← España

PS-00365-2019

1/26  Procedimiento Nº: PS/00365/2019 938-300320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 21/08/2018 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en adelante, la reclamante) en el que expone que XFERA MÓVILES, S.A., con NIF A82528548 (en adelante, la reclamada o YOIGO) ha tratado su NIE vinculado a un contrato de telefonía móvil al que ella es ajena. La reclamante manifiesta que “Por mi banco me he enterado que con mi número de dni existe un contrato de servicios de telefonía móvil con la empresa Xfera MóvilesYoigo. He puesto una reclamación al departamento de control de servicios de esta empresa ...” La documentación que aporta revela que su NIE fue comunicado por la reclamada al fichero de solvencia patrimonial BADEXCUG con fecha de alta marzo de 2014, por una deuda impagada de XXX euros. Anexos a la reclamación aporta estos documentos: La copia del “Certificado de registro de ciudadanos de la Unión”, emitido por una autoridad española, en el que figuran entre otros datos su nombre y apellido, el NIE ***NIE.1 y su domicilio en España. La copia de un informe de Ibercheck a tenor del cual, vinculado a su NIE, existe una anotación de impago en el fichero BADEXCUG, informada por la reclamada, con fecha de alta 16/03/2014, por un importe de XXX euros, siendo la fecha de última actualización de la anotación el 19/08/2018. SEGUNDO: A la vista de los hechos expuestos en la reclamación, la AEPD realizó actuaciones tendentes a su esclarecimiento. A. En el marco del expediente E/6739/2018, mediante escrito firmado el 02/10/2018, se da traslado a la reclamada de la reclamación y se solicita que en el plazo de un mes facilite una explicación sobre los hechos expuestos en ella y detalle las medidas adoptadas para evitar que en el futuro se produzcan situaciones similares. El escrito se notifica a la reclamada electrónicamente, siendo la fecha de puesta a disposición el 02/10/2018 y la fecha de aceptación de la notificación el 03/10/2018, tal y como lo acredita el certificado de la FNMT que obra en el expediente. Asimismo, en escrito firmado el 02/10/2018, la AEPD se dirige a la reclamante acusando recibo de su reclamación y comunicándole su traslado a la reclamada. Transcurrido el plazo concedido sin que la reclamada hubiera respondido a la solicitud informativa, de conformidad con lo dispuesto en el artículo 65.2 de la Ley Orgánica 3/2018, de Protección de Datos y Garantía de los Derechos Digitales C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 2/26 (LOPDGDD), en fecha 19/02/2019 se firma el acuerdo de admisión a trámite de la presente reclamación. B. A tenor del artículo 67 de la LOPDGDD, en el marco del expediente número E/2053/2019, la Inspección de Datos de la AEPD lleva a cabo actuaciones de investigación previa. Obran en el expediente administrativo los certificados emitidos por la FNMT que acreditan que la reclamada recibió las notificaciones electrónicas de los dos requerimientos informativos que se le hicieron en el curso de las actuaciones de investigación previa; requerimientos de fechas 17/07/2019 y 23/09/2019 a los que no respondió. Las notificaciones fueron aceptadas, respectivamente, en fechas 17/07/2019 y 30/09/2019. El primero de los requerimientos de la Inspección de Datos se firma el 17/07/2019. En la misma fecha se notifica a la reclamada y ésta acepta la notificación. El requerimiento otorgaba a la reclamada un plazo de 15 días hábiles para responder; indicaba que la información se solicitaba por la Inspección de Datos en uso de las facultades conferidas por los artículos 58.1 RGPD y 67 LOPDGDD; se recordaba a la reclamada la obligación que le impone el Reglamento (UE) 2016/679, General de Protección de Datos, (RGPD) de colaborar en el desempeño de la función inspectora y se le informaba de que el incumplimiento de dicha obligación podría comportar la comisión de una infracción tipificada en el artículo 83.5.

  1. e)RGPD. La reclamada, en escrito que tuvo entrada en la sede electrónica de la Agencia el 07/08/2019, solicita una ampliación del plazo para responder al requerimiento informativo recibido el 17/07/2019. La AEPD responde el 12/08/2019 y concede la ampliación de plazo solicitada. La respuesta de la Agencia, notificada electrónicamente en esa misma fecha, es aceptada el 19/08/2019. Así lo acreditan los certificados de la FNMT que obran en el expediente. El segundo de los requerimientos informativos que la Inspección de Datos envió a la reclamada se firmó el 23/09/2019 y se puso a disposición en la sede electrónica en la misma fecha. En él se concedió a la reclamada un plazo de cinco días hábiles para responder y, al igual que en el anterior, se le comunicó que la información se solicitaba en uso de las facultades conferidas por los artículos 58.1 RGPD y 67 LOPDGDD, se recordaba la obligación que le impone el RGPD de colaborar para realizar la función inspectora y que el incumplimiento de dicha obligación podría comportar la comisión de una infracción tipificada en el artículo 83.5.
  2. e)RGPD por infracción del artículo 58.1. RGPD. La notificación de este segundo requerimiento fue aceptada por la reclamada siete días después de la puesta a disposición, el 30/09/2019. No se recibe en esta Agencia respuesta de la reclama a ninguno de los dos requerimientos informativos que le hizo la Inspección de Datos. El 10/10/2019 se firma el Informe de Actuaciones de Investigación Previa del que reproducimos el siguiente fragmento: << 1. Con fecha de notificación de 17 de julio de 2019 se realizó requerimiento de información a la reclamada para que aportara los siguientes documentos: a. Contrato de servicio con la reclamante. b. Canal y/o lugar de la contratación. Procedimiento para la acreditación C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 3/26 de identidad. c. Documentación de identificación que obre en su poder. d. Requerimiento previo de pago ante la posible inclusión en el fichero BADEXCUG. Con fecha 7 de agosto de 2019, se recibe en esta Agencia, con número de registro 039557/2019, escrito procedente de la reclamada solicitando ampliación de plazo, procediendo a otorgarle una ampliación de 5 días hábiles con fecha de notificación de 19 de agosto de 2019. Con fecha de notificación de 30 de septiembre de 2019 se reitera el requerimiento de información otorgando nuevo plazo de cinco días sin que a la fecha de realización de este informe se haya recibido en esta Agencia contestación procedente de la reclamada.>> TERCERO: Con fecha 19/11/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por dos infracciones del RGPD: La vulneración del artículo 6.1. RGPD, tipificada en su artículo 83.5.a), y del artículo 31, en relación con el artículo 58.1.e), ambos del RGPD, tipificada en el artículo 83.5.
  3. e)del citado Reglamento (UE) 2016/679. CUARTO: Notificado el acuerdo de inicio -notificación aceptada por la reclamada el 20/11/2019- presenta alegaciones en fecha 04/12/2019. El escrito de alegaciones se concreta en una alegación previa y dos alegaciones, con el contenido siguiente: Solicita -alegación previa- que se le dé traslado de una copia del expediente. Manifiesta -alegación primera- que “..., en estos momentos sólo es dado manifestar que YOIGO ha tratado regularmente los datos de la reclamante en virtud de contrato de servicio y, de ahí, asimismo, el tratamiento regular y ordinario de la relación entre las partes en virtud de las vicisitudes del contrato”. Por último -alegación segunda- afirma que “reunida la documentación oportuna se remitirá a la AEPD”. QUINTO: Al amparo del artículo 53.1.
  4. a)LPACAP, la AEPD, en escrito notificado electrónicamente el 13/12/2019, da traslado a la reclamada de la copia completa del expediente administrativo solicitado. SEXTO: De acuerdo con el artículo 77 LPACAP, con fecha 15/06/2020, se abre un período de prueba en el que se dan por reproducidos la reclamación y su documentación anexa; los documentos obtenidos y generados por los Servicios de Inspección de la AEPD ante la reclamada y el Informe de actuaciones previas de Inspección. Igualmente, quedan incorporadas al expediente las alegaciones de la reclamada al acuerdo de inicio del procedimiento sancionador. En el trámite de prueba se practican estas diligencias: A. Se solicita a la reclamada que aporte los documentos y acredite los hechos que se detallan: 1. La copia del contrato que en su día hubieran suscrito la reclamante y la C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 4/26 reclamada o, en su caso, la entidad a la que esta última hubiera sucedido. 2. La documentación que acredite la existencia de una deuda pendiente de abono a nombre de la reclamante, exigiendo que especifique el importe adeudado y los conceptos de los que deriva la deuda. 3. La acreditación de haber informado a la reclamante al tiempo de suscribir el contrato de que, en caso de impago de las deudas, sus datos podrían ser objeto de inclusión en ficheros de solvencia patrimonial y crédito. O bien, alternativamente, que acredite haber requerido a la reclamante el pago de la deuda pendiente antes de la inclusión de sus datos en BADEXCUG asociados a posiciones deudoras. La reclamada responde a la petición de prueba en fecha 29/06/2020. a. A la pregunta formulada en el punto 1, responde que “la reclamante suscribió” tres contratos con YOIGO el 21/11/2013 y que la contratación se realizó de forma presencial siendo el SFID del vendedor ***VENDEDOR.1 que corresponde a “Tienda ByMobil”. Añade que los tres contratos contaban con un terminal adquirido a plazos y compromiso de permanencia. Aporta copia de los tres contratos que corresponden a los números ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3 Aporta los ejemplares de cada uno de los tres contratos y, además, respecto a cada uno de ellos, remite tres copias: para el cliente, para YOIGO y para la entidad financiera. Las tres copias son idénticas entre sí, la única diferencia es que las dos primeras incorporan como anexo el documento de “Solicitud de portabilidad de numeración móvil”. Se describe seguidamente el “Contrato de alta con terminal financiado por BBVA Particulares” centrándonos en su estructura y contenido más relevante, pero referido al contrato 1. Respecto a los contratos 2 y 3 nos limitamos a citar, únicamente, sus diferencias con el 1. En el contrato 1, bajo la rúbrica “Contrato de alta con terminal financiado por BBVA Particulares” aparece la referencia “nº ***REFERENCIA.1” y debajo esta leyenda: “Los datos que tienen un asterisco “*” son imprescindibles para que Yoigo pueda darte de alta. Aquellos con dos asteriscos “**” son imprescindibles para que BBVA pueda tramitar el crédito”. A continuación, en el apartado “Datos del punto de venta”, figura “SFIF ***PUNTO.1”. En el apartado “Tus datos” constan los datos de la titular del contrato: ***NOMBRE.1(nombre) ***APELLIDO.1 (apellido). Nótese que este apellido es distinto del de la reclamante. El NIE, ***NIE.1, que coincide con el de la reclamante. La fecha de nacimiento, 05/08/1985; la nacionalidad, ***NACIONALIDAD.1; el sexo, mujer; el domicilio, ***DIRECCIÓN.1 y el teléfono de contacto***TELÉFONO.3. Sólo el nombre, ***NOMBRE.1, y el NIE coinciden con los datos de la reclamante. No coincide el apellido ni tampoco el domicilio, que no es el que figura en el certificado de ciudadanos de la Unión que la reclamante ha facilitado a la AEPD ni en el formulario de su reclamación. En el apartado “Servicios y promociones”, se indica: “Nº YOIGO” ***TELÉFONO.1; “Nº de tarjeta SIM/ ICC-ID” ***SIM.1; “Tipo de contrato”, “La Infinita 25”. En el apartado “Producto”, se dice: “Con móvil/Modem: IMEI ***IMEI.1; “Marca y modelo: Samsung Galaxy S4 Blanco”. En el apartado “Datos bancarios”, figura “Código cuenta cliente (IBAN)” y un código de cuenta cliente que comienza con los dígitos ***XXX y finaliza con los dígitos ***XXX. El último de todos los apartados es “Firmas” y en él se indica “Fecha *I** 21/11/2013” y a continuación “Firma *I**”, que lleva un espacio en blanco, es decir sin C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 5/26 cumplimentar y “Sello distribuidor *I**”, que también tiene el espacio destinado a tal fin en blanco. Seguidamente, “Xfera Móviles, S.A.”, que incluye en el espacio destinado a tal fin una rúbrica y “Banco Bilbao Vizcaya Argentaria, S.A.”, que también incorpora una rúbrica. Las copias del contrato 1 destinadas al cliente y a YOIGO van acompañadas de un anexo: La “Solicitud de portabilidad de numeración móvil”. Este documento incluye esta leyenda: “Importante: Para que tu actual operador acepte la solicitud de portabilidad deberás rellenar todos los apartados”. En el apartado “Operadores” figura “Fecha”, “21/11/2013 10:43”; “Operador Donante: Vodafone” y “Operador receptor: YOIGO”. El apartado “Tipo de solicitud”, recoge, entre otra información, el “Nº teléfono (MSISDN) ***TELÉFONO.1. En el apartado “Datos del cliente”, los mismos que figuran en el contrato en el apartado “Tus datos”. Por último, en el apartado “Firma”, consta “Fecha 21/11/2013 10:43” y seguidamente la indicación “Firma del solicitante” sin que exista ninguna firma en el documento. Ninguna de las copias (para el cliente y para YOIGO) que se remiten están firmadas por el solicitante. El contrato 2, “Contrato de alta con terminal financiado por BBVA”, difiere del contrato 1 en los siguientes elementos: Le corresponde la referencia “Nº ***REFERENCIA.2”. En el apartado “Servicios y promociones” figura como “Nº Yoigo ***TELÉFONO.2”. Si bien los restantes apartados son idénticos a los del contrato 1, antes descrito, debemos subrayar que en el último apartado, “Firmas”, después de “Fecha *I** 21/11/2013”, los espacios destinados a la “Firma*I**” y al “Sello Distribuidor*I**” se encuentran en blanco, sin cumplimentar. Respecto al documento de “Solicitud de portabilidad de numeración móvil”, anexo al contrato 2, del que la reclamada nos remite la copia para el cliente y para YOIGO, las diferencias con relación al mismo documento anexo al contrato 1 son las siguientes: En el epígrafe “Operador”, todo es igual con la salvedad de la hora, figura “11:29”. En el epígrafe “Tipo de solicitud”, entre otros, el “Nº de teléfono (MSISDN) ***TELÉFONO.2. Se destaca que en el apartado “Firma”, después de “Fecha:21/11/2013 11:29”, al igual que sucede en el mismo documento anexo al contrato 1, el recuadro destinado a “Firma del solicitante” está en blanco y sin cumplimentar. El contrato 3, “Contrato de alta con terminal financiado por BBVA”, difiere del 1 y el 2 en los siguientes elementos: Le corresponde la referencia “Nº ***REFERENCIA.3”. En el apartado “Servicios y promociones” figura como “Nº Yoigo***TELÉFONO.3”. Si bien los restantes apartados son idénticos a los de los contratos 1 y 2 antes descritos, debemos subrayar que en el último apartado, “Firmas”, después de “Fecha *I** 21/11/2013”, los espacios destinados a la “Firma*I**” y al “Sello Distribuidor*I**” se encuentran en blanco, sin cumplimentar. Anexo al contrato 3 la reclamada nos remite el documento de “Solicitud de portabilidad de numeración móvil”, (copias para el cliente y para YOIGO). Las diferencias respecto al mismo documento anexo a los contratos 1 y 2 son las siguientes: En el epígrafe “Operador”, todo es igual con la salvedad de la hora, figura “19:00”. En el epígrafe “Tipo de solicitud”, se indican, entre otros elementos, el “Nº de teléfono (MSISDN)***TELÉFONO.3. Se destaca que en el apartado “Firma”, después de “Fecha:21/11/2013” “19:00”, al igual que el mismo documento anexo a los contratos 1 y 2, aparece en blanco y sin cumplimentar el recuadro “Firma del solicitante”. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 6/26 b. La reclamada respondió a la segunda pregunta que se formuló que la reclamante había solicitado en diciembre de 2013 la portabilidad a un tercer operador, incumpliendo con ello los compromisos de permanencia asumidos, lo que implicó el vencimiento anticipado de los pagos aplazados por el importe que consta en la factura, importe que procede esencialmente de la adquisición a plazos de tres terminales móviles. Aporta una copia de la factura número ***FACTURA.1, emitida el 01/01/2014, que corresponde a diciembre de 2013. El importe facturado asciende a 1.856,30 euros. La factura incluye los servicios y productos vinculados a estas líneas: ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3. En la factura figuran los datos del titular de los tres contratos, esto es, los que constan en el apartado “Tus datos”, de los tres contratos aportados. De los datos incorporados a las facturas sólo coinciden con los de la reclamante el nombre, ***NOMBRE.1. No coincide el apellido, ni tampoco la dirección, que es diferente de la que aparece en el certificado de ciudadanos de la Unión que la reclamante ha aportado a la AEPD y en el formulario de denuncia presentado ante esta Agencia. c. La reclamada respondió a la tercera pregunta formulada en fase de prueba que en la cláusula octava del condicionado general de cualquiera de los tres contratos que había facilitado se informaba al cliente de que “en caso de no atender puntualmente sus obligaciones económicas frente a YOIGO, de acuerdo con lo previsto en el contrato, YOIGO podrá comunicar sus datos identificativos, junto con todos los relativos a la deuda pendiente de pago, a entidades dedicadas a la prestación de servicios de información sobre solvencia patrimonial y crédito,..” B. Se solicitó a Experian Bureau de Crédito, S.A. (Experian) que remitiera la información y documentación que se detalla: 1. Copia impresa de toda la información que constara en el fichero de solvencia BADEXCUG, asociada a los datos personales de la reclamante -nombre, dos apellidos y NIF-, que hubiera sido informada por la reclamada. 2. Copia de la documentación referente a los derechos de acceso y cancelación que eventualmente hubiera ejercido ante ella la reclamante. Experian responde en escrito de fecha 08/07/2020 que tiene entrada en el registro de la Agencia el 13/07/2020. Manifiesta que en esa fecha no consta en BADEXCUG, asociada al NIF, nombre y dos apellidos de la reclamante, ninguna operación impagada. Pero añade que, en el “Histórico de Actualizaciones del fichero BADEXCUG” consta esta información relativa a operaciones impagadas asociadas al NIF de la reclamante: Existe una operación, número 5658833, informada por YOIGO, por un servicio de telecomunicaciones, cuya deuda se dio de alta en BADEXCUG el 16/03/2014, por un importe impagado de 1.856,30 euros y se dio de baja el 09/12/2018, siendo en esa fecha el saldo deudor del mismo importe, como consecuencia de la “actualización automática del fichero de datos enviado por la entidad informante”. SÉPTIMO: Con fecha 07/10/2020 se firma la propuesta de resolución del procedimiento sancionador PS/00365/2019 formulada en estos términos: C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 7/26 <<PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a XFERA MÓVILES, S.A., con NIF A82528548, por dos infracciones del artículo 6.1. RGPD, letras
  5. b)y f), tipificadas en el artículo 83.5.
  6. a)RGPD, con multa administrativa de 100.000 euros (cien mil euros). SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a XFERA MÓVILES, S.A., con NIF A82528548, por una infracción del artículo 31 RGPD, en relación con el artículo 58.1.e, RGPD, tipificada en el artículo 83.5.
  7. e)del RGPD, con multa administrativa de 20.000 euros (veinte mil euros) >> El certificado emitido por la FNMT, que obra en el expediente, acredita que la propuesta de resolución se notificó y fue aceptada por la reclamada el 07/10/2020. OCTAVO: La reclamada presenta su escrito de alegaciones a la propuesta de resolución el 21/10/2020 en el que solicita que se proceda al archivo del expediente sancionador. Aporta, anexa a su escrito de alegaciones, documentación de gran relevancia a los efectos que nos ocupan que dice haber recibido “de su proveedor logístico” “en el tiempo transcurrido desde la fase de prueba”. Son los documentos siguientes: 1. Un “Certificado de Registro de Ciudadanos de la Unión” que incorpora por dos veces, al inicio y al pie del texto del documento y dentro de un recuadro, esta nota: “Aviso: Documento no válido para acreditar la identidad ni la nacionalidad del portador”. El texto del documento es el siguiente: “El encargado del Registro Central de Extranjeros de la Comisaría Provincial de ***LOCALIDAD.1 CERTIFICA: Que, de conformidad con lo establecido en los artículos 3.3 y 3.7 del Real Decreto 240/2007, de 16 de febrero, y teniendo presente que este documento sólo prueba la inscripción en el Registro Central de Extranjeros si se presenta en unión del pasaporte o documento de identidad en vigor, la persona que a continuación se indica, ha solicitado y obtenido su inscripción en el Registro Central de Extranjeros (...) como residente comunitario en España, desde el 15/11/2010: D. ***NOMBRE.1 ***APELLIDO.1; nacido/a el 05/08/1985, en ***LOCALIDAD.2 (***PAÍS.1); hijo de Gabriel y Viorica. Nacionalidad: ***PAÍS.1. Domicilio: calle ***DIRECCIÓN.2. Número de Identidad de Extranjero (NIE) ***NIE.1. 2. Un recibo bancario emitido por BBVA correspondiente a un adeudo por domiciliación en cuenta en el que el “ordenante” es Vodafone España, S.A.U., y la “Titular” ***NOMBRE.1 ***APELLIDO.1. El documento indica que es un “Duplicado de recibo de fecha 12/11/2013”, “cargado en cuenta Vodafone *****XX”. Figuran en él los siguientes datos personales: “***NOMBRE.1***APELLIDO.1. ***DIRECCIÓN.1, la fecha 12/11/2013 y la cuenta corriente cliente XXX finalizada en los dígitos XXX. 3. Copia de los contratos con números de referencia ***REFERENCIA.1, ***REFERENCIA.2 y ***REFERENCIA.3 (que en los Hechos Probados se identifican, respectivamente, como contratos número 1, 2 y 3) En todos ellos, los datos de las partes contratantes, el objeto del contrato y la fecha de celebración, así como las estipulaciones contractuales, son idénticas a las que aparecen en los contratos que la reclamada remitió a la Agencia en su respuesta a las pruebas solicitadas. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 8/26 Sin embargo, existen diferencias sustanciales y de gran relevancia entre aquellos documentos contractuales remitidos por la reclamada en fase de prueba y los contratos que ahora aporta con sus alegaciones a la propuesta de resolución. Éstos, a diferencia de los anteriores, están firmados por el cliente y llevan estampado el sello del distribuidor ante el que se formalizó el contrato. Firma y sello que aparecen en todos los ejemplares que aporta y respecto a cada uno de los tres contratos. Aporta también, respecto a cada uno de los tres contratos, la correspondiente copia de la Solicitud de Portabilidad de Numeración Móvil (copia para YOIGO) que, a diferencia de la que había remitido en fase de prueba, ésta sí está firmada por el solicitante de la portabilidad. La reclamada manifiesta que, “en vista de los nuevos documentos aportados”, ha quedado acreditado que contaba con una base jurídica que legitimaba el tratamiento de “los datos personales de la persona que contrata” y que, además, ha sido capaz de demostrar ese extremo, cumpliendo de este modo con el principio de responsabilidad proactiva. Concluye, por una parte, que en tanto ha aportado los correspondientes contratos firmados, un recibo bancario y el certificado de registro de ciudadanos de la Unión con los datos de la persona que aparece como titular de los contratos, no existe infracción del artículo 6.1.
  8. b)RGPD. Por otra, que “la existencia de estos contratos correctamente formalizados habilita a mi representada, en caso de impago, a comunicar los datos de la persona que suscribió el contrato y devengó facturas a los ficheros de solvencia patrimonial en base a su interés legítimo (artículo 6.1.f)”. Añade, además, que ha cumplido las previsiones del artículo 20 LOPDGDD, pues la deuda informada a BADEXCUG era cierta, vencida y exigible; se informó a la persona contratante en la cláusula 8.5 del Condicionado General del contrato de la posibilidad de incluir sus datos en ficheros de solvencia y entre la fecha de vencimiento de la obligación (el 07/01/2014) y la fecha de baja de BADEXCUG (18/12/2018) no han transcurrido cinco años. En consideración a lo cual manifiesta que tampoco existe una vulneración del artículo 6.1.
  9. f)RGPD. El tercer punto invocado por la reclamada en sus alegaciones se refiere a la acreditación de la identidad de la contratante. Manifiesta que “A la luz de la documentación aportada, en combinación con los hechos acontecidos, cabe afirmar que se efectuó una correcta identificación de la persona que contrata”. Sobre la identificación de la persona que suscribió los tres contratos con el distribuidor, la reclamada expone que ha aportado un Certificado del Registro de Ciudadanos la Unión en el que se incluyen datos como el NIE, la fecha de nacimiento, el nombre y apellido, entre otros. Que, además, los datos recogidos en el Certificado del Registro de Ciudadanos de la Unión coinciden con los que aparecen en el recibo bancario de adeudo domiciliario aportado por la persona que contrató los servicios con objeto de acreditar que era la titular de la cuenta bancaria de domiciliación. A lo que se añade que la información que figuraba en la solicitud de portabilidad de numeración móvil, de la que ha remitido copias a esta Agencia, coincide con la que consta en el aludido certificado. Todo ello, dice, sin perder de vista que “la contratación fue presencial y la persona en cuestión tuvo que proporcionar la documentación en mano, tal como la firma manuscrita de los contratos”. La última alegación (cuarta) de las alegaciones a la propuesta de resolución se C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 9/26 refiere a la “vulneración de los principios de irretroactividad y tipicidad” en la que al entender de la reclamada se incurriría de sancionarla en los términos previstos en el acuerdo de inicio y en la propuesta de resolución. Este extremo es, a su juicio, otra de las razones que determina que la AEPD deba proceder al archivo del expediente sancionador. Tras citar los artículos 2.3. del Código Civil -irretroactividad de las leyes- y 99.2 del RGPD -que dispone que será aplicable a partir del 25 de mayo de 2018- concluye que “Por tanto, los hechos acaecidos con carácter previo a esa fecha no tienen cabida en el mismo”. Seguidamente dice que la “contratación en la que tiene su origen la reclamación que inicia este procedimiento” tuvo lugar en noviembre del año 2013 y la comunicación por YOIGO de los datos del contratante al fichero BADEXCUG en marzo de 2014. Fechas en las que “ni tan siquiera se había aprobado el RGPD y la LOPDGDD. Es decir, sería aplicable la LOPD”. Por todo ello, después de invocar el principio de irretroactividad como fundamento básico de nuestro ordenamiento jurídico, afirma que “cualquier pretensión de valorar unos hechos acontecidos en 2013 y 2014 bajo el prisma del RGPD aprobado en 2016 y aplicable desde el 25 de mayo de 2018 es completamente contraria a los principios fundamentales de nuestro ordenamiento jurídico”. Estima que, en el presente caso, procedería aplicar la Ley Orgánica 15/1999, de Protección de Datos, por ser más favorable a esa parte y argumenta a tal fin que “en el derecho sancionador, penal o administrativo, en caso de colisión de dos normas cuya vigencia temporal ha sido diferente, pudiéndose aplicar cualquiera de ellas, es un principio básico del derecho que se aplique la que es más favorable al reo”. Y la norma más favorable es la LOPD “vigente en el momento de los hechos”, puesto que, conforme a la misma, “en concreto a su artículo 47, los hechos objeto de este procedimiento estarían prescritos desde 2017”. Razón por la cual, alega la reclamada, “bajo este razonamiento procede también el archivo de este procedimiento”. Se destaca que las alegaciones a la propuesta de resolución presentadas no incluyen ninguna mención a la segunda de las infracciones imputadas a la reclamada en este expediente sancionador, la vulneración del artículo 31 RGPD, en relación con el 58.1.
  10. e)RGPD, tipificada en el artículo 83.5.e). NOVENO: La suspensión de plazos administrativos acordada por el Real Decreto 463/2020 afectó al procedimiento sancionador PS/365/2019 cuyo acuerdo de inicio se había firmado el 19/11/2019. El cómputo de plazos se reanudó, a tenor del Real Decreto 463/2020, con fecha 01/06/2020. El Real Decreto 463/2020, “por el que se declara el estado de alarma para la gestión de la crisis sanitaria ocasionada por el Covid 19” (BOE de 14/03/2020) estableció en la Disposición Adicional tercera, “Suspensión de plazos administrativos”: “1. Se suspenden términos y se interrumpen los plazos para la tramitación de los procedimientos de las entidades del sector público. El cómputo de los plazos se reanudará en el momento en que pierda vigencia el presente real decreto o, en su caso, las prórrogas del mismo. 2. La suspensión de términos y la interrupción de plazos se aplicará a todo el C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 10/26 sector público definido en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.” El Real Decreto 537/2020 (BOE de 23/05/2020), establece en el artículo 9, “Plazos administrativos suspendidos en virtud del Real Decreto 463/2020, de 14 de marzo”: “Con efectos desde el 1 de junio de 2020, el cómputo de los plazos administrativos que hubieran sido suspendidos se reanudará, o se reiniciará, si así se hubiera previsto en una norma con rango de ley aprobada durante la vigencia del estado de alarma y sus prórrogas”. Así pues, la fecha de duración máxima del procedimiento PS/365/2019, según lo dispuesto en el artículo 64.2 de la LOPDGDD y aplicadas las normas de los Reales Decretos 463/2020 y 537/2020, es el 05/11/2020. A la vista de todo lo actuado, por la Agencia Española de Protección de Datos se consideran, en el presente procedimiento sancionador, los siguientes HECHOS PROBADOS 1.-La reclamante declara que ha tenido noticia por su entidad financiera de que, vinculado a su NIE, existe un contrato con la entidad reclamada. Aporta con su denuncia la copia de un documento de Ibercheck que informa de que en el fichero BADEXCUG existe una anotación de impago vinculada a su NIE, comunicada por YOIGO en fecha 16/03/2014. 2. Obra en el expediente, aportada por la reclamante, la copia por ambas caras del documento, expedido por una autoridad española en fecha 02/01/2017, denominado “Certificado de registro de ciudadanos de la Unión”. En el certificado consta el nombre de la reclamante -***NOMBRE.1-; su apellido -***APELLIDO.2-; su NIE, ***NIE.1; su nacionalidad, ***PAÍS.1 y su domicilio en España -plaza ***DIRECCIÓN.3 –. El documento informa de que la titular es residente comunitaria en España desde el 09/04/2014. El reverso del documento dice: “El presente certificado se expide de conformidad con lo establecido en los artículos 3.3 y 7.1 del Real Decreto 240/2007, de 16 de febrero, y teniendo en cuenta que este documento sólo prueba la inscripción en el Registro Central de Extranjero de la Dirección General de la Policía, si no se presenta en unión del pasaporte o documento de identidad”. 3.- La reclamada afirma que la reclamante suscribió con ella el 21/11/2013, de forma presencial en una distribuidora - “Tienda Bymobil”, con SFID ***VENDEDOR.1- tres contratos de telefonía que incluyen cada uno de ellos la adquisición de un terminal Samsung Galaxy S4. Ha manifestado que “YOIGO ha tratado regularmente los datos de la reclamante en virtud de contrato de servicio y, de ahí, asimismo, el tratamiento regular y ordinario de la relación entre las partes en virtud de las vicisitudes del contrato”. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 11/26 4.-La reclamada ha aportado los ejemplares de cada uno de los tres contratos que supuestamente la reclamante celebró con YOIGO, que versan sobre el servicio de telefonía, previa portabilidad de la numeración desde VODAFONE, y sobre la adquisición a plazos, para cada una de las tres líneas cuyo servicio se contrata, de un móvil marca y modelo Samsung Galaxy S4, color blanco, quedando supeditadas las ventajas financieras de la adquisición de los terminales al mantenimiento por la contratante del compromiso de permanencia. Cada contrato se identifica por una referencia: El que hemos denominado contrato 1, lleva la referencia ***REFERENCIA.1 y corresponde al número de línea ***TELÉFONO.1. El que hemos denominado contrato 2, tiene la referencia ***REFERENCIA.2 y corresponde a la línea ***TELÉFONO.2. El que hemos denominado contrato 3 lleva la referencia ***REFERENCIA.3 y corresponde a la línea telefónica número ***TELÉFONO.3. 5.- En los tres contratos, los datos del titular se reflejan en el apartado “Tus datos”. Consta el nombre de ***NOMBRE.1; el apellido ***APELLIDO.1 -diferente por tanto del de la reclamante-; el NIF ***NIE.1; la nacionalidad, ***PAÍS.1 y un domicilio en ***DIRECCIÓN.3, distinto del que se incluye en el Certificado de residente de la Unión de la reclamante y del que facilitó con su reclamación. 6.- Todos los contratos incluyen en el encabezado, debajo de “Contrato de alta con terminal financiado por BBVA Particulares” y del número de referencia que lo identifica, esta leyenda: “Los datos que tienen un asterisco “*” son imprescindibles para que Yoigo pueda darte de alta. Aquellos con dos asteriscos “**” son imprescindibles para que BBVA pueda tramitar el crédito”. En los tres contratos, en el último de los apartados, “Firma”, figura lo siguiente: “Firma *I**”, el espacio está en blanco. “Sello distribuidor *I**”, el espacio está en blanco; “Xfera Móviles, S.A.”, en los tres ejemplares aparece la misma rúbrica. “Banco Bilbao Vizcaya Argentaria, S.A.”, en los tres contratos se incorpora la misma rúbrica. 7.- Experian Bureau de Crédito, S.A., ha informado de que en el Histórico de Actualizaciones del Fichero BADEXCUG está registrado que la reclamada comunicó al citado fichero de solvencia, asociada al NIE ***NIE.1, con fecha de alta 16/03/2014, una operación impagada por un saldo deudor de 1.856,30 euros procedente de un servicio de telecomunicaciones. Experian Bureau de Crédito. S.A., ha informado que esta operación se dio de baja de BADEXCUG el 09/12/2018, como consecuencia de la “actualización automática del fichero de datos enviado por la entidad informante”. 8.- Durante el trámite informativo previo al acuerdo de admisión a trámite de la reclamación que nos ocupa, la AEPD se dirigió a la reclamada y solicitó su colaboración. La solicitud se le comunicó mediante escrito de fecha 02/10/2018 notificado electrónicamente, siendo aceptada la notificación por la reclamada el 03/10/2018. Para evacuar este trámite se otorgó a la reclamada el plazo de un mes. La reclamada no respondió a la petición informativa de la AEPD. 9.- La Inspección de Datos de la AEPD, en el marco de las actuaciones de investigación previa E/2053/2019, hizo dos requerimientos de información a la reclamada en fechas, respectivamente, 17/07/2019 y 23/09/2019. Los certificados C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 12/26 emitidos por el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la FNMT que obran en el expediente acreditan que ambos requerimientos se recibieron por la reclamada electrónicamente el 17/07/2019 y 30/09/2019, respectivamente. La reclamada no respondió a ninguno de ellos. 10.- Los dos requerimientos informativos de la Inspección de Datos, de fechas 17/07/2019 y 23/09/2019, otorgaban a la reclamada para evacuar ese trámite, respectivamente, un plazo de 15 días y de cinco días y en ambos escritos se ponía en su conocimiento que la información se solicitaba en uso de las facultades conferidas a la Inspección de Datos de la AEPD por los artículos 58.1 RGPD y 67 LOPDGDD y que, estando la reclamada obligada por el RGPD a colaborar en el desempeño de la función inspectora de la AEPD, el incumplimiento de dicha obligación podría entrañar una infracción de la normativa de protección de datos tipificada en el artículo 83.5.e, RGPD. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Procede analizar, en primer término, el argumento invocado por la reclamada en el apartado cuarto de sus alegaciones a la propuesta de resolución relativo a la “vulneración de los principios de irretroactividad y tipicidad” en la que, en su opinión, incurriría la AEPD si dictara una resolución sancionadora en los términos del acuerdo de inicio y de la propuesta de resolución. Añade que la norma aplicable a los hechos sobre los que versa la reclamación es la LOPD y que al amparo de la citada Ley Orgánica la infracción imputada estaría prescrita. A tal efecto, la reclamada manifiesta que la “contratación en la que tiene su origen la reclamación que inicia este procedimiento” tuvo lugar en noviembre del año 2013 y la comunicación por YOIGO de los datos del contratante al fichero BADEXCUG en marzo de 2014. Partiendo de estos hechos acreditados; del principio de irretroactividad de las leyes establecido en el artículo 2.3 del Código Civil y, tomando en consideración que el artículo 99.2 del RGPD dispone que el Reglamento será aplicable a partir del 25 de mayo de 2.018, llega a la conclusión de que “Por tanto, los hechos acaecidos con carácter previo a esa fecha no tienen cabida en el mismo”. Sobre la base del principio de irretroactividad, que impediría aplicar el RGPD y la LOPDGDD, advierte que “cualquier pretensión de valorar unos hechos acontecidos en 2013 y 2014 bajo el prisma del RGPD aprobado en 2016 y aplicable desde el 25 de mayo de 2018 es completamente contraria a los principios fundamentales de nuestro ordenamiento jurídico”. La reclamada considera que, de aplicar alguna norma a la conducta que es objeto de valoración en el expediente sancionador ésta debería de ser la Ley Orgánica C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 13/26 15/1999, de Protección de Datos de Carácter Personal, LOPD, que -dice- es la que estaba “vigente en el momento de los hechos”. Y la aplicación de la LOPD, a juicio de la reclamada, determinaría el archivo del expediente porque, a su entender, al amparo del artículo 47 LOPD la infracción estaría prescrita desde el año 2017. Sin embargo, además de subrayar que las alegaciones precedentes de la reclamada se refieren, sólo, a una de las infracciones de la normativa de protección de datos que se le atribuyeron en el acuerdo de inicio y en la propuesta de resolución -esto es, la vulneración del artículo 6.1,
  11. b)y
  12. f)del RGPD- y no son aplicables a la infracción del artículo 31, en relación con el 58.1.
  13. e)RGPD que también se le imputa, parece necesario hacer estas precisiones: El argumento jurídico que esgrime la reclamada para solicitar la aplicación de la LOPD es que “en el derecho sancionador, penal o administrativo, en caso de colisión de dos normas cuya vigencia temporal ha sido diferente, pudiéndose aplicar cualquiera de ellas, es un principio básico del derecho que se aplique la que es más favorable al reo”. Razón por la cual, dice, habría que aplicar la LOPD por ser la norma más favorable. Esta hipótesis, sin embargo, contempla el supuesto en el que la conducta infractora se comete bajo la vigencia de una norma y el procedimiento a través del cual se dilucida la existencia de responsabilidad penal o administrativa sancionadora se desarrolla estando vigente otra norma sustantiva distinta. En tal caso, aunque en virtud del principio de irretroactividad de las normas debe aplicarse la norma sustantiva vigente cuando se cometieron los hechos, el principio de “retroactividad de las disposiciones sancionadoras más favorables” -principio que el Tribunal Constitucional estima incluido, a sensu contrario, en el artículo 9.3 de la Constitución Españolapermite que el presunto responsable pueda optar por la ley que es posterior a los hechos en el tiempo, siempre que le resulte más favorable. Retroactividad de la norma sancionadora más favorable que recoge el artículo 26.2 de la Ley 40/2015 de Régimen Jurídico del Sector Público: “2. Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor o al infractor, tanto en lo referido a la tipificación de la infracción como a la sanción y a sus plazos de prescripción, incluso respecto de las sanciones pendientes de cumplimiento al entrar en vigor la nueva disposición.” El argumento invocado por la reclamada no es extrapolable al asunto que nos ocupa. La única norma sustantiva que procedería aplicar en el presente caso es el RGPD pues ésta es la norma que está vigente cuando se inicia el procedimiento sancionador y, a la vez, la norma vigente en el momento en el que se entiende cometida la infracción, según doctrina del Tribunal Supremo (por todas, STS 17/04/2002. Rec. 466/2000) La reclamada -que afirma insistentemente que LOPD estaba “vigente en el momento de los hechos”; que el contrato del que traen causa los hechos acaecidos data de noviembre de 2013 y que la inclusión en el fichero de solvencia BADEXCUG se produjo en el año 2014- olvida mencionar elementos que son determinantes en esta cuestión: Que no será hasta el 09/12/2018 cuando dé de baja del fichero BADEXCUG la incidencia informada a ese fichero de solvencia asociada al NIF de la reclamante, lo que implica que hasta esa fecha, al menos, habría continuado tratando los datos personales de la reclamante. Extremo que ha de ponerse en relación con el particular C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 14/26 funcionamiento de los ficheros de solvencia. Para que las anotaciones comunicadas a estos ficheros permanezcan activas, el acreedor informante debe confirmar la inclusión periódicamente -periodicidad que en el caso de BADEXCUG es semanal- pues, de no ser así, la anotación se da de baja del fichero automáticamente. El mantenimiento en el fichero BADEXCUG hasta el 09/12/2018 de la anotación vinculada al NIE de la reclamante que YOIGO había comunicado en 2014, presupone, necesariamente, que la entidad reclamada trató hasta esa fecha, al menos, los datos personales de la reclamante. En definitiva, aunque el tratamiento de los datos personales de la reclamante por la reclamada se inició antes de que existieran LOPD y RGPD -en los años 2013 la contratación y en 2014 la inclusión en BADEXCUG- y estando vigente la LOPD, la presunta infracción atribuida a la reclamada -calificada de vulneración del artículo 6.1., apartados
  14. b)y
  15. f)RGPD- participa de la naturaleza propia de las denominadas infracciones permanentes, en las que la consumación se proyecta en el tiempo más allá del hecho inicial y se extiende, vulnerando la normativa de protección de datos, durante todo el periodo de tiempo en el que el dato es objeto de tratamiento. Pues bien, en las infracciones de esa naturaleza, ha de aplicarse la norma que está vigente cuando la conducta infractora termina, siendo esa la fecha en la que la infracción se entiende cometida. El Tribunal Supremo se ha pronunciado sobre qué norma debe de aplicarse en aquellos supuestos en los que las infracciones se prolongan en el tiempo y ha habido un cambio normativo mientras se cometía la infracción. La STS de 17/04/2002 (Rec. 466/2000) versa sobre un caso en el que se aplicó una disposición que no estaba vigente en el momento inicial de comisión de la infracción, pero sí en los posteriores, en los que la conducta infractora continuaba produciéndose. La Sentencia examinó un supuesto que versaba sobre la sanción impuesta a una Jueza por incumplimiento de su deber de abstención en unas Diligencias Previas. La sancionada alegó la no vigencia cuando ocurrieron los hechos del artículo 417.8 de la LOPJ aplicado. La STS consideró que la infracción se había venido cometiendo desde la fecha de la incoación de las Diligencias Previas hasta el momento en que la Jueza fue suspendida en el ejercicio de sus funciones, en el que la disposición ya estaba vigente, por lo que esa norma sí era de aplicación. En idéntico sentido se pronuncia la SAN de 16/09/2008 (Rec.488/2006) En consecuencia, la fecha en la que debemos entender cometida la presunta infracción del artículo 6.1, apartados
  16. b)y
  17. f)RGPD, atribuida a la reclamada, es la del momento en que ésta finaliza, que con la información disponible sería el 09/12/2018. En esa fecha las normas vigentes en materia de protección de datos eran el RGPD y la LOPDGDD (entró en vigor el 07/12/2018). Y la Ley Orgánica, a propósito de los plazos de prescripción, dispone que las infracciones muy graves tienen un plazo de prescripción de tres años (artículo 72) Así pues, la aplicación del RGPD a los hechos sobre los que versa la reclamación en ningún caso vulnera el principio de irretroactividad. Por otra parte, al ser la norma aplicable el RGPD, la presunta infracción del artículo 6.1. RGPD atribuida a la reclamada en ningún caso habría prescrito, por lo que la prescripción no podría servir de fundamento jurídico del archivo del expediente que la reclamada solicita en sus alegaciones a la propuesta de resolución. Paralelamente, por lo que respecta a la infracción del artículo 31, en relación con C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 15/26 el artículo 58.1.e, ambos del RGPD, tipificada en el artículo 83.5.
  18. e)RGPD que también se atribuyó a la reclamada en el acuerdo de inicio -imputación que se confirmó en la propuesta de resolución- cabe indicar que la conducta en la que se materializa tal infracción aconteció durante el año 2019, vigente el RGPD. Recordemos que el acuerdo de admisión a trámite de la reclamación se firmó el 19/02/2019 y que los requerimientos informativos de la Inspección de Datos a los que la reclamada no respondió son de fecha 17/07/2019 y 23/09/2019. De tal modo que, respecto a esta infracción, tampoco procede plantear ni la vulneración del principio de tipicidad ni menos aún del de irretroactividad de las normas. III En el acuerdo de inicio del expediente sancionador se atribuyeron a la reclamada dos infracciones del RGPD. Una de ellas, a la que haremos referencia en este Fundamento III, es la vulneración del artículo 6.1, apartados
  19. b)y f), RGPD, en relación con el artículo 5.1.
  20. a)RGPD. El artículo 5.1.
  21. a)RGPD dispone que “1. Los datos personales serán:
  22. a)tratados de manera lícita, leal y transparente con el interesado;” El principio de licitud se desarrolla, entre otros preceptos, en el artículo 6 RGPD que, bajo la rúbrica “Licitud del tratamiento”, detalla en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  23. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  24. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)
  25. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. (...)” La vulneración del apartado
  26. f)del artículo 6.1 RGPD atribuida a la reclamada estaba relacionada con el artículo 20 de la LOPDGDD -enmarcado en el Título IV, “Disposiciones aplicables a tratamientos concretos”- relativo a los “Sistemas de información crediticia”, norma que dispone: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
  27. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
  28. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 16/26
  29. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
  30. d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
  31. e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
  32. a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
  33. f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. (...)” La vulneración del artículo 6.1, apartados
  34. b)y
  35. f)del RGPD se encuentra tipificada en el artículo 83.5.
  36. a)RGPD que establece: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  37. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” En la propuesta de resolución del expediente sancionador se confirmó la atribución a la reclamada de sendas infracciones del artículo 6.1. RGPD, apartados
  38. b)y f), tipificadas en el artículo 83.5.
  39. a)RGPD y se propuso imponer una sanción de C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 17/26 multa de 100.000 euros. La propuesta de resolución confirmó la imputación a la reclamada de la citada infracción del RGPD a la luz de la documentación que entonces obraba en el expediente y que se obtuvo, esencialmente, durante la fase de prueba. En este sentido se ha de recordar que la reclamada no había respondido a la petición de información de la Agencia; no respondió tampoco a los dos requerimientos informativos que le hizo la Inspección de Datos de la AEPD y que, en el trámite de alegaciones al acuerdo de inicio, no aportó ningún documento ni hizo otra manifestación que no fuera declarar que había tratado los datos de la reclamante en el desarrollo normal de una relación contractual. Por tanto, hasta la práctica de prueba los únicos documentos que obraban en el expediente administrativo eran los que la reclamante aportó con su denuncia: La copia de la tarjeta del Certificado que acreditaba estar incluida en el registro de ciudadanos de la Unión en la que constaba su NIE y el documento de Ibercheck que versaba sobre una inclusión en BADEXCUG por una deuda de 1.856,30 € vinculada a su NIE. En respuesta a las pruebas que se practicaron durante la instrucción, la reclamada aportó abundante documentación no obstante la cual la propuesta de resolución apreció la comisión de la infracción del artículo 6.1 RGPD. Esta documentación consistió en la copia de tres contratos que según manifestación de la reclamada se habían celebrado de forma presencial ante uno de sus distribuidores en noviembre de 2013 y que tenían por objeto el servicio telefónico de tres líneas móviles portadas desde el operador VODAFONE y la adquisición financiada de tres terminales móviles de alta gama. En los tres contratos facilitados se incluían los datos del titular, el nombre ***NOMBRE.1, coincidente con el nombre de la reclamante; el apellido, ***APELLIDO.1, distinto del de la reclamante; el NIE, idéntico al de la reclamante y el domicilio en calle ***DIRECCIÓN.3, que difería del facilitado por la reclamante en su denuncia. Lo relevante en la documentación aportada en fase de prueba era que los tres contratos carecían de firma y del sello del distribuidor y que en el encabezado de los documentos contractuales se advertía que éstos no tendrían validez si no constaba en ellos la firma del cliente y el sello del distribuidor. Esa circunstancia, unida al hecho de que la reclamada no aportó en su respuesta a las pruebas practicadas ningún tipo de documento relativo a la identidad de la persona que contrató del que pudiera inferirse que, con ocasión de la contratación, había desplegado una mínima diligencia a fin de comprobar que la persona que le facilitaba como propios unos datos personales era su titular, obligaron a apreciar la responsabilidad de la reclamada en la comisión de una infracción del artículo 6.1.,
  40. b)y
  41. f)del RGPD. Así, en la propuesta de resolución se argumentó lo siguiente respecto a esta infracción del RGPD: <<(...) En el supuesto analizado, la base jurídica de los tratamientos de datos efectuados por la reclamada, atendidas las características de esos tratamientos, debían ser los artículos 6.1.
  42. b)RGPD -que alude al tratamiento necesario para la ejecución de un contrato en el que es parte el titular de los datos- y 6.1.
  43. f)RGPD -fundamento relativo a la satisfacción del interés legítimo perseguido por el responsable del tratamiento siempre que sobre dicho interés no prevalezcan los derechos y libertades fundamentales del interesado que requieran la protección de C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 18/26 datos personales-. (...) Las conductas en las que se concreta la vulneración del artículo 6.1. RGPD de las que se responsabiliza a la reclamada fueron las siguientes: B. De una parte, el tratamiento de los datos de la reclamante -su NIE, ***NIE.1, y su nombre, ***NOMBRE.1- vinculados a tres contratos -“Contrato de alta con terminal financiado por BBVA Particulares”identificados con las referencias ***REFERENCIA.1, para la línea número ***TELÉFONO.1; ***REFERENCIA.2, de la línea ***TELÉFONO.2; y número ***REFERENCIA.3, para la línea de telefonía móvil ***TELÉFONO.3. Los tres contratos llevan fecha de 21/11/2013, que es cuando estimamos se inició el tratamiento ilícito por la reclamada. El fin del tratamiento ilícito se estima acaecido el 09/12/2018, habida cuenta de que no nos consta que hubiera continuado después de esa fecha. (...) (....) a la luz de la documentación aportada por la reclamada, no existe en el presente caso ninguna prueba de que la reclamante hubiera contratado con ella alguno de los servicios y productos que se dieron de alta vinculados a su NIE y a su nombre. Si bien la reclamada ha facilitado a la AEPD en fase de prueba tres ejemplares del “Contrato de alta con terminal financiado por BBVA Particulares” -incluso nos ha remitido tres copias por cada uno de los contratos (copias para YOIGO, para el cliente y para la entidad financiera)-, todos ellos de fecha 21/11/2013, en los que figuran, en el apartado relativo a los datos del titular, el NIE y el nombre de la reclamante, estos documentos nada acreditan sobre el hecho de que la reclamante hubiera contratado con la reclamada. Ninguno de los tres documentos que la reclamada ha facilitado ... se encuentran firmados por la titular de los datos y supuesta contratante. El propio documento contractual advierte en su encabezado que “Los datos que tienen un asterisco “*” son imprescindibles para que Yoigo pueda darte de alta. Aquellos con dos asteriscos “**” son imprescindibles para que BBVA pueda tramitar el crédito”. En los tres contratos facilitados a esta Agencia, en el epígrafe “Firma”, aparece la anotación “Firma *I**”, precediendo al espacio destinado a la firma del cliente y la indicación “Sello distribuidor *I**”, precediendo al espacio destinado al sello del distribuidor ante el que se celebra, presencialmente, el supuesto contrato. Con tales anotaciones el documento contractual nos está advirtiendo que la firma del cliente y el sello del Distribuidor son indispensables para que la operadora dé de alta un servicio telefónico y para que BBVA -que es quien interviene financiando la compra a plazos de los terminales móviles, según detalla el Condicionado General del contrato- tramite el crédito a favor del cliente. (...) Se añade a lo anterior otro extremo esencial .... La reclamada no ha facilitado a esta Agencia ningún documento que haga prueba de la identidad de la persona que, supuestamente, contrató con ella y facilitó como suyos el NIE ***NIE.1, el nombre de ***NOMBRE.1, el apellido ***APELLIDO.1 y el domicilio ***DIRECCIÓN.3 (...) la acreditación de la identidad de la persona que contrata forma parte de la actividad probatoria que incumbe a la responsable del tratamiento (...) Sin embargo, no ha aportado ningún documento relativo a la identidad de la persona que presuntamente suscribió los contratos que han dado origen a los hechos que nos ocupan. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 19/26 (...) C. La segunda conducta de la reclamada contraria al principio de licitud, por vulneración en este caso del artículo 6.1.
  44. f)RGPD, es la comunicación al fichero de solvencia BADEXCUG de una incidencia vinculada al NIE de la reclamante por una supuesta deuda de 1.856,30 euros. La incidencia se dio de alta el 16/03/2014 y de baja el 09/12/2018 como consecuencia de la “actualización automática del fichero de datos enviado por la entidad informante”. Esto significa que la anotación que publicaba el sistema de información crediticia BADEXCUG, la condición de deudora de la titular del NIE ***NIE.1, la reclamante, se mantuvo activa durante más de cuatro años. (...) El artículo 20 de la LOPDGDD contiene una presunción iuris tantum de prevalencia del interés legítimo del responsable del tratamiento que comunica datos de terceros a los sistemas de información crediticia, conocidos popularmente como ficheros de solvencia o morosidad. Para que la presunción referida despliegue su eficacia tienen que cumplirse todos los requisitos que el precepto detalla en su apartado 1, letras
  45. a)a f). El tratamiento de datos en que se concreta la conducta de la reclamada ahora examinada -la comunicación de los datos de la reclamante al fichero BADEXCUG y su mantenimiento en ese fichero durante más de cuatro años- no puede fundarse en la presunción del artículo 20 LOPDGDD pues no se cumplía uno de los requisitos sobre los que la Ley Orgánica 5/2018 construye esta presunción. (...) Resulta evidente, a tenor de la documentación que obra en el expediente, que la deuda por importe de XXX euros que la reclamada informó a BADEXCUG vinculada al NIF de la reclamante no reunía el requisito de “certeza”, pues tal deuda no era cierta con relación a la persona a la que se atribuía y cuyos datos personales fueron objeto de tratamiento. (...). El núcleo de la cuestión es que, en tanto la reclamada no ha acreditado que fuera efectivamente la reclamante quien suscribió con ella los contratos de los que derivan las deudas, tampoco queda acreditada la condición de deudora de la reclamante. >> En el trámite de alegaciones a la propuesta de resolución la reclamada ha aportado documentación diversa y de gran relevancia que incide directamente en la valoración jurídica de las conductas que hasta ahora habíamos calificado como vulneración del artículo 6.1., letras
  46. b)y f), del RGPD. El artículo 82 de la LPACAP, “Trámite de audiencia”, establece en el apartado 2 que “Los interesados, en un plazo no inferior a diez días ni superior a quince, podrán alegar y presentar los documentos y justificaciones que estimen pertinentes”. Los documentos aportados son, en síntesis, los siguientes: (
  47. i)Los “originales” de los tres contratos que se celebraron a través de un distribuidor de YOIGO de forma presencial. Los tres contratos se encuentran debidamente firmados por el cliente y llevan también el sello del distribuidor. Ha aportado, respecto a cada uno de los números de línea para los que se contrata el servicio de telefonía móvil, el documento de solicitud de portabilidad de numeración móvil desde VODAFONE, debidamente firmado por el solicitante. Los datos que constan en los contratos aportados en este trámite -tanto los relativos a la identidad del titular del contrato (nombre, apellido, NIE, domicilio y cuenta C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 20/26 bancaria), al objeto de los contratos, a la fecha, el número de referencia o a la línea de telefonía móvil sobre la que versa cada uno- son idénticos a los que constaban en los documentos contractuales que la reclamada aportó en el trámite de prueba y que carecían de firma y sello. Se ha aportado también (
  48. ii)un recibo de adeudo por domiciliación bancaria emitido por BBVA el 12/11/2013 en el que el ordenante es el operador VODAFONE y el titular de la cuenta de cargo una persona identificada con el mismo nombre y apellido de la titular de los tres contratos -esto es, ***NOMBRE.1***APELLIDO.1-. Los dígitos de la cuenta de cargo que aparecen en el recibo bancario son los mismos que se incluyen en los tres contratos a efectos de domiciliación de las facturas. En el recibo bancario aportado el domicilio de la titular de la cuenta coincide con el que figura en los tres contratos como domicilio de la contratante, calle ***DIRECCIÓN.3 Además, el documento bancario de adeudo en cuenta muestra que el ordenante del cargo es el operador de telecomunicaciones VODAFONE ESPAÑA, S.A.U., que es también el operador que aparece como donante de las tres líneas de telefonía móvil contratadas con YOIGO. Otro de los documentales aportados (iii) es un Certificado de Registro de Ciudadanos de la Unión” en el que el encargado del Registro Central de Extranjeros de la Comisaría Provincial de ***LOCALIDAD.1 certifica que, de conformidad con lo establecido en los artículos 3.3 y 3.7 del Real Decreto 240/2007, de 16 de febrero, y teniendo presente que este documento sólo prueba la inscripción en el Registro Central de Extranjeros si se presenta en unión del pasaporte o documento de identidad en vigor, la persona que a continuación se indica, ha solicitado y obtenido su inscripción en el Registro Central de Extranjeros (...) como residente comunitario en España, desde el 15/11/2010: D. ***NOMBRE.1***APELLIDO.1; nacido/a el 05/08/1985, en ***LOCALIDAD.2 (***PAÍS.1); hijo de Gabriel y Viorica. Nacionalidad: ***PAÍS.1. Domicilio: calle ***DIRECCIÓN.2. Número de Identidad de Extranjero (NIE) ***NIE.1. El documento incluye en dos ocasiones este “Aviso: Documento no válido para acreditar la identidad ni la nacionalidad del portador”. La conducta que se tomó en consideración para atribuir a la reclamada una infracción del principio de licitud fue el tratamiento de los datos personales de la reclamante -NIE y nombre- sin que estuviera acreditada la base jurídica que lo amparaba. El tratamiento efectuado por la reclamada consistió en dar de alta tres contratos a nombre de una persona identificada con el NIE y nombre de la reclamante y en incluir el NIE en el fichero de solvencia BADEXCUG asociado a una deuda impagada derivada de dichos contratos. La reclamada ha aportado con sus alegaciones a la propuesta de resolución los documentos que sirven, a su juicio, de fundamento a las causas de licitud descritas en los apartados
  49. b)y
  50. f)del artículo 6.1 RGPD. Ha aportado tres contratos suscritos con ella a través de un distribuidor en los que los datos de la persona contratante coinciden con los de la reclamante en el NIE y el nombre -***NOMBRE.1-, aunque no en el apellido -en el contrato figura ***APELLIDO.1 y la reclamante dice apellidarse ***APELLIDO.2- ni en el domicilio. Los tres contratos están firmados por la persona contratante. Y a fin de acreditar que la persona que se identificó con los datos que constan en los contratos y los facilitó como propios era quien decía ser, ha aportado el documento denominado Certificado de registro de ciudadanos de la Unión cuyos datos coinciden con los que constan en los tres contratos para identificar a su titular. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 21/26 Ahora bien, el Certificado incluye en dos ocasiones un aviso que informa de que ese documento no es válido para acreditar la identidad ni la nacionalidad del portador y en el texto del documento se advierte que “(..) este documento sólo prueba la inscripción en el Registro Central de Extranjeros si se presenta en unión del pasaporte o documento de identidad en vigor”. No puede otorgarse al Certificado aportado el poder de acreditar la identidad de la persona contratante, pero al haber recabado ese documento demuestra, en principio, que la reclamada, con ocasión de la celebración de los tres contratos, desplegó alguna diligencia encaminada a la identificación de la persona contratante. La reclamada, a través de su distribuidor, también recabó de la persona que contrató y facilitó como propios los datos que constan en los contratos otros documentos que revelan que se identificaba con esos mismos datos ante su entidad financiera. El recibo de BBVA de adeudo en cuenta prueba que en noviembre de 2013 la persona contratante estaba identificada ante dicha entidad con el mismo nombre, apellido y domicilio que facilitó a la reclamada en la contratación. Además, la cuenta bancaria de la que era titular, según el recibo de BBVA, es la que aparece en los contratos como cuenta de domiciliación del pago. Del mismo modo, el ordenante del cargo bancario que figura en el recibo de BBVA, la operadora VODAFONE, es también, a tenor de los contratos, la operadora donante en la portabilidad de las líneas telefónicas cuyos servicios se contrataron con la reclamada. En definitiva, aunque el Certificado de registro de ciudadanos de la Unión carece por sí solo de fuerza para acreditar la identidad de la persona que lo exhibe, hay en el procedimiento otros documentos que demuestran que esos datos identificaban a la persona contratante válidamente en otros ámbitos, como en sus relaciones con el BBVA, del que era cliente, o con la operadora VODAFONE, con la que tenía contratados servicios cuyo pago tenía domiciliado en su cuenta bancaria. Valorados en conjunto los diversos documentos que la reclamada ha aportado parece justo concluir que, atendidas las circunstancias del caso, desplegó una diligencia mínima y razonable en la identificación de la persona que suscribió los contratos y facilitó como suyos el NIE y el nombre de la reclamante. Y también es ejemplo de diligencia en el cumplimiento de las obligaciones impuestas por el RGPD que la reclamada haya conservado la documentación referente a la contratación y a la identidad del contratante, que fue recabada en el año 2013, fecha de las contrataciones, a fin de poder acreditar la licitud del tratamiento de datos efectuado. La diligencia demostrada por la reclamada en la identificación de la persona que contrató y facilitó como suyos los datos personales de NIE y nombre de la reclamada impide apreciar en el supuesto examinado la concurrencia de culpa o negligencia, necesaria para poder exigir responsabilidad administrativa. Como indicó la SAN de 29/04/2010, (Fundamento Jurídico sexto), “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) La presencia del elemento subjetivo o culpabilidad en sentido amplio, como condición para que nazca la responsabilidad sancionadora, ha sido confirmada por el Tribunal Constitucional, entre otras, en su STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 22/26 artículos 9.3 y 25.1 de la C.E., es imprescindible su existencia para imponerla. En idéntico sentido, la Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28.1. que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como(...), que resulten responsables de los mismos a título de dolo o culpa.” En consecuencia, estando ausente el elemento subjetivo de la infracción -toda vez que la documentación aportada muestra que la reclamada actuó con una diligencia mínima y razonable para garantizar la identidad de la persona que contrató y facilitó como propios determinados datos personales- corresponde acordar el archivo del procedimiento en lo relativo a la infracción del artículo 6.1, apartados
  51. b)y
  52. f)RGPD que se atribuyó a la reclamada en el acuerdo de inicio del expediente sancionador. IV A. El artículo 58 RGPD se refiere a los poderes otorgados a las autoridades de control y hace referencia en el apartado 1 a sus “poderes de investigación”, precepto que establece: “1. Cada autoridad de control dispondrá de todos los poderes de investigación indicados a continuación:(…)
  53. e)obtener del responsable y del encargado del tratamiento el acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones;
  54. f)obtener el acceso a todos los locales del responsable y del encargado del tratamiento, incluidos cualesquiera equipos y medios de tratamiento de datos, de conformidad con el Derecho procesal de la Unión o de los Estados miembros.” A su vez, el artículo 31 RGPD -relativo a las obligaciones generales del responsable y del encargado de tratamiento, Sección 1, del Capítulo IV del Reglamento (UE) 2016/679- señala: “El responsable y el encargado de tratamiento, y en su caso sus representantes cooperaran con la autoridad de control que lo solicite en el desempeño de sus funciones”. Por otra parte, la LOPDGDD, artículo 51.1, establece que “La Agencia Española de Protección de Datos desarrollará su actividad de investigación a través de las actuaciones previstas en el Título VIII y de los planes de auditoria preventivas”. La LOPDGDD encuadra en este Título el artículo 67, que versa sobre las actuaciones de investigación previa. Además, el artículo 53 de la LOPDGDD se refiere al alcance de la actividad de investigación e indica en el apartado 1 que “Quienes desarrollen la actividad de investigación podrán recabar las informaciones precisas para el cumplimiento de sus funciones, realizar inspecciones, requerir la exhibición o el envío de los documentos y datos necesarios, examinarlos en el lugar en que se encuentren depositados o en donde se lleven a cabo los tratamientos obtener copia de ellos, inspeccionar los equipos físicos y lógicos y requerir la ejecución de tratamientos y programas o procedimientos de gestión y soporte del tratamiento sujetos a investigación”. El incumplimiento por un responsable del tratamiento de la obligación que le impone el artículo 31 del RGPD, en relación con las facultades que en materia de C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 23/26 inspección tiene atribuidas esta Agencia por el artículo 58.1
  55. e)del citado Reglamento (UE) 2016/679, es subsumible en el tipo sancionador del artículo 83.5.
  56. e)RGPD que dice: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  57. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1. (El subrayado es de la AEPD) A efectos de prescripción, la LOPDGDD califica en su artículo 72.1. como infracción muy grave: “
  58. o)La resistencia u obstrucción del ejercicio de la función inspectora por la autoridad de protección de datos competente”. El plazo de prescripción de las infracciones muy graves es de tres años. B. La documentación que obra en el expediente administrativo acredita que la reclamada se negó a colaborar con la actuación inspectora llevada a cabo por el Servicio de Inspección de la AEPD en el marco del E/2053/2019 y que al tomar la decisión de no colaborar con la investigación desarrollada por la autoridad de control era plenamente consciente de las consecuencias que podían derivarse de su conducta omisiva. Prescindiendo de la petición informativa que la Agencia hizo a la reclamada antes del inicio de las actuaciones de investigación previa -esto es, antes de que se hubiera acordado la admisión a trámite de la reclamación-, solicitud informativa a la que tampoco respondió, y centrándonos en las actuaciones de investigación previa, pues a tenor del artículo 51.1 LOPDGDD éstas se encuadran en la función investigadora que tienen reconocida las autoridades de control y que desarrolla el artículo 58.1 RGPD, se destacan estas circunstancias: La reclamada no dio ninguna respuesta a la AEPD. El único escrito recibido de ella en el curso de las actuaciones de investigación previa es de fecha 07/08/2019 y en él solicita que se amplíe el plazo para responder al requerimiento informativo que se le había hecho el 17/07/2019 y que recibió en esa misma fecha. En ese requerimiento se le otorgaba un plazo de quince días hábiles para evacuar el trámite. La AEPD responde en escrito de 12/08/2019 y concede la ampliación de plazo solicitada. La respuesta de esta Agencia, que se notifica electrónicamente en la misma fecha, es aceptada por la reclamada siete días después, el 19/08/2019. No se recibe ninguna respuesta. La Inspección de Datos envió a la reclamada un segundo requerimiento informativo de fecha 23/09/2019, que se puso a disposición en la sede electrónica el mismo día y cuya notificación fue aceptada por la reclamada el 30/09/2019. La reclamada no respondió tampoco a este segundo requerimiento. En definitiva, pese a que la recepción por la reclamada de ambos requerimientos informativos de la Inspección de Datos consta acreditada, no respondió a ninguno de ellos. La segunda circunstancia relevante es que en los dos requerimientos que se C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 24/26 enviaron a la reclamada se le informaba con detalle de las consecuencias que podrían derivarse de no atender la petición de colaboración con la AEPD. Se le recordó la obligación que le impone el RGPD de colaborar en el desarrollo de la función inspectora y que el incumplimiento de dicha obligación podría comportar la comisión de una infracción tipificada en el artículo 83.5.e, RGPD por infracción del artículo 58.1. RGPD. En consideración a los hechos probados, se estima que la reclamada incurrió en una infracción del articulo 31 RGPD, en relación con el artículo 58.1.e, de la misma norma, tipificada en el artículo 83.5.
  59. e)RGPD y calificada por la LOPDGDD a efectos de prescripción, como infracción muy grave (artículo 72.1.o,) C. En la determinación de la multa administrativa a imponer por la infracción del artículo 31, en relación con el artículo 58.1.e), RGPD, se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD. Atendiendo a la exigencia del RGPD de que las multas administrativas sean “efectivas, proporcionadas y disuasorias” y a las previsiones de los artículos 83.4 y 83.5 RGPD, debe tomarse en consideración el volumen total anual global del ejercicio financiero anterior de la reclamada. Bien entendido que, como precisa el Considerando 150 del RGPD, “Si las multas administrativas se imponen a una empresa, por tal debe entenderse una empresa con arreglo al artículo 101 y 102 del TFUE”. El grupo MASMOVIL al que pertenece la reclamada obtuvo en el ejercicio 2018 unos ingresos de 1.451 millones de euros y un beneficio neto de 71 millones de euros. Analizadas las circunstancias que presiden la conducta infractora, a fin de concretar el importe de la sanción de multa que deba imponerse a la responsable, se estima que están presentes los siguientes elementos que entrañan una agravación de la culpabilidad del sujeto infractor y/o de la antijuridicidad de su conducta. - La reclamada actuó con una falta de diligencia extremadamente grave cuando se negó de forma reiterada a colaborar con la función inspectora que la AEPD estaba ejerciendo. Negativa que no puede justificarse ni en la existencia de alguna incidencia en las notificaciones de los requerimientos informativos, pues se recibieron correctamente por la reclamada, ni en el transcurso de los plazos otorgados para responder. La AEPD actuó con total flexibilidad y dio toda clase de facilidades a la reclamada para que pudiera prestar la colaboración solicitada. Se ampliaron los plazos para responder en el momento en que la reclamada lo solicitó -pese al tiempo transcurrido entre la recepción del requerimiento informativo y la petición de ampliación del plazo- y se dejó pasar un tiempo considerable después de que los plazos vencieran y antes de reiterar el requerimiento informativo. Tampoco se obtuvo ningún tipo de respuesta al segundo requerimiento de colaboración. Circunstancia agravante que se encuadra en el artículo 83.2.b, RGPD. - La vinculación entre la actividad de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD) En atención a las consideraciones precedentes, se acuerda sancionar a la reclamada por la infracción del artículo 31, en relación con el 58.1.e, RGPD, tipificada en el artículo 83.5.
  60. e)RGPD y calificada por la LOPDGDD a efectos de prescripción como infracción muy grave (artículo72.1.o,), con una multa administrativa de 20.000 euros. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 25/26 Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: RESPECTO a la a la presunta infracción del artículo 6.1. letras
  61. b)y
  62. f)del RGPD, que se atribuyó a XFERA MÓVILES, S.A., con NIF A82528548, en el acuerdo de inicio de este expediente sancionador, ACORDAR el ARCHIVO del procedimiento sancionador por INEXISTENCIA DE INFRACCIÓN, al haber aportado la reclamada los documentos que así lo acreditan. SEGUNDO: MPONER a XFERA MÓVILES, S.A., con NIF A82528548, por una infracción del artículo 31 del RGPD, en relación con el artículo 58.1.e, tipificada en el artículo 83.5.
  63. e)del RGPD, una sanción de veinte mil euros (20.000 €). TERCERO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  64. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  65. a)de la LPACAP, se C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 26/26 podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.