PS-00339-2023

1/35 Expediente N.º: EXP202309301 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Como consecuencia de reclamación presentada ante la Agencia Española de Protección de Datos, apreciándose indicios de un posible incumplimiento de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos, se iniciaron actuaciones con número de expediente EXP202205067. Se admitió a trámite la reclamación con fecha 13 de julio de 2022. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la citada Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD en lo sucesivo). En el marco de las actuaciones de investigación, se remitió a TELEFÓNICA DE ESPAÑA, S.A.U. (en adelante, TELEFÓNICA) con NIF A82018474 un requerimiento de información, relativo a la reclamación indicada en el apartado primero, para que en el plazo de diez días hábiles, presentase ante esta Agencia la información y documentación que en él se señalaban. El requerimiento, registrado de salida en fecha 24 de agosto de 2022, se notificó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y fue recogido por TELEFÓNICA con fecha 29 de agosto de 2022, como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 1 de septiembre de 2022 y número de registro de entrada REGAGE22e00037680661, TELEFÓNICA solicita ampliación de plazo, que se le concede. CUARTO: Con fecha 12 de septiembre de 2022 y número de registro de entrada REGAGE22e00039606327, TELEFÓNICA presenta escrito en el que proporciona información sobre los contratos mantenidos con la parte reclamante pero, respecto a información solicitada referente a la empresa SERVIGUIT SERVICIOS 1970, S.L. contesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/35 “Esta parte entiende que, de conformidad con normativa aplicable, al tratarse de una persona jurídica que se encontraría fuera del ámbito de aplicación de la legislación de protección de datos, no se aporta la información requerida.” QUINTO: Con fecha 15 de septiembre y número REGAGE22s00040312444, se registra de salida un nuevo requerimiento de información para que TELEFÓNICA en el plazo de quince días hábiles, presentase ante esta Agencia la información y documentación que en él se señalaban. El requerimiento se notificó conforme a las normas establecidas en la LPACAP y fue recogido por TELEFÓNICA con fecha 19 de septiembre de 2022, como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 10 de octubre de 2022 y número de registro de entrada REGAGE22e00045105355, TELEFÓNICA presenta escrito en el que proporciona información solicitada acerca de la persona física requerida pero, respecto al resto de información solicitada contesta de nuevo: “Esta parte entiende que, de conformidad con normativa aplicable, al tratarse de una persona jurídica que se encontraría fuera del ámbito de aplicación de la legislación de protección de datos, no se aporta la información requerida.” SÉPTIMO: Con fecha 18 de octubre de 2022 y número REGAGE22s00046478505, se registra de salida otro requerimiento de información para que en el plazo de cinco días hábiles TELEFÓNICA aportara la autorización firmada de la parte reclamante para la domiciliación de recibos bancarios en su número de cuenta. El requerimiento se notificó conforme a las normas establecidas en la LPACAP y fue recogido por TELEFÓNICA con fecha 24 de octubre de 2022, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 31 de octubre de 2022 y número de registro de entrada REGAGE22e00048909268, TELEFÓNICA presenta escrito en el que, al requerimiento efectuado sobre la autorización firmada del reclamante para la domiciliación de recibos bancarios en su número de cuenta, una vez más contesta con el siguiente texto: “Esta parte entiende que, de conformidad con normativa aplicable, al tratarse de una persona jurídica que se encontraría fuera del ámbito de aplicación de la legislación de protección de datos, no se aporta la información requerida.” NOVENO: Con fecha 11 de mayo de 2023 y número REGAGE23s00030148311, se registra de salida otro requerimiento de información para que en el plazo de cinco días hábiles TELEFÓNICA proporcione información de si SERVIGUIT SERVICIOS 1970, S.L. aportó el número de cuenta perteneciente a la parte reclamante para domiciliar los pagos de su línea telefónica, en el momento de dar el alta o en cualquier otro posterior. El requerimiento se notificó conforme a las normas establecidas en la LPACAP y fue recogido por TELEFÓNICA con fecha 16 de mayo de 2023, como consta en el acuse de recibo que obra en el expediente. DÉCIMO: Con fecha 23 de mayo de 2023 y número de registro de entrada REGAGE23e00032672171, TELEFÓNICA presenta escrito en el que indica que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/35 “Una vez revisados nuestros sistemas, la empresa SERVIGUIT SERVICIOS 1970, S.L. tuvo asociada la cuenta bancaria XXXX XXXX XX XXXXXXXXXX para el domicilio de sus recibos de Telefónica entre la fecha de alta en el servicio, el 19 de octubre de 2021 y el 10 de febrero de 2022, momento en el que la modificó por una nueva cuenta bancaria.” UNDÉCIMO: Con fecha 24 de mayo de 2023 y número REGAGE23s00033015963, se registra de salida otro requerimiento de información para que en el plazo de cinco días hábiles TELEFÓNICA confirme dos cuestiones: Que SERVIGUIT SERVICIOS 1970, S.L. solicitó el alta del servicio. Que SERVIGUIT SERVICIOS 1970, S.L. aportó el número de cuenta perteneciente a la parte reclamante para domiciliar los pagos de su línea telefónica. El requerimiento se notificó conforme a las normas establecidas en la LPACAP y fue recogido por TELEFÓNICA con fecha 29 de mayo de 2023, como consta en el acuse de recibo que obra en el expediente. Ante la ausencia de respuesta una vez superado el plazo legalmente establecido, se reitera el requerimiento con fecha 7 de junio de 2023 y registro de salida número REGAGE23s00036562018. El requerimiento se notificó conforme a las normas establecidas en la LPACAP y fue recogido por TELEFÓNICA con fecha 12 de junio de 2023, como consta en el acuse de recibo que obra en el expediente. DUODÉCIMO: Con fecha 19 de junio de 2023 y número de registro de entrada REGAGE23e00039619204, TELEFÓNICA presenta escrito en el que vuelve a señalar que SERVIGUIT SERVICIOS 1970, S.L. solicitó el alta del servicio y, con respecto a la segunda cuestión, se limita a contestar que tuvo asociada la cuenta bancaria perteneciente a la parte reclamante para el domicilio de sus recibos de Telefónica entre la fecha de alta en el servicio, el 19 de octubre de 2021 y el 10 de febrero de 2022, momento en el que la modificó por una nueva cuenta bancaria. DECIMOTERCERO: Respecto a la información requerida, TELEFÓNICA no ha confirmado si SERVIGUIT SERVICIOS 1970, S.L. aportó o no el número de cuenta perteneciente a la parte reclamante para domiciliar los pagos de su línea telefónica. DECIMOCUARTO: TELEFÓNICA DE ESPAÑA, S.A.U. forma parte del grupo TELEFÓNICA, que cuenta con un volumen de negocio global anual de 39.993 millones de euros, de acuerdo con los resultados financieros publicados por la propia entidad en su memoria anual del año fiscal 2022. DECIMOQUINTO: Con fecha 27 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TELEFÓNICA, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). DECIMOSEXTO: El citado acuerdo de inicio fue recogido por TELEFÓNICA con fecha 31 de julio de 2023, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/35 DECIMOSÉPTIMO: Con fecha 2 de agosto de 2023 se registra de entrada, con número REGAGE23e00052393299, escrito en el que TELEFÓNICA solicita ampliación del plazo inicialmente concedido para la formulación de alegaciones. Esta Agencia acordó ampliar el plazo para formular alegaciones hasta un máximo de cinco días, computados a partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones. DECIMOCTAVO: Con fecha 22 de agosto de 2023 y número de registro de entrada REGAGE23e00056387234, TELEFÓNICA presenta escrito de alegaciones en el que manifiesta, en primer lugar, su total disconformidad con la incoación del presente expediente sancionador y con lo establecido tanto en los Hechos como en los Fundamentos de Derecho que se recogen en el Acuerdo de inicio. En concreto, TELEFÓNICA afirma que, si bien los referidos en los Hechos Segundo a Octavo eran requerimientos de información que se fundamentaban en las facultades de investigación otorgadas a la Agencia en virtud del art. 58 del RGPD, en los mencionados en los Hechos Noveno a Duodécimo, se solicitaba su “colaboración”, y así fue indicado por la Agencia en los citados requerimientos, al indicar expresamente que “se solicita colaboración por su parte con el objeto de confirmar la intervención de la empresa SERVIGUIT SERVICIOS 1970, S.L.”. En cuanto a la afirmación del Hecho Decimotercero de que TELEFÓNICA no ha confirmado si SERVIGUIT SERVICIOS 1970, S.L. aportó o no el número de cuenta perteneciente a la parte reclamante para domiciliar los pagos de su línea telefónica, TELEFÓNICA dice que hasta en tres ocasiones y ante el mismo requerimiento de información confirmó que consta en sus sistemas en la fecha del alta que la empresa SERVIGUIT SERVICIOS 1970, S.L. tenía asociado el número de cuenta indicado en la reclamación como método de pago. En relación a esto último, continúa TELEFÓNICA, revisados sus sistemas, no se ha localizado el contrato inicial suscrito por la empresa en cuestión, por lo que no es posible aportar la prueba solicitada expresamente por esta Agencia al respecto, todo ello sin perjuicio de que en sus sistemas sí figura dicha cuenta asociada a la citada empresa para el domicilio de sus cuentas bancarias. TELEFÓNICA considera que en ningún caso se ha obstaculizado o no ha facilitado información a esta Agencia para poder llevar a cabo sus labores de inspección puesto que en todo momento se remitió la información requerida que podía aportar. Además, TELEFÓNICA insiste en que, a su juicio, la solicitud de datos sobre una persona jurídica estaría fuera del ámbito de cobertura del RGPD y fuera de las competencias atribuidas a esta Agencia por el art. 58. A pesar de ello, facilitó toda la información disponible al respecto sobre el caso concreto. TELEFÓNICA señala además que, en el contexto empresarial, los contratos firmados entre empresas suelen tener una cláusula de confidencialidad que es aplicable a las entidades firmantes y que el hecho de proporcionar información confidencial a un tercero debe tener una base legal que justifique dicha entrega. Pese a esto y a dudar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/35 sobre la legitimidad de las solicitudes de información y colaboración, TELEFÓNICA cumplió firmemente con los requerimientos de información. En cuanto a los consideraciones. Fundamentos de derecho, TELEFÓNICA emite varias Por un lado, TELEFÓNICA refiere que, en el ámbito sancionador, para que una conducta pueda ser reprochada se exige que esta sea típica, antijurídica y culpable. TELEFÓNICA considera que el principio de tipicidad se está vulnerando dado que su conducta no es subsumible en ninguno de los preceptos cuya infracción se imputa, toda vez que dieron contestación a todos y cada uno de los requerimientos de información remitidos por la Agencia con la información disponible. A este respecto, señala que no puede atribuirse a TELEFÓNICA que no haya indicado si la persona jurídica objeto de la reclamación facilitó un dato en concreto dado que no le consta el citado contrato para aportarlo como prueba y que permita dar una respuesta rotunda a tal solicitud. Lo que sí le consta y es lo que se trasladó a esta Agencia, es que sí figura en sus sistemas desde el comienzo de la relación contractual con TELEFÓNICA, asociada a la cuenta de dicha persona jurídica, la cuenta bancaria objeto de la disputa, y esa es toda la información que puede trasladarse sobre el caso en cuestión. Asimismo, TELEFÓNICA no cree que su conducta pueda ser considerada antijurídica puesto que ha actuado en todo momento con buena fe y fundada creencia excluyente de toda culpabilidad. La antijuricidad de la conducta exige una oposición entre el comportamiento y la norma infringida. Sin embargo, pese a que TELEFÓNICA considera que esta Agencia no dispone de legitimación para solicitar datos referentes a una persona jurídica, en aras a colaborar con la autoridad competente, trasladó la información que consta en sus sistemas. En definitiva, TELEFÓNICA considera que las contestaciones reflejarían su voluntad y buena fe de facilitar toda la documentación requerida por esta Agencia y que en ningún caso se pretendió obstaculizar las labores de inspección. TELEFÓNICA indica que tampoco se da en el presente caso el requisito de culpabilidad puesto que se dio contestación a los requerimientos de información efectuados conforme a la información disponible en cada momento, lo que pone de manifiesto la ausencia de intencionalidad por su parte en no aportar la información o en obstaculizar las labores de inspección, lo cual excluye la comisión de infracción. TELEFÓNICA expone que sus actuaciones excluyen la intencionalidad como elemento subjetivo del tipo, “puesto que, a tenor de la jurisprudencia de la Sala 3ª del Tribunal Supremo, por no citar otras en la sentencia 6573/2001, de 30 de noviembre de 2004, (…) Para apreciar intencionalidad, el órgano administrativo sancionador debe considerar dos elementos fundamentales: Plena conciencia en el propósito de infringir la norma administrativa y la de provocar un resultado dañoso en los intereses públicos tutelados (…). Así, parafraseando al Tribunal Constitucional y al Tribunal Supremo, “no pueda admitirse en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa”. En idéntico sentido, la reciente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/35 Sentencia del Tribunal Supremo, Sala 3ª, sección 2ª, de 22-09-2010, dispuso: “(…) en línea con la interpretación de la STC 76/90, de 26 de abril, al señalar que aun sin reconocimiento explícito en la Constitución, el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición del exceso (art. 25.1 CE) o de las exigencias inherentes al Estado de Derecho”. Teniendo en cuenta por tanto la doctrina jurisprudencial al respecto, en el ilícito administrativo no puede prescindirse del elemento subjetivo de la culpabilidad para sustituirlo por un sistema de responsabilidad objetiva o sin culpa (ad exemplum, SSTS de 12 de enero de 1996, 13 de junio de 1997, 23 de enero de 1998, y 27 de junio de 2006), hecho que no se da en el presente caso.” De lo anterior, TELEFÓNICA concluye que no se puede apreciar en su conducta una actuación culposa por lo que no cabe imputarle la responsabilidad de infracción administrativa alguna. En este sentido, argumenta TELEFÓNICA, “la sentencia 372/2008 del Juzgado de lo Contencioso Administrativo 5 de Barcelona, exige “(…) desde el punto de vista subjetivo y en virtud del principio de culpabilidad, que el imputado haya manifestado inequívocamente la voluntad de no aportar lo que se solicita (…)”.” En lo que se refiere a los criterios de graduación de la sanción, en el caso de que esta Agencia no acordase el archivo del presente expediente sancionador, TELEFÓNICA manifiesta su disconformidad con el Acuerdo de inicio cuando dispone como circunstancia para agravar la sanción “la evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD)”. Así, en la medida en que TELEFÓNICA no considera que se haya producido una falta de atención o la obstaculización de las facultades de investigación de la Agencia, no puede considerar que concurra esta agravante planteada en el Acuerdo. Además, TELEFÓNICA afirma que esta Agencia considera de facto que debe de aplicarse esta agravante dado el alto volumen de tratamiento de datos que gestiona, sin tener en cuenta que estamos ante un caso concreto y excepcional, con lo que en cualquier tipo de infracción que se decidiese imponer a TELEFÓNICA, se tendría como considerada siempre esta agravante, algo completamente desproporcionado y que carece de todo sentido, contraviniendo los principios de justicia y equidad. Adicionalmente, TELEFÓNICA considera que, en tanto dio respuesta a lo requerido conforme a la información que poseía, no concurriría en este caso el presupuesto de intencionalidad o negligencia en la infracción del Art. 83.2

1. b)RGPD. TELEFÓNICA añade que el hecho de que cuente con procedimientos claros y que siempre colabore con esta Agencia en los múltiples requerimientos de información que recibe anualmente, junto con que no se ha producido en este caso, negligencia o imprudencia al haberse dado contestación a los requerimientos, debería ser tenido en cuenta como atenuante en caso de que no se procediese con el archivo del presente expediente sancionador. En dicho caso, TELEFÓNICA considera que, además, deberían tenerse en cuenta las siguientes atenuantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/35 “
2. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido: estamos ante un caso único y excepcional que no ha causado perjuicios, lo que evidencia la completa desproporción de la propuesta de sanción.
3. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción: se ha dado respuesta a todas las solicitudes de información de la AEPD, pese a que esta parte considera que al tratarse de datos de una persona jurídica, quedaría fuera del ámbito de protección de datos.
4. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42: Telefónica ha suscrito el Código de Conducta de Autocontrol sobre tratamiento de datos en la actividad publicitaria, el cual es un sistema de resolución extrajudicial para resolver controversias que surjan entre los ciudadanos y las entidades adheridas al código con motivo de tratamientos de datos realizados en el ámbito de la actividad publicitaria.
5. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción: en el presente caso no se ha obtenido ningún tipo de beneficio por la comisión de la supuesta infracción. Más bien al contrario, si finalmente se impusiese la sanción se obtendría una pérdida económica por esta parte.” Por otra parte, TELEFÓNICA considera que esta Agencia no motiva el cálculo del importe de la sanción, tan sólo se limita a mencionar que existen las agravantes de volumen de datos tratados, una supuesta negligencia o intencionalidad en su comisión y el no contar con un procedimiento correcto para la atención de los requerimientos pese a ser una gran empresa, algo con lo que TELEFÓNICA no está de acuerdo. Por tanto, a juicio de TELEFÓNICA, “la determinación del cálculo de la multa se aleja de la Sentencia del Tribunal Superior de Justicia de Madrid, de 29 de marzo de 2012, que recuerda que el Tribunal Supremo (sentencia del 7 de marzo de 1996) establece que para que se respete el principio de proporcionalidad, resulta insuficiente con que la sanción administrativa impuesta se encuentre dentro de los márgenes o límites legalmente establecidos, sino que es necesario adecuar la sanción que se impone a la entidad de la infracción cometida: que la discrecionalidad que se otorga a la Administración en la imposición de sanciones, dentro de los límites legalmente previstos, debe ser desarrollada ponderando en todo caso las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad que constituye un principio normativo que se impone como un precepto más a la Administración y que reduce el ámbito de sus potestades sancionadoras, pues al ámbito jurisdiccional le corresponde no sólo la calificación para subsumir la conducta en el tipo legal, sino también, por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/35 paralela razón, el adecuar la sanción al hecho cometido, ya que en uno y otro caso el tema es de aplicación de criterios valorativos en la norma escrita o inferibles de principios integradores del ordenamiento jurídico. Asimismo, en la misma Sentencia se establece que el deber de motivación de las resoluciones administrativas (artículo 90 de la LRSP) implica no sólo motivar la procedencia de la sanción con la acreditación y explicitación de todos los elementos el tipo sancionador, sino también una motivación específica que permita justificar por qué se impone una concreta sanción y no otra menos gravosa también incluida dentro del abanico legal de posibles sanciones (o porqué determinada sanción no se impone en menor extensión -de cuantía o duración-). La exigencia de motivación de la imposición de la sanción en cuantía superior a la mínima se deduce también de la doctrina del Tribunal Constitucional, que si bien elaborada para el ámbito penal, es plenamente trasladable al Derecho administrativo sancionador. En la misma línea, la Sentencia del Tribunal Superior de Justicia de Valencia de fecha 15 de septiembre de 2011, expone lo siguiente: (...) teniendo en cuenta el principio de proporcionalidad que supone una relación de adecuación, según un criterio de justicia y equidad, entre los hechos objeto del procedimiento sancionador y la determinación e intensidad de la sanción aplicable conforme al ordenamiento jurídico. La Administración puede optar entre las distintas sanciones que señala la Ley para las faltas disciplinarias, pero el principio de proporcionalidad entre la falta y la sanción, permite revisar en el recurso jurisdiccional si esta facultad ha sido aplicada correctamente por aquella. Este principio ha permitido valorar en sede disciplinaria factores como el restablecimiento del orden social quebrantado, la consideración social de la colectividad afectada, los antecedentes del inculpado, su entorno sociocultural, los hechos cometidos por éste, su trascendencia y significación, la apreciación de sus condiciones psicológicas conductuales al cometerlos y, cuando exista la valoración que en la vía penal hayan tenido los hechos, por ello, se trata de un criterio frecuentemente empleado por los Tribunales para controlar el recto ejercicio de la potestad sancionadora por parte de la Administración. Así como en consideración a que la potestad sancionadora no tiene pues carácter discrecional y esto conlleva que, cuando para una determinada infracción haya legalmente previsto un elenco de sanciones, la imposición de una más grave o elevada que la establecida con el carácter de mínima deberá ser claramente motivada mediante la consignación de las específicas razones y circunstancias en que se funda la superior malicia o desidia que se tienen en cuenta para elegir ese mayor castigo. Así lo impone la interdicción de la arbitrariedad del art. 9.3 de la Constitución (RCL 1978, 2836) y también el principio de proporcionalidad comprendido en las garantías del art. 25 del Texto Constitucional.” En definitiva y por lo anterior, TELEFÓNICA concluye que la propuesta de sanción carece de motivación y, por ende, es arbitraria, ya que no ha detallado los criterios seguidos para concretar la cuantía de la sanción descritos en la normativa y en la jurisprudencia citada. Por tanto, solicita a esta Agencia que se declare la inexistencia de responsabilidad y se ordene el archivo del presente expediente sancionador. Además, subsidiariamente y para el caso de que no se proceda al archivo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/35 TELEFÓNICA solicita que se minore la sanción inicialmente propuesta en virtud de las atenuantes estipuladas en el art. 83 del RGPD. DECIMONOVENO: Con fecha 5 de octubre de 2023 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a TELEFÓNICA, por una infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 100.000,00 €. Esta propuesta de resolución fue notificada fehacientemente a TELEFÓNICA con fecha 9 de octubre de 2023, como consta en el acuse de recibo que obra en el expediente. VIGÉSIMO: Con fecha 24 de octubre de 2023 y número de registro de entrada REGAGE23e00071910096, TELEFÓNICA presenta escrito de alegaciones a la Propuesta de resolución. En primer lugar, TELEFÓNICA manifiesta su más que absoluta y total disconformidad con la Propuesta de resolución y se ratifica en todas y cada una de las alegaciones presentadas al Acuerdo de inicio, remarcando nuevamente que no ha vulnerado en ningún momento la normativa vigente en materia de protección de datos, dado que, por la conducta seguida, dice, en ningún momento ha obstaculizado o impedido las labores de inspección de la Agencia y en todo momento ha facilitado la información que se le solicitaba conforme a lo que podía aportar. TELEFÓNICA repite que a partir del requerimiento recibido con fecha 16 de mayo, se solicitaba en todos ellos su “colaboración”, con el objeto de confirmar la intervención de la empresa Serviguit Servicios 1970, S.L. Además, TELEFÓNICA insiste en que, a su juicio, la solicitud de datos sobre una persona jurídica estaría fuera del ámbito de cobertura del RGPD y fuera de las competencias atribuidas a esta Agencia por el art. 58. Argumenta TELEFÓNICA, tras citar los apartados
6. a)y
7. e)de dicho artículo 58, que las funciones de esta Agencia “se restringen, según el art. 57 del RGPD, a “controlar la aplicación del presente Reglamento”, siendo el objeto del mismo, tal como establece el art. 1 del RGPD: “Artículo 1 Objeto 1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2. El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales””. (TELEFÓNICA destaca las palabras personas físicas en este artículo). Adicionalmente, TELEFÓNICA señala que esta Agencia estaba solicitando colaboración sobre una cuenta bancaria asociada a una persona jurídica y que, por tanto, en ningún caso puede vincular al tercero reclamante, puesto que no era su cliente. Por tanto, dice TELEFÓNICA, la citada cuenta bancaria no entraría dentro de la definición de dato de carácter personal en los términos definidos por el artículo 4 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/35 “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona” (el subrayado es de TELEFÓNICA). TELEFÓNICA concluye que según esta definición y puesto que, dice, no dispone de datos sobre la persona física reclamante, la cuenta bancaria no es un dato personal al no permitir el dato por sí solo identificar a una persona física determinada. Sobre si la cuenta bancaria puede constituir un dato personal, TELEFÓNICA cita “algunos supuestos análogos sobre los que se ha pronunciado tanto la propia Agencia como la Audiencia Nacional, en concreto sobre los números de teléfono, de los cuales se ha dictaminado que: - En el Informe Jurídico 0285/2006, se indica que “desde el punto de vista de la protección de datos personales, el número de teléfono constituirá un dato de carácter personal cuanto resulte adscrito al concreto titular del mismo, o se asocie a datos identificativos adicionales como pueden ser la dirección y esta se almacene con el número llamante, de acuerdo con la definición de datos personales incluida en el artículo 3.
8. a)de la Ley Orgánica, que comprende “cualquier información concerniente a personas físicas identificadas o identificables”. - En el mismo sentido, la Sentencia la Audiencia Nacional, Sala de lo Contencioso Administrativo, de 17 septiembre 2008 Recurso Contencioso-Administrativo 353/2007 señala que: “En el presente caso la Agencia Española de Protección de Datos no ha razonado, y menos ha acreditado, que a través del número de teléfono móvil se haya identificado al titular del mismo o que a partir del citado número fuese posible tal identificación, de forma que el citado número de teléfono ayuno de otras circunstancias que identifiquen o pudiesen permitir identificar al titular del mismo impide que pueda encajarse en la definición legal de dato de carácter personal. Siendo así, procede la estimación del recurso y la anulación de la resolución impugnada con los efectos derivados de tal anulación”. Este criterio ha sido ratificado por la Audiencia Nacional en sentencia de 8 de marzo de 2002. Según se cita en la misma, “para que exista un dato de carácter personal (en contraposición con dato disociado) no es imprescindible una plena coincidencia entre el dato y una persona concreta, sino que es suficiente con que tal identificación pueda efectuarse sin esfuerzos desproporcionados” y “para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona”. - La Resolución de Archivo de Actuaciones, de 20 de octubre de 2008, de la Agencia Española de Protección de Datos. Expediente N.º: E/00357/2008 se establece que “el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/35 otra, que dicho dato pueda vincularse a una persona física identificada o identificable”, y recuerdan la Sentencia de la Audiencia Nacional de 17/09/2008, que ya hemos mencionado, y concluye que “aplicando la citada doctrina jurisprudencial al presente caso resulta que los números de teléfono publicados no pueden ser considerados datos de carácter personal ya que no se encontraban asociados a ningún dato que identificara a sus titulares o que los hiciera identificables”. - Por último, la Sentencia del Tribunal Supremo, Sala Tercera, de lo Contenciosoadministrativo, Sección 3ª, Sentencia 815/2020 de 18 Jun. 2020, Rec. 1074/2019 que establece que “la grabación de la voz asociada a otros datos como el número de teléfono o su puesta a disposición de otras personas que pueden identificar a quien pertenece ha de considerarse un dato de carácter personal sujeto a la normativa de protección del tratamiento automatizado de los mismos”. A contrario sensu, según lo indicado por el propio Tribunal Supremo, puede concluirse que en la medida en la que un dato no se encuentra asociado a ningún otro dato que permita identificar a los clientes, no puede considerarse dato personal. En relación con lo anterior, también es importante tener en cuenta que a nivel europeo se ha concluido que tan solo puede considerarse que nos encontramos ante un dato personal cuando el tercero “disponga de medios legales que le permitan identificar a la persona interesada gracias a la información adicional de que dispone el proveedor de acceso a Internet de dicha persona”. Así lo han establecido las siguientes sentencias: - Sentencia del Tribunal de Justicia (Sala Segunda) de la Unión Europea de 19 de octubre de 2016 (Asunto C-582/14) que establece que: “El artículo 2, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que una dirección de protocolo de Internet dinámica registrada por un proveedor de servicios de medios en línea con ocasión de la consulta por una persona de un sitio de Internet que ese proveedor hace accesible al público constituye respecto a dicho proveedor un dato personal, en el sentido de la citada disposición, cuando éste disponga de medios legales que le permitan identificar a la persona interesada gracias a la información adicional de que dispone el proveedor de acceso a Internet de dicha persona”. - En el mismo sentido, la Sentencia del Tribunal General (Sala Octava ampliada) de la Unión Europea de 26 de abril de 2023 (asunto T-557/20) que señala lo siguiente: “Por lo tanto, al no haber investigado el SEPD si Deloitte disponía de medios legales y factibles en la práctica para poder acceder a la información adicional necesaria para volver a identificar a los autores de los comentarios, el SEPD no podía concluir que la información transmitida a Deloitte constituía información sobre una «persona física identificable» en el sentido del artículo 3, punto 1, del Reglamento 2018/1725”. Es decir, en cualquier caso, un dato solo podría tener la consideración de dato personal para un tercero cuando éste dispusiese de medios legales que le permitieran C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/35 identificar a la persona interesada gracias a la información adicional que tuviese el tercero de dicha persona. Por tanto y por todo lo anterior, esta parte considera que en cualquier caso la solicitud de la Agencia quedaba fuera del ámbito de sus actuaciones porque (
9. i)estaba solicitando datos de una persona jurídica, y (
10. ii)porque el dato que solicitaba no puede ser considerado como dato persona, motivos que nos llevan a suponer que la Agencia, consciente de ello, solicitó la “colaboración” de Telefónica, algo que no es habitual si tenemos en cuenta los requerimientos de información al uso que, al menos, ha recibido esta parte hasta ahora. Y aún así, esta parte, en aras a facilitar dicha “colaboración” con la Agencia, facilitó la información requerida.” Por ello, TELEFÓNICA reitera que de facto ha colaborado en todo momento con esta Agencia facilitando la información de la que se disponía, y todo ello a pesar de mantener su tesis inicial de que, a su juicio, esta Agencia carece de competencias para solicitar dicha información al quedar fuera del ámbito de protección de datos. Con respecto a que no ha confirmó si SERVIGUIT SERVICIOS 1970, S.L. aportó o no el número de cuenta perteneciente a la parte reclamante para domiciliar los pagos de su línea telefónica, TELEFÓNICA insiste en que trasladó la información que podía aportar ya que no pudo localizar el contrato inicial suscrito por la empresa en cuestión. Además, TELEFÓNICA dice que en el requerimiento se solicitaba información, con lo que “no sólo no exige “confirmar” con un “sí” o con un “no” al requerimiento de colaboración, sino que tampoco se exige aportar el contrato. Es más, puesto que Telefónica no contaba con el contrato, si Telefónica hubiese contestado “sí” o “no” estaría faltando a la verdad.” De esto concluye TELEFÓNICA que “ha contestado exactamente a lo que se le ha preguntado, que no es otra cosa que facilitar información sobre la aportación de la cuenta bancaria.” Sobre no haber indicado hasta la fase de alegaciones del presente procedimiento sancionador que no contaba con el contrato inicial y que ello supuso una dilación que derivó en el archivo de las actuaciones de investigación del EXP202205067, TELEFÓNICA indica que en ningún momento se le solicitó que aportase el citado contrato y que además esta Agencia podría haber solicitado la información directamente a la empresa en cuestión, que ha contestado, dice, en todo momento a lo que se le ha requerido en tiempo y forma y que no es responsable de la instrucción del procedimiento, que corresponde en exclusiva a esta Agencia, siendo obligación de la Administración impulsarlo. Por lo expuesto, TELEFÓNICA considera que dio contestación a los requerimientos de información y que en ningún caso ha obstaculizado o no ha facilitado información a la AEPD para poder llevar a cabo sus labores de inspección, por lo que debería procederse con el archivo del presente expediente sancionador. TELEFÓNICA también vuelve a insistir en la ausencia de tipicidad, antijuricidad y culpabilidad. En este sentido, dice que “no ha incurrido en la acción típica puesto que sí ha proporcionado la información de la que disponía, y por tanto, ni se ha resistido (no se ha opuesto con fuerza a algo) y ni ha impedido nada. Se dio contestación a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/35 todas las cuestiones requeridas por la Agencia con la información de la que disponía en todo momento. No se puede pretender, como así se hace con la incoación del procedimiento sancionador que esta parte “confirme” -de hecho si así se hubiese solicitado se habría indicado que no se puede “confirmar”- sobre un hecho sin ningún tipo de dudas, cuando no se cuenta con el contrato, pues lo contrario sería incurrir en falsedad. Por ello, no ha lugar la imputación a Telefónica de la infracción del artículo 83.5.
11. e)del RGPD. Se ha colaborado y facilitado la información requerida por la Agencia en todo momento conforme a la información disponible por esta parte, no resultando por tanto la acción típica, debiendo procederse al archivo del presente expediente sancionador. Pero es que, además, tampoco puede ser considerada antijurídica. Pese a que esta parte considera que la Agencia no dispone de legitimación para solicitar datos referentes a una persona jurídica ni de un dato que en este caso no puede ser considerado como “dato personal”, y aún así esta parte, en aras a colaborar con la autoridad competente, trasladó la información que consta en sus sistemas. Es decir, las contestaciones reflejarían la voluntad y buena fe que mi representada tiene de facilitar toda la documentación requerida por Agencia y que en ningún caso se pretendió obstaculizar sus labores de inspección, lo que consideramos que es un motivo suficiente para que se declare el archivo del presente procedimiento sin sancionar a Telefónica. En cualquier caso, aunque la acción fuese considerada típica y antijurídica no podría ser considerada culpable. En el presente caso se pone de manifiesto la ausencia de intencionalidad por parte de mi representada en no aportar la información o en obstaculizar sus labores de inspección, toda vez que se dio contestación a todo lo requerido por la Agencia, lo cual excluye la comisión de infracción. La actitud de Telefónica revela una inequívoca voluntad de proceder conforme a Derecho, sin existir en modo alguno intencionalidad de infringir la norma y teniendo en todo caso voluntad de cumplimiento. Es doctrina reiterada la que considera que los principios inspiradores del orden penal son de aplicación al derecho administrativo sancionador, señalando que uno de los principales componentes de la infracción administrativa es el elemento de la culpabilidad, lo que presupone que la acción u omisión ha de ser en todo caso imputable a su autor por malicia, imprudencia, negligencia o ignorancia inexcusable. Es decir, es necesaria la constatación de la intervención culpable por parte de Telefónica, que no se ha producido. En tanto no exista conducta culpable, no puede imponerse sanción alguna. A ello se refiere el artículo 28 de la Ley 40/2015 al disponer que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Dicha Ley ha venido a sustituir con “culpa” la anterior “simple inobservancia”, lo que supone el reconocimiento de que la simple inobservancia no podía ser entendida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/35 efectivamente como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva. La jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990) destacaban que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso (artículo 25.1 CE) o de las exigencias inherentes a un Estado de Derecho, y requiere la existencia de dolo o culpa. En este sentido, por ejemplo, la Sentencia del Tribunal Supremo de 16 de diciembre de 2015, señala que: “En concreto, sobre la culpa, este Tribunal ha declarado que, en efecto, la Constitución española consagra sin duda el principio de culpabilidad como principio estructural básico del Derecho Penal y ha añadido que, sin embargo, la consagración constitucional de este principio no implica en modo alguno que la Constitución haya convertido en norma un determinado modo de entenderlo (STC 150/1991). Este principio de culpabilidad rige también en materia de infracciones administrativas, pues en la medida en que la sanción de dicha infracción es una de las manifestaciones del ius puniendi del Estado resulta inadmisible en nuestro ordenamiento un régimen de responsabilidad objetiva o sin culpa (STC 76/1990)”. En conclusión, en tanto no se cumple con este elemento, no debería haberse incoado un procedimiento sancionador contra Telefónica, y no debería imponerse sanción alguna.” TELEFÓNICA alega que la Propuesta de resolución vulnera el principio de proporcionalidad en la imposición de sanciones al no tener en cuenta ninguna de las circunstancias atenuantes mencionadas en las alegaciones al Acuerdo de inicio y sí aplicar dos agravantes, sin tener en cuenta, dice, que estamos ante un caso concreto y excepcional. En concreto, dice: “Cabe recordar que la necesidad de proporcionalidad se detalla, entre otras, en la Sentencia del Tribunal Supremo de 2 de junio de 2003, según la cual el principio de proporcionalidad “tiende a adecuar la sanción, al establecer su graduación concreta dentro de los márgenes posibles, a la gravedad del hecho constitutivo de la infracción, tanto en su vertiente de antijuricidad como de culpabilidad, ponderando en su conjunto las circunstancias objetivas y subjetivas que integran el presupuesto de hecho sancionable y, en particular, como resulta del artículo 131.3 de la Ley 30/92, la intencionalidad o reiteración, la naturaleza de los perjuicios causados y la reincidencia”. Pero el desarrollo de este principio fundamental no se circunscribe exclusivamente al ámbito jurisprudencial. Los órganos legislativos nacionales y europeos también han tenido en cuenta este principio jurídico a la hora de configurar la normativa de protección de datos, en la que podemos encontrar múltiples referencias al principio de proporcionalidad. En concreto, debido a la importancia que reviste este principio jurídico, el propio Reglamento General de Protección de Datos se encarga de introducirlo en sus Considerandos 4, 129 y 148: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/35 “