREVALENCIA NORMATIVA Como ya se expuso en las Alegaciones al acuerdo de inicio del procedimiento sancionador con fecha 13 de octubre de 2023, la legislación aplicable a esta cuestión es la ya mencionada Ley 11/2002, General de Telecomunicaciones. En dicha normativa se establece en su artículo 48.1. letra b): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 “1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones electrónicas tendrán los siguientes derechos:
  15. b)A oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a ser informado de este derecho”. A tenor de lo aquí expuesto, el Gabinete Jurídico de la AEPD en su informe N/REF: 0052/2023 referente al Proyecto de Circular sobre sobre la aplicación del artículo 66.1.
  16. b)de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones, dispone lo siguiente: “En este sentido, en el Informe 40/2023, después de analizar la evolución normativa al respecto y respecto de la situación existente con anterioridad a la entrada en vigor de la vigente LGTel, se señalaba lo siguiente: “Por consiguiente, atendiendo a las normas citadas y la prevalencia de la LGTel como norma especial, era lícito realizar llamadas con fines de comunicación comercial siempre que el usuario final no hubiera ejercido su derecho de oposición, reconociéndose un ejercicio de ese derecho con carácter general mediante la inclusión en un fichero de exclusión publicitaria, siendo obligatoria su consulta por quienes pretendan realizar dichas comunicaciones salvo que el afectado hubiera prestado su consentimiento””. Es decir, la propia AEPD reconoce en este Informe Jurídico que la Ley General de Telecomunicaciones tiene prevalencia y prioridad aplicativa al ser una norma especial, indicando que se podía realizar la llamada con fines comerciales sin el consentimiento de la reclamante siempre que no hubiese ejercido su derecho de oposición mediante la inclusión en un fichero de exclusión publicitaria, hecho que no se produjo. Como ya se expuso en las alegaciones iniciales, el informe continúa diciendo: “Previamente se había señalado una de las principales diferencias derivadas del nuevo régimen jurídico instaurado por la LGTel de 2022: Sin embargo, a diferencia del régimen contenido en el artículo 48.1.
  17. b)de la Ley General de Telecomunicaciones, que legitimaba directamente la realización de las llamadas sin perjuicio de dicho derecho de oposición, a remisión a las bases del artículo 6.1.
  18. f)requiere que, previamente, el responsable haya realizado la correspondiente ponderación, en los términos señalados en el presente informe. Como puede observarse, se trata de un cambio sustancial, puesto que se ha pasado de un sistema en el que se presumía la existencia de un interés legítimo del responsable que le facultaba para realizar las llamadas, reconociéndose exclusivamente un derecho de oposición, a un nuevo sistema en el que se reconoce el derecho de los afectados a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que el responsable acredite la existencia de un interés legítimo sobre el que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado. De este modo, el reconocimiento directo del derecho a no recibir llamadas no deseadas conlleva la obligación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 los responsables de no realizarlas salvo que acrediten la existencia de algunos de las dos excepciones contempladas en el citado precepto, que, dado su carácter excepcional, deben ser objeto de interpretación restrictiva”. La Circular de la Agencia establece, por tanto, varios detalles importantes: 1. Que la Ley General de Telecomunicaciones tiene preferencia aplicativa sobre la LOPDGDD (aunque ambas se encuentran en consonancia). 2. Que únicamente no se podría haber realizado dicha llamada si la reclamante se hubiera encontrado en el sistema de exclusión publicitaria, circunstancia probada que no ocurría. Además, en el Informe mencionado, la AEPD reconoce que la llamada comercial podía realizarse alegando un interés legítimo del responsable, conforme a lo dispuesto en el artículo 6.1.
  19. f)del RGPD. Lo expuesto puede apreciarse en el informe en los siguientes: “Para la realización de este análisis debe partirse necesariamente de la finalidad perseguida por el legislador con la reforma, que ha implicado un cambio sustancial en el régimen jurídico aplicable a las llamadas no deseadas con fines comerciales, pasando del reconocimiento de un derecho de oposición de los usuarios, lo que implicaba reconocer un interés de los responsables a realizar dichas llamadas en tanto en cuanto no se hubiera ejercido dicha oposición, a reconocer un derecho de los usuarios a no recibir dichas llamadas, lo que conlleva la obligación de los responsables de no realizarlas salvo que concurran algunas de las excepciones contempladas en la norma”. “Como puede observarse, se trata de un cambio sustancial, puesto que se ha pasado de un sistema en el que se presumía la existencia de un interés legítimo del responsable que le facultaba para realizar las llamadas, reconociéndose exclusivamente un derecho de oposición, a un nuevo sistema en el que se reconoce el derecho de los afectados a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que el responsable acredite la existencia de un interés legítimo sobre el que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado”. Como puede apreciarse, es la propia AEPD la que justifica y encuentra como base de legitimación legal para realizar la llamada comercial, la existencia de interés legítimo del responsable. Por tanto, y en función de lo dispuesto en el informe de propuesta de sanción emitido por esta Agencia: “Debe puntualizarse que Infobel es una guía telefónica editada por KAPITAL SA que tiene autorización de la CNMC para elaborar guías telefónicas, pero los responsables tienen que acreditar una base de legitimación para poder tratar estos datos personales, lo cual no sucede en el presente caso”; si se dispone de base de legitimación, siendo la misma un interés legítimo del responsable conforme a lo dispuesto en el artículo 6.1.
  20. f)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 En contestación a lo alegado, esta Agencia Española de Protección de Datos debe insistir en situar el marco legal de aplicación en el momento de la supuesta compra de la base de datos en la que se encontraban los datos de la parte reclamante. La supuesta compra de la base de datos, según manifestación de la parte reclamada fue en el año 2016, siendo de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y la normativa específica que regulaba las guías de servicios de comunicaciones electrónicas, en dicho momento, era la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones y no la mencionada Ley 11/2002, General de Telecomunicaciones. En aplicación de la normativa vigente en aquel momento la parte reclamada debería haber sido informada de su inclusión en la base de datos que disponía NATURGESTY, así como de la finalidad de la misma, y no basar el tratamiento de los datos personales de la parte reclamante en la no oposición a recibir llamadas no deseadas con fines de comunicación comercial, en aplicación de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones. III Obligación incumplida El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En este sentido, debe recordarse que NATURGESTY, es responsable del tratamiento de los datos personales y; por tanto, determina los fines y medios del tratamiento de los datos personales. IV Artículo 6 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 El artículo 6 del RGPD, establece que, “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  21. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  22. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  23. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  24. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  25. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  26. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. En el presente caso, consta que la parte reclamante tras recibir una llamada de teléfono de una empresa, que se identifica como Naturgy, le informan que le corresponde realizar una inspección de gas obligatoria, personándose en su domicilio en fecha 27 de junio de 2022 para llevarla a cabo. NATURGESTY afirma que “… Los datos personales de la reclamante relativos a su nombre completo, dirección y número de teléfono, se han obtenido de la base de datos comprada a la empresa Infobel, cuyos datos fiscales son KAPITAL SA, ***DIRECCIÓN.1. Esta base de datos se compró en el año 2016, facilitando la mencionada empresa, un CD-ROM con un programa instalable que incluía una base de datos con números telefónicos, direcciones y nombres de personas y empresas en España.” Si bien, “… no se dispone de factura justificativa de la compra de este programa porque se destruyó…” Debe puntualizarse que Infobel es una guía telefónica editada por KAPITAL SA que tiene autorización de la CNMC para elaborar guías telefónicas, pero los responsables tienen que acreditar una base de legitimación para poder tratar estos datos personales, lo cual no sucede en el presente caso. Por lo expuesto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a NATURGESTY, por vulneración del artículo 6.1 del RGPD, puesto que el tratamiento de datos llevado a cabo se ha efectuado sin causa legitimadora. V Tipificación de la infracción del artículo 6.1 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 La citada infracción del artículo 6.1 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  27. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  28. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de legitimación establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” VI Sanción por la infracción del artículo 6.1 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: -
  29. b)la intencionalidad o negligencia en la infracción; En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)] Como agravantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16
  30. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. NATURGESTY, en ejercicio de su actividad comercial y de prestación de servicios, debe contar con el consentimiento y legitimación en el tratamiento de los datos personales de sus clientes. En consecuencia y a efectos del cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite fijar una sanción de 10.000 € (DIEZ MIL EUROS). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a NATURGESTYGAS, S.L., con NIF B88390661, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 10.000 euros (DIEZ MIL EUROS). SEGUNDO: NOTIFICAR la presente resolución a NATURGESTYGAS, S.L. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  31. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  32. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.