1/19 Expediente N.º: EXP202308186 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Como consecuencia de reclamación presentada ante la Agencia Española de Protección de Datos contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada), apreciándose indicios de un posible incumplimiento de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos, se iniciaron actuaciones con número de expediente EXP202210932. De acuerdo con lo previsto en el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD en lo sucesivo), se trasladó la reclamación al responsable o al Delegado de Protección de Datos que en su caso hubiere designado, solicitándole que remitiera a esta Agencia la información y documentación que se indicaba. SEGUNDO: En fecha 28 de noviembre de 2022 se recibe contestación de la entidad reclamada, registrada de entrada con los números REGAGE22e00054090973 y REGAGE22e00054091729, en la que indica lo siguiente: “La reclamación ha tenido lugar porque parece ser que la Sra. A.A.A., en distintas fechas, ha recibido llamadas comerciales a nombre de Vodafone, procedentes de los números llamantes (…) ***TELÉFONO.1 (…). Según la información disponible en el Registro de Numeraciones y Operadores de Telecomunicaciones de la Comisión Nacional de los Mercados y la Competencia (CNMC), las numeraciones indicadas previamente pertenecen a los siguientes operadores; (…) ***TELÉFONO.1 a Vodafone ONO; (…). Tras realizar las comprobaciones oportunas, hemos verificado que las líneas telefónicas de la reclamante, ***TELÉFONO.2, ***TELÉFONO.3 y ***TELÉFONO.4, constan en la lista Robinson oficial de ADigital y en la lista Robinson interna de Vodafone. Estas numeraciones, según el registro de la CNMC y a fecha 28 de noviembre de 2022, pertenecen a VODAFONE ENABLER. (…) Hemos comprobado si los números llamantes indicados en el requerimiento de información figuran en nuestra base de datos con los números telefónicos que usan nuestros colaboradores para realizar llamadas de captación. A tal efecto, hemos verificado que no consta en nuestra base de datos de números asociados a nuestros colaboradores que realizan llamadas de captación en nombre de Vodafone. Por ello, no parece posible relacionar la recepción de las llamadas que pone de manifiesto la Sra. A.A.A. en su reclamación con mi representada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 (…) Por otro lado, se ha creado una única base de datos con el listado de números de teléfono que cada colaborador, distribuidor o proveedor dedicado a labores de captación utiliza en el desempeño de estos servicios, con el fin de poder identificar quien es el responsable de dichas llamadas. Es interés de Vodafone asegurar que estas empresas no usan otros números que no sean de Vodafone y que todos se encuentren claramente identificados y vinculados a la entidad que lo usa. (…) Asimismo, actualmente Vodafone ha dejado de trabajar con aquellas entidades que han incumplido reiteradamente las obligaciones contractuales establecidas por Vodafone, así como las disposiciones legales en materia de protección de datos y se encuentra en medio de una selección de aquellos colaboradores que garanticen el pleno cumplimiento de la normativa vigente. TERCERA.- La Agencia solicita cierta información para los casos en los que la llamada ha sido realizada por un tercero. Al no constar los números llamantes indicados por la Sra. A.A.A. en su denuncia en nuestra base de datos de números telefónicos que usan nuestros colaboradores para realizar llamadas de captación, no se considera pertinente la aportación de información. CUARTA.- La Agencia solicita información acerca de la “DECISIÓN ADOPTADA A PROPÓSITO DE LA RECLAMACIÓN”. Se aporta, como Documento número 5, copia de la carta preparada a la Sra. A.A.A. en la que se le informa de las gestiones realizadas por mi representada para solucionar su reclamación. En este sentido, en la carta se informa a la reclamante de que actualmente no constan datos vinculados con su DNI en los sistemas de Vodafone. No obstante, sí que figuran datos vinculados con su DNI en los sistemas de Vodafone Enabler (Lowi), al tener servicios activos con esta marca. Asimismo, se adjunta como Documento número 6 informe interno en el que se confirma la supresión de los datos de la reclamante en los sistemas de Vodafone.” Se admitió a trámite la reclamación con fecha 2 de diciembre 2022. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la citada LOPDGDD. En el marco de las actuaciones de investigación, se remitieron a la parte reclamada tres requerimientos de información, relativos a la reclamación reseñada en el apartado primero, para que, en el plazo de diez días hábiles, presentase ante esta Agencia la información y documentación que en ellos se señalaba. Los requerimientos fueron registrados de salida en fechas 13 de febrero de 2023, 24 de marzo de 2023 y 12 de mayo de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 En concreto, se requirió información hasta en tres ocasiones de lo siguiente: - Confirmación del envío al número ***TELÉFONO.2 de la llamada realizada por la línea ***TELÉFONO.1 el día 16 de junio de 2022 entre las horas 12:00 y 14:00. - Confirmación del envío al número ***TELÉFONO.3 de la llamada realizada por la línea ***TELÉFONO.1 el día 16 de junio de 2022 entre las horas 12:00 y 14:00. - Confirmación del envío al número ***TELÉFONO.4 de la llamada realizada por la línea ***TELÉFONO.1 el día 16 de junio de 2022 entre las horas 12:00 y 14:00. CUARTO: Los requerimientos de información, que se notificaron conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fueron recogidos por la parte reclamada con fechas 22 de febrero de 2023, 29 de marzo de 2023 y 16 de mayo de 2023, como consta en los acuses de recibo que obran en el expediente. QUINTO: A los requerimientos de información enviados a la parte reclamada solicitándole confirmación de la recepción en los números de la reclamante de las llamadas realizadas por la línea ***TELÉFONO.1, ésta se limitó a contestar, con escritos registrados de entrada con fecha 08 de marzo de 2023 y número de registro REGAGE23e00014439154 y con fecha 22 de mayo de 2023 y número de registro REGAGE23e00032372663, que el número llamante pertenece a otra operadora desde mayo de 2021. La parte reclamada no ha dado a esta Agencia Española de Protección de Datos la información requerida. SEXTO: VODAFONE ESPAÑA, S.A.U. forma parte del grupo empresarial VODAFONE GROUP PLC, que cuenta con un volumen de negocio anual de 45.706 millones de euros, de acuerdo con los resultados financieros publicados por la propia entidad en su memoria anual del año fiscal 2023. SÉPTIMO: Con fecha 19 de septiembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). OCTAVO: El citado acuerdo de inicio fue recogido por la parte reclamada con fecha 27de septiembre de 2023, como consta en el acuse de recibo que obra en el expediente. NOVENO: Con fecha 27 de septiembre de 2023 se presentan escritos, registrados de entrada con números REGAGE23e00064771967 y REGAGE23e00065138852, en los que la parte reclamada solicita la ampliación del plazo inicialmente concedido para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 formulación de alegaciones y el acceso al expediente completo del presente procedimiento. Esta Agencia facilitó el acceso al expediente y acordó ampliar el plazo para formular alegaciones hasta un máximo de cinco días, computados a partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones. DÉCIMO: Con fecha 5 de octubre de 2023 se presenta escrito registrado de entrada con número REGAGE23e00067574223, en el que la parte reclamada afirma que no se facilitaron los escritos y demás investigaciones realizadas por esta Agencia respecto de los terceros involucrados en esta investigación y solicita de nuevo acceso completo al expediente. Esta Agencia respondió que el expediente EXP202210932 es independiente del presente procedimiento sancionador y que las actuaciones de investigación de dicho expediente con respecto a terceras partes son ajenas al fundamento del presente procedimiento sancionador, por lo que no han sido incorporadas al mismo, no existiendo documentación adicional a la incluida en el expediente anteriormente remitido. UNDÉCIMO: Con fecha 19 de octubre de 2023 se presentan alegaciones al acuerdo de inicio en escrito registrado de entrada con número REGAGE23e00070808627 en el que la parte reclamada señala que esta Agencia le denegó el acceso a copia del presente expediente completo. Además, en primer lugar, la parte reclamada manifiesta que ha colaborado en todo momento con esta Agencia y que en ningún punto ha tenido la intención de entorpecer la investigación, dice, sino de cumplir todos los requisitos legales que, como operadora de telecomunicaciones, le son exigibles. Así, la parte reclamada dice que la línea llamante ***TELÉFONO.1 y las llamadas ***TELÉFONO.2, ***TELÉFONO.3 y ***TELÉFONO.4 son de su titularidad, según la información disponible en el Registro de Numeraciones y Operadores de Telecomunicaciones de la Comisión Nacional de los Mercados y la Competencia. Sobre la numeración llamante ***TELÉFONO.1, la parte reclamada dice que informó a esta Agencia de que “pertenecía a la revendedora Akra Leuka Consulting, S.L., con CIF B54498688 (en adelante, “Akra Leuka Consulting”). Con esta información suponemos que la Agencia remitió un requerimiento de información a Akra Leuka Consulting, que debió de indicar que el titular final de la línea era la sociedad JESCOM SARL AU. Esta información es inferida de la Resolución de Archivo de 20 de junio de 2023 (en adelante, la “Resolución de Archivo”), ya que la Agencia no ha aportado estas investigaciones como parte del expediente de este procedimiento, a pesar de las solicitudes remitidas por mi representada, limitando el acceso a la información y por ende la capacidad de defensa de Vodafone”. Por tanto, dice la parte reclamada, dicha línea, no era de Vodafone desde el 25 de mayo de 2021, cuando se portó al citado revendedor. Como prueba, la parte reclamada aporta pantallazo de esa entidad revendedora para la portabilidad fija. También aporta captura de la página web del Registro de Operadores de la Comisión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 Nacional de los Mercados y la Competencia donde se observa que Akra Leuka Consulting, S.L. está dado de alta como revendedor. La parte reclamada continúa diciendo que, en la medida en que la numeración era del revendedor Akra Leuka Consulting, S.L., no podía obtener la información sobre las llamadas enviadas por la línea ***TELÉFONO.1 que esta Agencia le requería. En el caso de que el sentido del requerimiento de esta Agencia fuese solicitarle la confirmación de la recepción en la línea de la reclamante la llamada realizada por la línea ***TELÉFONO.1, añade, esa información se referiría a datos de tráfico entrante, información que está protegida especialmente, puntualiza, por la Ley de conservación de datos. En relación con la información de tráfico, la parte reclamada comenta que “para poder acceder al sistema en el que se archiva esta información se necesita de una autorización judicial en virtud de lo establecido en la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones (en adelante, “Ley de Conservación”), en concreto su artículo 1, el deber de cesión de dichos datos de tráfico, así como de localización sobre personas físicas y jurídicas, opera únicamente en caso de realizarse por agentes facultados, y siempre que sean requeridos a través de la correspondiente autorización judicial. Asimismo, el artículo 6.2 de la Ley de Conservación, enumera cuáles son los agentes facultados, en concreto:
- a)“Los miembros de las Fuerzas y Cuerpos de Seguridad, cuando desempeñen funciones de policía judicial, de acuerdo con lo previsto en el artículo 547 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial.
- b)Los funcionarios de la Dirección Adjunta de Vigilancia Aduanera, en el desarrollo de sus competencias como policía judicial, de acuerdo con el apartado 1 del artículo 283 de la Ley de Enjuiciamiento Criminal.
- c)El personal del Centro Nacional de Inteligencia en el curso de las investigaciones de seguridad sobre personas o entidades, de acuerdo con lo previsto en la Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, y en la Ley Orgánica 2/2002, de 6 de mayo, reguladora del control judicial previo del Centro Nacional de Inteligencia.” En este sentido, este razonamiento jurídico ha sido defendido por mi representada en otras ocasiones en lo que respecta a los datos de tráfico, como, por ejemplo, en el requerimiento con número de referencia EXP202211234, en el que se alegaba ante la Agencia lo siguiente: Vodafone cuenta con una herramienta para gestionar, única y exclusivamente, las solicitudes de información recibidas mediante requerimientos judiciales o policiales que impliquen la información de tráfico. Solamente a través de estos mecanismos Vodafone está autorizado para poder acceder a esta información. Se debe de tener en cuenta que el uso de este tipo de herramientas es sumamente sensible, y únicamente se puede emplear en casos muy excepcionales, siempre y cuando venga acompañado de un requerimiento de información judicial o policial previo al acceso a la información solicitada. […] Por todo ello, y como se manifestó en las anteriores alegaciones por mi representada, sería de aplicación la exclusión del deber de colaboración por parte de Vodafone, recogida en el artículo 52.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), que reserva la cesión de los datos únicamente para el cumplimiento de las obligaciones previstas en la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, y con previa autorización judicial solicitada por alguno de los agentes facultados. […] En este sentido, mi representada solicita a esta Agencia que, en la medida de lo posible, justifique la razón por la cual considera que no aplica la excepción alegada. Esta justificación será necesaria en la medida en que la herramienta empleada para obtener la información de tráfico tiene, debido a la tipología de información que almacena, una serie de medidas de seguridad, control y monitorización sumamente elevadas. Tanto el sistema como las medidas implementadas son auditadas con frecuencia y durante dichas auditorías se puede solicitar la razón de determinadas consultas, cuyos motivos están tasados. Por lo tanto, en términos de estricta defensa, mi representada tendría la necesidad de aportar una justificación legal de la entidad solicitante para haber accedido al sistema, tratado datos de tráfico y comunicado dicha información.” En definitiva, la parte reclamada concluye que no podía facilitar los datos de tráfico solicitados sin contar con la debida autorización judicial. Asimismo, añade, la responsabilidad sobre las llamadas que realicen los clientes del revendedor es en todo caso de Akra Leuka Consulting, S.L. La parte reclamada reitera que siempre ha buscado la colaboración con esta Agencia y que en las ocasiones en las que se le ha solicitado información de llamadas realizadas por sus líneas, cuya información se puede confirmar revisando la facturación y sin acceder a datos de tráfico, ha remitido dicha información a la Agencia, como, por ejemplo, dice, en el requerimiento con número de referencia EXP202102025, cuyas alegaciones tienen como número de registro de entrada el REGAGE22e00016210068. En segundo lugar, la parte reclamada argumenta que en el caso de que hubiese aportado la información requerida, contraviniendo las obligaciones de la normativa de conservación de datos, el resultado de la investigación de la Agencia no hubiese variado, pues, dice, los titulares de las numeraciones que ejecutaron las llamadas objeto de la investigación no han contestado los requerimientos de esta Agencia. En tercer lugar, la parte reclamada señala, subsidiariamente, y para el caso de que esta Agencia entendiera que ha infringido el artículo 58.1 del RGPD, que no puede apreciarse la existencia de culpabilidad en las infracciones imputadas y, en consecuencia, dice, no puede imponérsele sanción alguna, según el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. Además, continúa, siguiendo con la interpretación realizada por el Tribunal Supremo, para la exculpación no bastará la invocación de la ausencia de culpa, sino que será preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia (entre otras, la Sentencia del Tribunal Supremo de 23 de enero de 1998 [RJ 1998\601]). En este sentido, la parte reclamada afirma haber actuado en todo momento en colaboración con esta Agencia cumpliendo con la diligencia debida que le es exigible, no pudiendo imputársele, dice, culpabilidad alguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 En cuarto lugar, la parte reclamada indica, subsidiariamente, y para el caso de que esta Agencia entienda que ha existido infracción y deba imponérsele una sanción, que la misma deberá modularse a la baja atendiendo a circunstancias atenuantes. Así, reitera, actuó en cumplimiento de la Ley de Conservación. Además, agrega, su grado de cooperación durante las actuaciones previas de inspección fue alto, como prueban todas las contestaciones realizadas a los requerimientos de información y la información proporcionada que llevó, añade, a que esta Agencia haya podido llegar a identificar a los responsables de la llamadas, habiendo finalizado la investigación, asevera, por motivos ajenos a su participación de en la investigación. Finalmente, la parte reclamada dice que no ha obtenido ningún tipo de beneficio o evitado pérdidas a raíz de la supuesta falta de colaboración. En virtud de todo lo anterior, la parte reclamada solicita el archivo de las presentes actuaciones por no haberse cometido, dice, ninguna de las infracciones imputadas y, subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima. DUODÉCIMO: Con fecha 11 de enero de 2024 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a la parte reclamada, por una infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 200.000,00 €. Esta propuesta de resolución fue notificada fehacientemente a la parte reclamada con fecha 17 de enero de 2024, como consta en el acuse de recibo que obra en el expediente. DECIMOTERCERO: Con fechas 18, 23 y 26 de enero de 2024, se registran de entrada, con números REGAGE24e00004378839, REGAGE24e00005285077 y REGAGE24e00006323677, escritos en los que la parte reclamada solicita la ampliación del plazo inicialmente concedido en el tiempo máximo permitido por la legislación vigente, al amparo del artículo 32 de la LPACAP. Esta Agencia acordó ampliar el plazo para formular alegaciones hasta un máximo de cinco días, computados a partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones. DECIMOCUARTO: Con fecha 7 de febrero de 2024 y número de registro de entrada REGAGE24e00009843778, la parte reclamada presenta escrito de alegaciones a la Propuesta de resolución, en el que manifiesta, “sin perjuicio de que nos remitamos a lo expuesto en las alegaciones presentadas ante el Acuerdo de Inicio”, lo siguiente. En la Alegación Primera, la parte reclamada vuelve a exponer que no ha infringido el artículo 58.1 del RGPD, que ha colaborado en todo momento con la Agencia y que en ningún punto, dice, ha tenido la intención de entorpecer la investigación, sino de cumplir todos los requisitos legales que, como operadora de telecomunicaciones, le son exigibles. En lo que respecta al deber de colaboración, la parte reclamada no está de acuerdo con la afirmación de esta Agencia de que en el presente caso no resulta de aplicación la exclusión al deber de colaboración impuesto por el artículo 52 de la LOPDGDD, puesto que no puede aceptarse que la mera confirmación de que se ha realizado una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 llamada específica entre dos números pueda considerarse como datos de tráfico tratados “exclusivamente” para dar cumplimiento a las obligaciones previstas en la ley 25/2007. Al contrario, la parte reclamada entiende que “esta información se encuentra protegida para ofrecérsela única y exclusivamente a los agentes facultados mediante las solicitudes de información recibidas a través de requerimientos judiciales o policiales que impliquen la información de tráfico. En consecuencia, Vodafone no podría facilitar los datos solicitados por la Agencia sin, como resultado, acceder a dichos datos de tráfico. Asimismo, y dicho sea en términos de estricta defensa, la responsabilidad sobre las llamadas que realicen los clientes del revendedor es en todo caso de Akra Leuka Consulting, pudiendo este confirmar dicha información, no de Vodafone. Por otro lado, la Agencia, en la Propuesta de Resolución, indica que “[…] el artículo 52 de la LOPDGDD dispone expresamente dentro del deber de colaboración que, en el supuesto de que la conducta se hubiera realizado mediante la utilización de un servicio de telefonía fija o móvil, debe suministrarse información sobre “3.º La mera confirmación de que se ha realizado una llamada específica entre dos números en una determinada fecha y hora”. […] no se le estaba pidiendo la cesión de datos concretos, sino la mera confirmación”. En este sentido, mi representada no niega la validez de este artículo, sino que lo analiza de la mano de la Ley 25/2007, de 18 de octubre, de conservación de datos (en adelante, la “Ley de Conservación de Datos”). Como resultado, en ciertos casos, en los que no implique el acceso a datos de tráfico, se ha facilitado a la Agencia confirmación de realización de llamadas, como, por ejemplo, y tal y como se indicó en las alegaciones al Acuerdo de Inicio, en el requerimiento con número de referencia EXP202102025, cuyas alegaciones tienen como número de registro de entrada el REGAGE22e00016210068. En definitiva, Vodafone no ha infringido el artículo 58.1 del RGPD y ha ofrecido a la Agencia la información disponible en sus sistemas y que está habilitada a comunicar en cumplimiento de las múltiples obligaciones legales que le son exigibles como operador de comunicaciones.” En la Alegación Segunda, la parte reclamada vuelve a argumentar que, en el caso de que hubiese aportado la información requerida, contraviniendo, dice, las obligaciones de la normativa de conservación de datos, el resultado de la investigación de no hubiese variado, pues los titulares de las numeraciones que ejecutaron las llamadas objeto de la investigación no han contestado los requerimientos de esta Agencia. En este sentido, la parte reclamada apunta que “no se ha querido cuestionar la capacidad de la Agencia de determinar la necesidad de la información requerida, sino poner en valor que la gravedad de la potencial infracción, en el caso de que se considere como tal, se tendría que ver reducida, pues la Agencia, incluso aportando mi representada la información requerida, no hubiese podido confirmar el motivo de las mismas, no pudiendo concluir el motivo original de este proceso, que es la realización de comunicaciones comerciales a la línea de la Sra. A.A.A., ni sancionar o apercibir a los responsables de las mismas al encontrarse fuera del ámbito de competencia territorial de la AEPD”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 En la Alegación Tercera, la parte reclamada afirma que ha implementado sistemas de monitorización y auditoría para controlar la actividad no autorizada, ilegal o fraudulenta en lo que respecta a llamadas comerciales. Según la parte reclamada, “este procedimiento trae causa en una serie de llamadas comerciales que reclama la Sra. A.A.A., llamadas que no estaban autorizadas por parte de Vodafone y que se ejecutan de forma ilegitima o fraudulenta. En este sentido, mi representada ha implementado numerosos controles para la monitorización y auditoría de estas prácticas. Entre otras medidas, Vodafone ha implementado el sistema de enrutamiento, las auditorías sobre las ventas, etc., medidas que han sido puestas en conocimiento de esta Agencia en el transcurso de otros procedimientos. No obstante, en este caso se quiere destacar lo relativo al “Código Deontológico en las Operaciones de Contacto Comercial” (en adelante, el “Código de Conducta”), firmado por las principales operadoras del mercado español el 19 de julio de 2021. En este Código de Conducta se establece que los firmantes acuerdan la colaboración mutua para la investigación y adoptación de medidas correspondientes en los casos en los que se identifique una práctica irregular, como es el caso analizado en este procedimiento. Esta medida demuestra la diligencia implementada por mi representada para controlar, monitorizar e implementar las medidas que sean necesarias para minimizar estas prácticas.” En la Alegación Cuarta, la parte reclamada manifiesta nuevamente que, “Subsidiariamente, y para el caso de que la Agencia entendiera que Vodafone ha infringido el artículo 58.1 del RGPD, no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna.” Contra la desestimación por parte de esta Agencia de la falta de culpabilidad al considerar que la parte reclamada no contestó de forma adecuada a los requerimientos efectuados, quedando de esta forma en entredicho la diligencia empleada, la parte reclamada alega que “sí que contestó de forma adecuada a los requerimientos de información, cumpliendo la normativa que considera aplicable, en concreto, la Ley de Conservación de Datos. Asimismo, ha actuado con la diligencia debida, no sólo cumpliendo con la normativa aplicable, pero también ha implementado medidas para controlar las llamadas no autorizadas ejecutadas por terceros ajenos a mi representada, como, por ejemplo, a través de los procesos de colaboración del Código de Conducta. En consecuencia, Vodafone ha actuado en todo momento cumpliendo con la diligencia debida que le es exigible, no pudiendo imputársele culpabilidad alguna.” En la Alegación Quinta, la parte reclamada apunta que, “Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes.” Sobre la agravante aplicada de negligencia en la infracción, la parte reclamada se reitera en que actuó en cumplimiento de la Ley de Conservación. Así, dice que “no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 podría facilitar los datos de tráfico solicitados, sin contar con la debida autorización judicial o policial. No debe entenderse que la motivación de Vodafone en la denegación de dicha información responde a un ánimo doloso e intencionado con el fin de dificultar la investigación de la Agencia pues Vodafone ha colaborado en todo momento en esta investigación contestando a toda la información posible y, además, se debe tener en cuenta que la información que se reclama a mi representada no cambiaría los resultados de la investigación, pues, tal y como indica la AEPD en su resolución de archivo, no clarificaría si el motivo de las llamadas fue comercial para poder concluir infracción de la LGTel o RGPD.” La parte reclamada también insiste en que esta Agencia no aplicó a la hora de evaluar la sanción “El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción”. En este sentido, reitera que su grado de cooperación durante las actuaciones previas de inspección fue alto, como prueban todas las contestaciones realizadas a los requerimientos de información y la información proporcionada que llevó, dice, a que esta Agencia haya podido llegar a identificar a los responsables de la llamadas, habiendo finalizado la investigación, afirma, por motivos ajenos a su participación de en la investigación. Además, la parte reclamada dice que, “con el fin de poner remedio a este tipo de infracciones mi representada ha aplicado medidas de monitorización y auditoría para controlar la actividad no autorizada, ilegal o fraudulenta en lo que respecta a llamadas comerciales.” En virtud de todo lo anterior, la parte reclamada solicita que se acuerde el sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas y que, subsidiariamente, en caso de imponerse alguna sanción, se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas y la adecuada delimitación sobre la responsabilidad en el tratamiento de datos personales de los afectados intervinientes. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Los requerimientos de información indicados en los antecedentes tercero y cuarto fueron notificados a la parte reclamada con arreglo a lo dispuesto en la LPACAP y recogidos según consta acreditado en los acuses de recibo que obran en el expediente. SEGUNDO: A los requerimientos solicitándole confirmación de la recepción en los números de la reclamante de las llamadas realizadas por la línea ***TELÉFONO.1, la parte reclamada se limitó a contestar que el número llamante pertenecía a otra operadora desde mayo de 2021, a pesar de tener la información solicitada al ser VODAFONE ESPAÑA, S.A.U. la entidad que opera los números de la reclamante a través de una de sus marcas (LOWI). TERCERO: La notificación del acuerdo de inicio del presente procedimiento sancionador fue recogida por la parte reclamada con fecha 27 de septiembre de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 CUARTO: La parte reclamada ha presentado alegaciones al acuerdo de inicio de este procedimiento sancionador descritas en el antecedente undécimo. QUINTO: La notificación de la propuesta de resolución del presente procedimiento sancionador fue recogida por la parte reclamada con fecha 17 de enero de 2024. SEXTO: La parte reclamada ha presentado alegaciones a la propuesta de resolución de este procedimiento sancionador recogidas en el antecedente decimocuarto. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la parte reclamada se debe señalar lo siguiente. En cuanto a la afirmación de que esta Agencia denegó a la parte reclamada el acceso al presente expediente completo y ello limitó su capacidad de defensa, como ya se indicó, el expediente del presente procedimiento fue remitido completo y en forma. Los escritos y demás investigaciones realizadas respecto de los terceros involucrados en la investigación que la parte reclamada solicitaba son ajenos al fundamento del presente procedimiento sancionador y forman parte de otro expediente, el número EXP202210932, independiente de éste. Como se desprende de las alegaciones presentadas, la parte reclamada era conocedora de la información que se le requirió y cuya falta de aportación es el origen del presente procedimiento sancionador, y ha tenido ocasión de presentar cuantas alegaciones y pruebas ha considerado convenientes para su defensa, no produciéndose por tanto la referida indefensión. Sobre la afirmación de la parte reclamada de que, en el caso de que hubiese aportado la información requerida, el resultado de la investigación de la Agencia no hubiese variado, cabe señalar que el tipo infractor se completa con la falta de respuesta a la información requerida y no se condiciona a las eventuales consecuencias de su falta de observación, y que corresponde a esta Agencia valorar la necesidad para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 investigación de la información requerida en el momento en que se realiza. Lo contrario supondría aceptar que no es posible exigir el cumplimiento de la obligación legal de atender los requerimientos de información de esta Agencia en tanto no se finalicen las actuaciones y se determine cuál es su resultado. Respecto a la argumentación de la parte reclamada de que, en aplicación de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, no podía facilitar a esta Agencia los datos solicitados sin contar con la debida autorización judicial, se señala que en el presente caso no resulta de aplicación la referida exclusión al deber de colaboración impuesto por el artículo 52 de la LOPDGDD, puesto que no puede aceptarse que la mera confirmación de que se ha realizado una llamada específica entre dos números pueda considerarse como datos de tráfico tratados “exclusivamente” para dar cumplimiento a las obligaciones previstas en la ley 25/2007. En este sentido, el artículo 52 de la LOPDGDD dispone expresamente dentro del deber de colaboración que, en el supuesto de que la conducta se hubiera realizado mediante la utilización de un servicio de telefonía fija o móvil, debe suministrarse información sobre “3.º La mera confirmación de que se ha realizado una llamada específica entre dos números en una determinada fecha y hora”. En el supuesto ahora controvertido no se le estaba pidiendo la cesión de datos concretos, sino la mera confirmación de una información que ya tenía la AEPD y que transmitió a VDF a los efectos de su confirmación, pues la AEPD era conocedora del número llamante, así como de la hora y fecha concreta en que dicha llamada se produjo al número del reclamante. Y todo ello amén de que esta confirmación de información se encuentra expresamente prevista y determinada por el legislador dentro del deber de colaboración del mencionado artículo 52 de la LOPDGDD. En cuanto a que no puede apreciarse la existencia de culpabilidad, se recuerda que, ciertamente, el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011, Rec. 258/2009, “(…) desde su sentencia 76/1990, de 26 de abril, el Tribunal Constitucional viene declarando que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia 164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del Tribunal Supremo de 20 de noviembre de 2011 (recurso de casación en interés de ley 48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 “(...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma.” A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005, y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por consiguiente, se desestima la falta de culpabilidad ya que la parte reclamada no contestó de forma adecuada a los requerimientos efectuados por esta Agencia, quedando de esta forma en entredicho la diligencia empleada. Finalmente, la ausencia de beneficios no puede considerarse un atenuante de acuerdo con la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, que indica: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del art. 76.2.
- c)de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su aplicación como atenuante.” Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto en el artículo 83.2.
- k)del RGPD, según el cual las multas administrativas se impondrán teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios. Si a esto añadimos que las sanciones deberán ser “en cada caso individual” efectivas, proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 admitir la ausencia de beneficios como una atenuante, no solo es contrario a los presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a lo establecido en el artículo 83.2.
- k)del RGPD y a los principios señalados. Así, valorar la ausencia de beneficios como una atenuante anularía el efecto disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que inciden efectivamente en su cuantificación, reportando al responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. En todo caso, las multas administrativas establecidas en el RGPD, conforme a lo establecido en su artículo 83.2, se imponen en función de las circunstancias de cada caso individual y no se estima que la ausencia de beneficios sea un factor de graduación adecuado y determinante para valorar la gravedad de la conducta infractora. Solo en el caso de que esta ausencia de beneficios sea relevante para determinar el grado de antijuricidad y de culpabilidad presentes en la concreta actuación infractora podrá considerarse como una atenuante, en aplicación del artículo 83.2.
- k)del RGPD, que se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso”. Por todo ello, no cabe acceder a la solicitud de la parte reclamada respecto al archivo del presente expediente sancionador, así como tampoco a la minoración de la sanción inicialmente propuesta en virtud de las atenuantes señaladas. III Alegaciones a la Propuesta de resolución En respuesta a las alegaciones a la Propuesta de resolución del presente expediente presentadas por la parte reclamada se debe señalar lo siguiente. Las alegaciones presentadas contra la Propuesta de resolución de este expediente reproducen en buena parte los mismos argumentos esgrimidos contra el Acuerdo de inicio y que, por tanto, ya han sido contestados por esta Agencia en el anterior fundamento de derecho, por lo que, en su caso, se harán las correspondientes remisiones al mismo. Respecto a la Alegación Primera, en cuanto al desacuerdo mostrado por la parte reclamada respecto a la afirmación de esta Agencia de que en el presente caso no resulta de aplicación la exclusión al deber de colaboración impuesto por el artículo 52 de la LOPDGDD, se remite a lo señalado en el fundamento de derecho anterior, a lo que es pertinente añadir lo siguiente. Cuando se le formuló el requerimiento en el marco de la investigación, la parte reclamada motivó su falta de respuesta a la información solicitada en que dicha línea pertenecía desde mayo de 2021 a otra operadora. Así, en aquel momento, la parte reclamada no argumentó de contrario, ni dijo en su respuesta que no podía dar la información en atención a la Ley 25/2007, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 argumentación que realiza en el presente procedimiento sancionador. Es decir, cuando la vinculación a sus propios actos le es desfavorable, al abrirse un procedimiento sancionador. Si realmente el motivo por el que según la parte reclamada no podía dar la información se debe a lo referente a la Ley 25/2007, no resulta congruente que diera otra respuesta distinta, que no respondía a lo preguntado en el requerimiento. Todo ello pone de manifiesto falta de voluntad de colaboración para proporcionar la mera confirmación de la existencia de la llamada. Con relación a la Alegación Segunda, en respuesta a la argumentación de la parte reclamada de que, en el caso de que hubiese aportado la información requerida, el resultado de la investigación de no hubiese variado, por lo que la gravedad de la potencial infracción, dice, en el caso de que se considere como tal, se tendría que ver reducida, con respecto a lo ya explicado en el fundamento de derecho anterior, cabe incidir en que el motivo de este procedimiento sancionador no es la realización de comunicaciones comerciales a la línea de la Sra. A.A.A.. En concreto, este procedimiento se inicia por la presunta infracción del artículo 58.1 del RGPD, tipificada en el artículo 83.5 del RGPD, por no proporcionarse la información requerida para el ejercicio de las funciones de esta Agencia. Por tanto, como ya se indicó, el tipo infractor se completa con la falta de respuesta a la información requerida y no se condiciona a las eventuales consecuencias de su falta de observación. Por lo que se refiere a la Alegación Tercera, el hecho de que la parte reclamada hubiera implementado sistemas de monitorización y auditoría para controlar la actividad no autorizada, ilegal o fraudulenta en lo que respecta a llamadas comerciales, así como el que haya suscrito el Código Deontológico en las Operaciones de Contacto Comercial, no tiene relación con la infracción que en este procedimiento se está sustanciando, que no es la realización de llamadas comerciales, sino el no facilitar acceso a la información requerida en incumplimiento del artículo 58.1 del RGPD, por lo que no puede ser tenido en cuenta como atenuante. Sobre la Alegación Cuarta, en cuanto a la opinión de la parte reclamada de que no puede apreciarse la existencia de culpabilidad puesto que sí que contestó, dice, de forma adecuada a los requerimientos de información, cumpliendo la normativa que considera aplicable, en concreto, la Ley de Conservación de Datos, cabe la remisión a lo ya expuesto en el fundamento de derecho anterior. En cuanto a la Alegación Quinta, sobre las circunstancias agravantes y atenuantes referidas por la parte reclamada, se indica lo siguiente. Respecto a la agravante aplicada de negligencia en la infracción, se remite a lo señalado en el fundamento de derecho anterior. En relación a que esta Agencia no aplicara a la hora de evaluar la sanción “El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción”, a lo alegado al Acuerdo de inicio, la parte reclamada añade que, “con el fin de poner remedio a este tipo de infracciones mi representada ha aplicado medidas de monitorización y auditoría para controlar la actividad no autorizada, ilegal o fraudulenta en lo que respecta a llamadas comerciales.” Al respecto, se reitera que la infracción por la que se instruye este procedimiento, como se señala claramente en los fundamentos dedicados a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 obligación incumplida, tipificación y sanción, es la de no proporcionar el acceso a la información requerida y no la realización de llamadas comerciales. Por tanto, las citadas medidas no guardan relación con la posible mitigación de los efectos de la infracción. A ello se debe añadir que no puede valorarse como posible atenuante una cooperación consistente en aplicar las medidas necesarias para controlar una actividad ilícita, puesto que esto es un deber impuesto al responsable del tratamiento, si cabe más acentuado aún en el marco del principio de responsabilidad proactiva que ha desarrollado el RGPD. Por todo lo expuesto, no cabe acceder a la solicitud de la parte reclamada respecto al archivo del presente expediente sancionador, así como tampoco a la minoración de la sanción inicialmente propuesta en virtud de las atenuantes señaladas. IV Obligación incumplida A tenor de los hechos expuestos, se considera que la parte reclamada no ha procurado a la Agencia Española de Protección de Datos la información que le requirió. La entidad reclamada no contestó a los requerimientos efectuados por esta Agencia con el fin de que confirmara la recepción en los números de la reclamante de las llamadas realizadas, limitándose a contestar que el número llamante pertenecía a otra operadora, en vez de responder a lo cuestionado que era si se habían recibido las llamadas o no, información que debe ser conocida al ser VODAFONE ESPAÑA, S.A.U. la entidad que opera los números de la reclamante a través de una de sus marcas (LOWI). Con la señalada conducta de la parte reclamada, la potestad de investigación que el artículo 58.1 del RGPD confiere a las autoridades de control, en este caso, la AEPD, se ha visto obstaculizada. Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 58.1 del RGPD, que dispone que cada autoridad de control dispondrá, entre sus poderes de investigación: “
- a)ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones;
- b)llevar a cabo investigaciones en forma de auditorías de protección de datos;
- c)llevar a cabo una revisión de las certificaciones expedidas en virtud del artículo 42, apartado 7;
- d)notificar al responsable o al encargado del tratamiento las presuntas infracciones del presente Reglamento;
- e)obtener del responsable y del encargado del tratamiento el acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones;
- f)obtener el acceso a todos los locales del responsable y del encargado del tratamiento, incluidos cualesquiera equipos y medios de tratamiento de datos, de conformidad con el Derecho procesal de la Unión o de los Estados miembros.” V C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 Tipificación y calificación de la infracción Los hechos expuestos se estiman constitutivos de una infracción, imputable a la parte reclamada. Esta infracción se tipifica en el artículo 83.5.
- e)del RGPD, que considera como tal: “no facilitar acceso en incumplimiento del artículo 58, apartado 1.” En el mismo artículo se establece que esta infracción puede ser sancionada con multa de veinte millones de euros (20.000.000 €) como máximo o, tratándose de una empresa, de una cuantía equivalente al cuatro por ciento (4%) como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.” VI Sanción imputada La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En consecuencia, se deberá graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con lo dispuesto en el artículo 76 de la LOPDGDD, respecto al apartado
- k)del citado artículo 83.2 RGPD. A tenor de los hechos expuestos, la sanción que correspondería imponer es de multa administrativa por un importe de 200.000,00 euros, por la supuesta infracción del artículo 58.1 del RGPD, tipificada en el artículo 83.5 de dicha norma. Se aprecia que no resulta de aplicación ningún atenuante y se han considerado como agravantes los siguientes hechos: - Art. 83.2
- b)RGPD: la intencionalidad o negligencia en la infracción. La entidad reclamada no proporcionó la información requerida en los requerimientos de esta Agencia, aduciendo una causa que no justifica la negativa a proporcionarla. La confirmación de la recepción de las llamadas es un hecho que debe ser conocido por la reclamada al ser VODAFONE ENABLER (LOWI) operadora de los números de la reclamante. La orden para proporcionar la información fue reiterada sin que se respondiera en ninguna de las dos ocasiones a la cuestión planteada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 200.000,00 euros (DOSCIENTOS MIL euros). SEGUNDO: ORDENAR a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, que, de acuerdo con el poder de investigación dispuesto en el artículo 58.1.
- a)del RGPD, se facilite, en el plazo de diez días hábiles desde que la presente resolución sea firme y ejecutiva, la información requerida en los requerimientos realizados en el marco de las actuaciones con número de expediente EXP202210932 y a los que se ha hecho referencia en los antecedentes de esta resolución. Se advierte que no atender los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. TERCERO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-00000000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es