PS-00351-2024

1/16  Expediente N.º: EXP202304886 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento mediante escritos de entrada los días 11 y 17 de marzo de 2023 de ciertos hechos que podrían constituir una posible infracción imputable a AD735 DATA MEDIA ADVERTISING, S.L. con NIF B87781795 (en adelante, parte reclamada o AD735). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que ha sido contactada telefónicamente por REPSOL Comercializadora de Electricidad y Gas S.L.U., a través de un teléfono de la que es titular, pero no es de su uso cotidiano, sugiriendo que pudieran haber accedido de forma inadecuada a información ligada a la titularidad de su número de teléfono sin vincularle relación alguna con dicha entidad. SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, o a estos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, se dio traslado de la reclamación a REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS S.L.U. para que procediera a su análisis y diera respuesta en el plazo de un mes. - En fecha 19/5/2023 tuvo entrada en la AEPD un escrito de la representante de REPSOL en respuesta al traslado de la reclamación efectuado en el marco de las actuaciones AT/01894/2023, en el que se pone de manifiesto lo siguiente: o Analizada la procedencia de los datos de la reclamante han comprobado que aparecía en la base de datos como posible cliente. La obtención de sus datos personales se llevó a cabo por uno de los proveedores de captación de datos de potenciales clientes de luz y gas, IGNIUM CONSULTING, S.L. (en adelante, “IGNIUM”) con el que REPSOL formalizó contrato de prestación de servicios en fecha 17 de noviembre de 2022, del que aportan copia. IGNIUM recurre a dos fuentes de información para la prestación del servicio, siendo una de ellas AD735 DATA MEDIA ADVERTISING, S.L. Consta en el “Contrato de suministro temporal de bases de datos de potenciales clientes de electricidad y gas” suscrito entre REPSOL e IGNIUM, lo siguiente: “Que el Suministrador es una compañía totalmente ajena a Repsol CEyG e independiente de esta última, que se dedica, entre otras actividades, a la adquisición de bases de datos de información de carácter personal. Entre dichas bases de datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/16 el Suministrador cuenta con bases de datos licitas en las que constan registros correspondientes a clientes interesados en la contratación de productos y servicios de luz y/o gas. ... El objeto del Contrato consiste en la prestación por el Suministrador a Repsol CEyG del suministro de bases de datos o ficheros a Repsol CEyG (en adelante “BBDD”). Dichas bases de datos o ficheros contendrán registros de información de carácter personal correspondiente a potenciales clientes interesados en la contratación de productos y servicios de luz y/o gas de Repsol CEyG, así como SVAS (en adelante, los “Leads” o los “Registros”). El Suministrador se encargará de obtener, suministrar y custodiar las BBDD de Leads. El Suministrador pondrá a disposición de Repsol CEyG los Leads de forma temporal, y de conformidad con las normas de uso contenidas en el presente documento. Las fuentes de información que contienen los Leads serán: (

1. i)AD735 DATA MEDIA ADVERTISING, S.L (
2. ii)ABY MARKETING DREAMS SL … 2.2. Obligaciones del Suministrador. – El Suministrador garantiza que cumple con el RGPD, LOPDGDD y resto de normativa aplicable, captando la información de carácter personal objeto del presente Contrato conforme a la misma. … - El Suministrador garantiza que capta la información de carácter personal correspondiente con los Leads a través de diversos formularios web…” o IGIUM y AD735 han facilitado a REPSOL un certificado, de fecha 5/5/2023, de obtención de datos de la reclamante expedido por AD735, donde aportó el teléfono al que posteriormente se le contactó y dio su consentimiento a AD735 a que cediese sus datos personales a terceros, entre los que explícitamente se encontraba REPSOL. En el citado certificado aportado por REPSOL, consta: “I.- Que AD735 DATA MEDIA ADVERTISING, S.L. es titular, y responsable del tratamiento de los datos, de un fichero automatizado denominado PREMIUM SALES que incluye nombre, apellidos, teléfono, dirección, código postal, localidad, provincia e IP dinámica de aquellas personas que, mediante su participación en las promociones activas en el sitio web www.premium-sales.es, han facilitado los mismos de conformidad con la legislación en materia de protección de datos vigente en el momento de su participación. II.- Que los datos de carácter personal que figuran en el fichero automatizado PREMIUM SALES, y que han sido obtenidos mediante la recepción de los mismos a través del formulario de participación en los sorteos publicados en el sitio web www.premiumsales.es, son los siguientes: Nombre: A.A.A. Teléfono: ***TELÉFONO.1 Dirección: ***DIRECCIÓN.1 Dirección IP: ***IP.1 Estos datos han sido obtenidos en la siguiente fecha: Fecha Alta: 25/03/2021 9:06. III.- Que en el formulario de participación recibido consta que el usuario otorgó a AD735 DATA MEDIA ADVERTISING, S.L. el consentimiento libre y expreso para el tratamiento de sus datos personales con fines de mercadotecnia, mediante la aceptación de la política de privacidad, las condiciones de uso y las bases del sorteo aplicables en ese momento, accesibles en el sitio web www.premium-sales.es, y establecidas de conformidad a la legislación en materia de protección de datos de carácter personal vigente el día 25 de marzo de 2021, el Reglamento General de Protección de Datos (REGLAMENTO (UE) 2016/679 del parlamento europeo y del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/16 consejo de 27 de abril de 2016), la Ley Orgánica 3/2018, de 5 de noviembre, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) y la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico.” TERCERO: En fecha 24 de mayo de 2023 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando la no admisión a trámite de la reclamación. La resolución fue notificada a la parte recurrente, en fecha 25 de mayo de 2023, según consta acreditado en el expediente. CUARTO: En fecha 3 de junio de 2023 la parte recurrente interpone un recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202304886, en el que muestra su disconformidad con la resolución impugnada solicitando que se inicie procedimiento sancionador por la AEPD y vuelve a negar haber facilitado ningún dato suyo a la parte reclamada. QUINTO: En fecha 2 de octubre de 2023 se remitió el recurso interpuesto a la parte reclamada en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, presentándose alegaciones el 16 de octubre de 2023, manifestando: “1) La recurrente alega no estar ligada con Repsol por relación alguna. Con todo el respeto, es importante destacar que, esta afirmación no se ajusta a los hechos respaldados por la evidencia presentada por mi representada en el Expediente de referencia, donde se dejó constancia suficiente de la obtención de los datos de la recurrente a través de su participación en el sorteo de uno de nuestros proveedores de captación de potenciales clientes de luz y gas. Aportamos como DOCUMENTO 1 certificado que, nuevamente, evidencia que la recurrente proporcionó el número de teléfono al que posteriormente se le contactó, así como los consentimientos que otorgó de manera libre y voluntaria. 2) En cuanto a la petición de supresión de los datos personales de la recurrente, por su parte, REYG suprimió todos los datos de la recurrente de sus sistemas en fecha 24 de abril, en el momento de recepción del requerimiento de información de esta Agencia, manteniendo únicamente los datos necesarios e imprescindibles para su puesta a disposición de las Autoridades Competentes y durante el plazo de prescripción de responsabilidades, conforme al artículo 32 de la Ley 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales”. SEXTO: Con fecha 29 de noviembre de 2023 se estimó el recurso de reposición interpuesto por la parte reclamante contra la resolución de esta Agencia dictada en fecha 24 de mayo de 2023, y, se admitió a trámite la reclamación formulada de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. SÉPTIMO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/16 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - En fecha 7/2/2024 se requirió por la Inspección de Datos mediante notificación electrónica a AD735 para que aporte información y documentación en relación con el origen y consentimiento para el tratamiento de los datos personales de la reclamante, así como medidas implantadas para la acreditación de identidad del titular de los datos personales recabados en la inscripción de las promociones, resultando expirado. - En fecha 24/5/2024 se requiere nuevamente a AD37 para que aporte la información y documentación solicitada en un plazo de 5 días, teniendo entrada en fecha 4/6/2024 escrito de respuesta, en el que el representante de la entidad pone de manifiesto lo siguiente: En la actualidad no figuran datos personales de la reclamante en los ficheros de AD735 DATA MEDIA ADVERTISING. En cumplimiento de lo establecido en el artículo 32 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, sí se encuentran en bloqueados y no son objeto de tratamiento los siguientes datos: Nombre A.A.A. Teléfono ***TELÉFONO.1 Dirección ***DIRECCIÓN.1 IP ***IP.1 Siendo las fechas de obtención y supresión las siguientes: Fecha de alta 25/03/2021 9:06 Fecha de baja 05-05-2024. Respecto al origen de los datos: Los datos personales de la reclamante se obtienen a través del formulario de participación en un sorteo habilitado en el sitio web: ***URL.1, para la promoción descrita en el sitio web. Aportan copia del mismo certificado aportado por REPSOL en su escrito de respuesta al traslado de la reclamación, de obtención de los datos personales de la reclamante de fecha 5/5/2023. Aportan capturas de pantalla de los sistemas de información de AD735 que manifiestan que son relativos al registro realizado por la reclamante, en las que constan registros que contienen la fecha, el navegador, la dirección IP, la URL y el indicador de que han sido marcadas las casillas correspondientes a aceptación de la política de privacidad, de recibir comunicaciones comerciales por parte de AD735 y de recibir comunicaciones comerciales de terceras empresas. Respecto a la información facilitada a la reclamante: Aportan copia de la política de privacidad de la página web prb.premiumsales.es que contiene información sobre los tratamientos y los derechos de protección de datos y, entre otras, las siguientes cláusulas: “COMUNICACIONES COMERCIALES Te informamos que al marcar la casilla "Deseo recibir de AD735, por vía electrónica o postal, información comercial, ofertas y promociones de terceras empresas pertenecientes a los sectores identificados en la Política de Privacidad" indicada en el formulario de recogida de datos, manifiestas tu consentimiento expreso para enviarte comunicaciones comerciales referidas a productos y/o servicios de terceros pertenecientes a diferentes sectores de actividad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/16 (empleo y formación, informática y tecnología, ocio y diversión, gastronomía y alimentación, muebles y electrodomésticos, antigüedades, decoración e interiores, organizaciones y asociaciones, subastas, bricolaje, mascotas, servicios financieros y seguros, ofertas inmobiliarias, motor y automoción, artículos para hombre/mujer, viajes y turismo, productos infantiles, música y libros, salud y bienestar, sociedad, deportes, electricidad, energía, ong, comunicaciones gubernamentales, publicidad electoral), seleccionados por AD735. Las comunicaciones comerciales podrán ser remitidas por correo electrónico, llamada telefónica, SMS, aplicaciones de mensajería instantánea, redes sociales, notificaciones push, o cualquier otro medio de comunicación electrónica equivalente, o postal, para ofrecerte información sobre aquellos productos y/o servicios que creamos que pueden ser de tu interés. Si en un determinado momento no deseas seguir recibiendo comunicaciones comerciales, podrás revocar tu consentimiento mediante el envío de la solicitud pertinente a la dirección AD735 DATAMEDIA ADVERTISING, S.L., Calle Ibersierra, 15, bajo A, de 28440 Madrid, o el envío de un correo electrónico a la dirección bajas [:: arroba ::] ad735.es, aportando copia de un documento que permita acreditar tu identidad, o bien utilizando el link habilitado al efecto en las comunicaciones comerciales que reciba. Tu solicitud será atendida a la mayor brevedad posible, dentro de los plazos establecidos por la normativa vigente.” CESIÓN DE DATOS PERSONALES De conformidad con el Reglamento General de Protección de Datos (Reglamento UE 2016/679-RGPD) y la normativa de desarrollo, AD735 Data Media Advertising, S.L., como responsable del tratamiento, te informa de que, siempre y cuando hayas manifestado tu consentimiento expreso e informado marcando la casilla correspondiente, podrá ceder tus datos personales a fin de que terceras empresas anunciantes en los sectores indicados puedan contactar contigo para hacerte llegar información de tu interés, y/o relacionada con los sorteos o promociones en los que participas. En el caso de que fuera necesario el acceso a los datos por parte de terceros para la prestación de algún servicio subcontratado por AD735 Data Media Advertising, S.L. se suscribirán los documentos necesarios para garantizar la seguridad de tus datos personales y el correcto ejercicio de tus derechos. Puedes consultar la identidad de los posibles cesionarios de tus datos personales aquí.” Se verifica que accediendo al enlace “aquí” se despliega una relación de empresas entre las que se incluye Repsol Comercializadora de Electricidad y Gas S.L.U. Respecto a las medidas implantadas para la acreditación de identidad del titular de los datos personales recabados en la inscripción de las promociones. Manifiestan que AD735 DATA MEDIA ADVERTISING mantiene un registro de la trazabilidad de la actividad de los usuarios en sus sitios web, desde el otorgamiento del consentimiento hasta que se produce la revocación del mismo, o hasta el momento en el que los datos son destruidos en aplicación de la normativa vigente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/16 AD735 DATA MEDIA ADVERTISING ha implantado, en aquellos procesos en los que técnicamente es viable, un sistema de doble verificación para acreditar la identidad de los titulares de los datos personales. Respecto a la cesión de datos a IGNIUM CONSULTING, S.L. Aportan copia del “ACUERDO DE SERVICIOS DE MARKETING ENTRE AD735 DATA MEDIA ADVERTISIG.L. e IGNIUM CONSULTING S.L” fechado en Madrid el 18 de octubre de 2019, en cuya parte expositiva se recoge lo siguiente: “l.-Que el PARTNER (AD735) es una entidad responsable de un fichero de datos personales, (en adelante "EL FICHERO"), susceptible de ser utilizado en acciones de marketing o publicidad directa de terceras Empresa de unos sectores de actividad concretos, al haber requerido para ello el consentimiento explícito de los interesados titulares de los datos personales y que es el Responsable de Tratamiento de los Datos. ll.-Que IGNIUM se dedica, entre otras actividades, a la intermediación en la comercialización de ficheros para acciones de marketing directo a través de los canales de Email, Campañas de SMS y Telemarketing. III.- Que, en este contexto, el PARTNER está interesado en promover la utilización de su fichero para la realización de campañas o acciones publicitarias de terceras Empresa o entidades, siempre y cuando tales campañas correspondan a productos o servicios relacionados con los sectores de actividad reflejados en el Anexo I IV.- Que, estando interesado el PARTNER en contratar los servicios de IGNIUM para la realización por ésta de labores de agencia comercial por cuenta del PARTNER frente a Empresa anunciantes, ambas Partes han acordado suscribir el presente Contrato de AGENCIA (en adelante, el "Contrato"), que se sujetará a lo dispuesto en las siguientes ESTIPULACIONES: PRIMERO. - OBJETO DEL CONTRATO IGNIUM prestará a el PARTNER los servicios propios de intermediación comercial en orden a promover la utilización del FICHERO para la realización de campañas publicitarias de terceras empresas de los sectores de actividad referidos que puedan estar interesadas en remitir ofertas de sus productos a titulares de datos personales incluidos en el FICHERO. IGNIUM se limitará a prestar a el PARTNER los servicios concretados en el presente Contrato, siguiendo en todo momento las instrucciones del PARTNER sin extralimitar su actuación en ningún supuesto más allá de Io previsto en el presente Contrato. SEGUNDO. - GARANTÍA DEL ORÍGEN DE LOS DATOS El PARTNER garantiza expresamente a IGNIUM que las personas incluidas en su fichero han prestado su consentimiento explícito para ser receptoras de acciones o campañas de terceras empresas de los sectores concretados en el ANEXO I, habiendo prestado su consentimiento a tal efecto de forma inequívoca mediante un acto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/16 afirmativo claro y en especial para el caso de envío de comunicaciones publicitarias o promocionales por cualquier medio (correo electrónico), todo ello contorme a lo dispuesto la vigente normativa (Reglamento (UE) 2016/570 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (en adelante RGPD). … En concreto, el PARTNER certifica a IGNIUM los siguientes extremos:
3. a)Que el FICHERO del PARTNER se encuentra actualizado y contiene todos los datos necesarios para su utilización en campañas de marketing directo.
4. b)Que los datos personales de los titulares de los datos incluidos en el FICHERO del PARTNER han sido facilitados directamente por los propios afectados u obtenidos con su consentimiento y, en ese caso, que dicho consentimiento ha sido obtenido aplicando los requisitos establecidos en el RGPD y la LOPD.
5. c)Que en el FICHERO objeto de comercialización no se contienen categorías especiales de datos personales de las regulada en el artículo 9 del RGPD.
6. d)Que los titulares de los datos personales incluidos en el fichero del PARTNER han sido informados y han aceptado que sus datos se incluyan en su FICHERO, de conformidad con la vigente normativa de protección de datos, han aceptado expresamente la posibilidad de recibir publicidad o información de terceras empresa de los sectores de actividad definidos en el ANEXO I del presente Contrato, dando la oportunidad a los afectados de oponerse a ello en los plazos legalmente establecidos, siendo el PARTNER responsable de cualquier incumplimiento al respecto,
7. e)Que en consecuencia la totalidad de los titulares de los datos incluidos en el FICHERO del PARTNER han sido convenientemente informados y se les ha recabado su consentimiento inequívoco y explícito para recibir, por cualquier medio, publicidad o información de terceras empresas de los sectores de actividad definidos en el ANEXO I del presente Contrato.
8. f)Que el PARTNER respeta escrupulosamente los derechos de los titulares de los datos que incluye en el fichero, por lo que, no incluye en el mismo a los titulares si recibe solicitudes de éstos, oponiéndose a la posibilidad de recibir ofertas de terceros, no les remite oferta alguna de terceros.
9. g)Que el PARTNER controla la efectiva aceptación de la política de protección de datos personales y el ejercicio de derechos por los titulares de los datos personales y no permite el envío de publicidad u ofertas de terceros si primeramente no se asegura de que han recibido y aceptado mediante un acto afirmativo claro los formularios o documentos conteniendo su leyenda de protección de datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/16
10. h)Que el PARTNER no facilitará los datos de todo aquel afectado que se haya opuesto a que sus datos fueran utilizados para el envío de publicidad de terceros, y toda persona que se haya inscrito en la lista "Robinson" gestionada por ADIGITAL o en otras listas equivalentes de exclusión publicitaria.
11. i)Que el PARTNER responde del cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales, de la Ley Orgánica de Protección de Datos Personales y demás normativa de aplicación al efecto y en particular en lo relativo a lo certificado por ésta en el presente Pacto.” Se ha accedido a través de Internet en la página web de Internet Archive ***URL.2 y se han obtenido las siguientes capturas de pantalla: 1.- Captura de pantalla del resultado de la búsqueda de la página web “premium-sales.es”, en la que se comprueba que Internet Archive capturó una copia de dicha página el día 3 de marzo de 2021. 2.- Contenido de la página web premium-sales.es el día 3 de marzo de 2021, en la que se comprueba que se publican varias promociones, siendo una de ellas un curso de cocina. 3.- Contenido del formulario de participación en el sorteo del curso de cocina. Incluye un enlace a la política de privacidad con un check para aceptar esta política de privacidad. Además incluye un check para aceptar recibir publicaciones de terceras entidades y un enlace a la relación de las terceras entidades, entre las que se encuentra Repsol Comercializadora de Electricidad y Gas S.L.U. 4.- Se accede y captura la política de privacidad, comprobando que contiene las mismas cláusulas que las aportadas por AD735 en el escrito de respuesta al requerimiento. Ambos documentos disponen de un último párrafo con el siguiente contenido: “Esta Política de Privacidad se actualizó por última vez el 5 de diciembre de 2018.” OCTAVO: Con fecha 19 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 7 del RGPD, tipificada en el Artículo 83.5 del RGPD. NOVENO: Notificado el acuerdo de inicio con fecha 29 de noviembre de 2024 según consta en acuse de recibo, la parte reclamada solicito ampliación de plazo para formular alegaciones que le fue concedido y transcurrido el plazo concedido, al tiempo de la presente resolución no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
12. f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/16 resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. DÉCIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad AD735 DATA MEDIA ADVERTISING, S.L. es una pequeña empresa constituida en el año 2017, y con un volumen de negocios de ***CANTIDAD.1 euros en el año 2018. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. – Consta acreditado en el certificado aportado por la empresa REPSOL, en fecha 19 de mayo de 2023 a esta Agencia: “(…), y establecidas de conformidad a la legislación en materia de protección de datos de carácter personal vigente el día 25 de marzo de 2021, el Reglamento General de Protección de Datos (REGLAMENTO (UE) 2016/679 del parlamento europeo y del consejo de 27 de abril de 2016), la Ley Orgánica 3/2018, de 5 de noviembre, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) y la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico.” SEGUNDO. – Consta registrado en los sistemas deAD735, que los datos personales de la reclamante se obtienen a través del formulario de participación en un sorteo habilitado en el sitio web: ***URL.1, para la promoción descrita en el sitio web. TERCERO. – De documentación aportada por AD735, aportan capturas de pantalla de los sistemas de información de AD735 que manifiestan que son relativos al registro realizado por la reclamante, en las que constan registros que contienen la fecha, el navegador, la dirección IP, la URL y el indicador de que han sido marcadas las casillas correspondientes a aceptación de la política de privacidad, de recibir comunicaciones comerciales por parte de AD735 y de recibir comunicaciones comerciales de terceras empresas. CUARTO. – De la documentación aportada por AD735, consta las siguientes medidas implantadas para la acreditación de identidad del titular de los datos personales recabados en la inscripción de las promociones: AD735 mantiene un registro de la trazabilidad de la actividad de los usuarios en sus sitios web, desde el otorgamiento del consentimiento hasta que se produce la revocación del mismo, o hasta el momento en el que los datos son destruidos en aplicación de la normativa vigente. AD735 ha implantado, en aquellos procesos en los que técnicamente es viable, un sistema de doble verificación para acreditar la identidad de los titulares de los datos personales. QUINTO. - La parte reclamada no presenta documentación alguna que acredite que fue la parte reclamante quien facilitó sus datos en el sitio web ***URL.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/16 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida: infracción del artículo del 7.1 RGPD Los hechos objeto de reclamación se materializan en que la parte reclamante manifiesta que ha sido contactada telefónicamente por la empresa Repsol, señalando que pudieran haber accedido de forma inadecuada a información ligada a la titularidad de su número de teléfono sin haber prestado su consentimiento. Pues bien, consta en el certificado aportado por REPSOL, en su contestación a esta Agencia de fecha 19 de mayo de 2023: “(…), y establecidas de conformidad a la legislación en materia de protección de datos de carácter personal vigente el día 25 de marzo de 2021, el Reglamento General de Protección de Datos (REGLAMENTO (UE) 2016/679 del parlamento europeo y del consejo de 27 de abril de 2016), la Ley Orgánica 3/2018, de 5 de noviembre, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) y la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico.” Sobre el consentimiento ofrecido por los interesados, el considerando