← España

PS-00385-2019

1/9  Procedimiento Nº: PS/00385/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 6 de noviembre de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra XFERA MÓVILES, S.A. con NIF A82528548 (en adelante, el reclamado). Los motivos en que basa la reclamación son que el día 5 de noviembre de 2018 al acceder a su área de cliente a través de la dirección www.llamaya.com y al querer realizar consultas sobre su línea telefónica ***TELEFONO.1 observa que han cambiado sus datos de cliente estando su línea asociada un tercero pudiendo acceder a los datos de éste (nombre, teléfono, domicilio). El DNI que aparece sigue siendo el suyo, así como la cuenta bancaria. Que se puso en contacto con la compañía Llamaya a través del número 2376 explicando lo sucedido y que cuando realizó la portabilidad todo estaba correcto y abren la incidencia nº ***INCIDENCIA.1. La compañía le confirma que les aparece que la línea se encuentra a su nombre, pero también a nombre de otra persona. Y, entre otra, anexa la siguiente documentación:  Contrato de la línea con la anterior compañía.  Factura de la línea con la anterior compañía. SEGUNDO: A la vista de los hechos denunciados en la reclamación, de los documentos aportados por el reclamante y de los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. Asimismo, se constatan los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 Con fecha 17 de diciembre de 2018, se da traslado de la denuncia a XFERA MÓVILES, S.A. en las actuaciones con referencia E/10136/2018. La notificación figura entregada con fecha de acuse 27 de diciembre de 2018. No se recibe contestación. Con fecha 1 de abril de 2019 se inician las presentes actuaciones. Con fecha 9 de abril de 2019, el denunciante remite a esta Agencia la siguiente información: 1. Manifiesta que la compañía Llamaya solventó el error y puso de nuevo la línea a su nombre tras lo cual efectuó portabilidad a su actual operador O2. 2. Aporta factura de Llamaya donde figura su línea y el nombre, apellidos y dirección de la tercera persona. 3. Aporta captura de pantalla del área de cliente de Llamaya donde figuran los datos personales (nombre, apellidos y dirección) de la tercera persona. 4. Aporta factura con su nuevo operador O2. Con fecha 10 de mayo de 2019, XFERA MÓVILES, S.A. remite a esta Agencia la siguiente información: 1. Manifiestan que en cuanto tuvo conocimiento de la incidencia adoptó las medidas a su alcance para impedir cualquier actuación maliciosa, así como para proteger a su cliente. Aporta copia impresa de correo electrónico dirigido al denunciante conteniendo las siguientes manifestaciones:

  1. a)Que están interesados en resolver la incidencia y conocer las posibles causas de la misma.
  2. b)Que se han modificado los datos de la posible línea contratada de forma fraudulenta y están trabajando en adoptar las medidas oportunas a fin de solucionar la incidencia.
  3. c)Que se han adoptado nuevas medidas internas con la finalidad de que esta circunstancia no se produzca en el futuro. 1. Señalan que aún se desconoce plenamente lo ocurrido y por ello no pueden exponer las causas que han originado la incidencia. Pero, a la vista de los datos conocidos, tienen sospechas de una actuación maliciosa por parte de un tercero. 2. Indican que han abierto incidencia ***INCIDENCIA.1, la cual quedará supeditada al resultado de las actividades judiciales que se sigan al presentar los hechos comunicados apariencia delictiva. 3. Y por último exponen que se están adoptando internamente acciones oportunas de cara a implementar nuevas medidas formativas, incluyendo asesoramiento externo, a los efectos de reforzar las precauciones que se deben adoptar por todo el personal de este operador implicado en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 procesos comerciales correspondientes, a fin de evitar o, al menos, dificultar las actuaciones maliciosas de terceros con especial atención a las tentativas de suplantación. Con fecha 1 de julio de 2019, XFERA MÓVILES, S.A. remite a esta Agencia la siguiente información: 1. Aporta la misma contestación, ya remitida a esta Agencia, de fecha 10 de mayo de 2019. 2. Manifiesta que el cliente está actualmente dado de baja desde el 12 de noviembre de 2018. Aporta captura de pantalla con la fecha de desactivación. 1. Manifiesta que ya no se detectan los datos del otro titular en los datos del cliente. 2. Aporta un documento referido al denunciante con, entre otros, los siguientes datos: a. Nombre y apellidos, DNI, dirección postal, correo electrónico, fecha de nacimiento, teléfono de contacto. b. Producto contratado constando el número de contrato y la línea ***TELEFONO.1. TERCERO: Con fecha 19 de noviembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
  4. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “se acuerde comunicar los antecedentes habidos correspondiente a este expediente sancionador. Considerar como suficientes las explicaciones dadas y, en su razón archivar este procedimiento sancionador y subsidiariamente: Entender que procede ponderar, para la atenuación de la sanción, dos nuevas atenuantes de las categorías comprendidas en las letras
  5. c)y K) del artículo 83.2 del RGPD”. QUINTO: Con fecha 13 de diciembre de 2019, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/02806/2019, así como los documentos aportados por el reclamado, y la documentación que a ellas acompaña. Con fecha 12 de diciembre de 2019, se remitió copia del expediente al reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 SEXTO: Con fecha 10 de enero de 2020, se dictó y se notificó en la misma fecha al reclamado la Propuesta de Resolución, por presunta infracción del artículo 5.1.
  6. f)del RGPD, tipificada en el artículo 83.5 del RGPD, proponiéndose una multa de 30.000€. Xfera Móviles presentó alegaciones a la Propuesta de Resolución, manifestando que se reitera en las alegaciones ya realizadas al Acuerdo de Inicio. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 6 de noviembre de 2018, el reclamante interpone reclamación ante la Agencia Española de Protección de Datos, manifestando que el día 5 de noviembre de 2018 al acceder a su área de cliente a través de la dirección www.llamaya.com y al querer realizar consultas sobre su línea telefónica ***TELEFONO.1 observa que han cambiado sus datos de cliente estando su línea asociada a un tercero pudiendo acceder a los datos de éste (nombre, teléfono, domicilio). El DNI que aparece sigue siendo el suyo, así como la cuenta bancaria. La compañía le confirma que les aparece que la línea se encuentra a su nombre, pero también a nombre de otra persona. SEGUNDO: Factura de Llamaya donde figura su línea y el nombre, apellidos y dirección de la tercera persona. Captura de pantalla del área de clientes de Llamaya donde figuran los datos personales (nombre, apellidos y dirección de la tercera persona). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD y en los art. 47 y 48.1 de LOPDGDD. II Se imputa al reclamado la comisión de una infracción por vulneración del Artículo 5.1.
  7. f)del RGPD, que señala que: “1. Los datos personales serán: (…)
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 El artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  9. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. Por otra parte, el artículo 83.5
  10. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado RGPD, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La regulación de las infracciones en la LOPDGDD es más precisa en cuanto a las situaciones que dan lugar a una infracción y su consideración, de manera que es mucho más sencillo conocer el plazo de prescripción de esa infracción (es decir, si es considerada leve, grave o muy grave) y de cara a la sanción administrativa a imponer por su incumplimiento. La LOPDGDD en su artículo 72, a efectos de prescripción, señala que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” III La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado vulneró el artículo 5 del RGPD, principios relativos al tratamiento, en relación con el artículo 5 de la LOPGDD, deber de confidencialidad, al revelar al reclamante los datos personales de un tercero, al entrar en su cuenta de cliente. El reclamante ha aportado factura de Llamaya donde figura su línea y el nombre, apellidos y dirección de la tercera persona y captura de pantalla del área de cliente de Llamaya donde figuran los datos personales (nombre, apellidos y dirección) de la tercera persona. El deber de confidencialidad, con anterioridad deber de secreto, debe entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Por tanto, ese deber de confidencialidad es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. En este sentido se pronunciaba la Audiencia Nacional en sentencia de 18/01/02, en cuyo Fundamento de Derecho Segundo, señalaba: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, …, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo… Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos (STC 292/2000) …” Respecto a lo alegado por el reclamado, está claro, que en este caso concreto, actuó de forma contraría al principio de confidencialidad consagrado en el artículo 5.1.
  12. f)del RGPD, en relación con el artículo 5 de la LOPDGDD, toda vez que el reclamado reveló al reclamante los datos personales de un tercero, al entrar en su cuenta de cliente. IV A tenor de lo dispuesto por el RGPD en sus artículos 83.1 y 83.2, al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrán en cuenta los factor agravantes y atenuantes que se relacionan en el artículo señalado, así como cualquier otro que pueda resultar aplicable a las circunstancias del caso: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  13. a)a
  14. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  15. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9
  16. b)la intencionalidad o negligencia en la infracción;
  17. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  18. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  19. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  20. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  21. g)las categorías de los datos de carácter personal afectados por la infracción;
  22. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  23. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  24. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  25. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Respecto al apartado
  26. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone que: “2. De acuerdo a lo previsto en el artículo 83.2.
  27. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  28. a)El carácter continuado de la infracción.
  29. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  30. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  32. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  33. f)La afectación a los derechos de los menores.
  34. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  35. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, y a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
  36. a)del RGPD de la que se responsabiliza al reclamado, se estiman concurrentes los siguientes factores: El alcance meramente local del tratamiento llevado a cabo por la entidad reclamada. Solo se ha visto afectada una persona por la conducta infractora. No se tiene constancia de que la entidad hubiera obrado dolosamente, aunque la actuación revela falta de diligencia. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal número de personas afectadas. La entidad reclamada tiene la consideración de una gran empresa. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 5.1.
  37. f)del RGPD permite fijar una sanción de 30.000 (treinta mil euros), considerada como “muy grave”, a efectos de prescripción de la misma, en el 72.1.
  38. a)de la LOPDGDD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a XFERA MÓVILES, S.A. con NIF A82528548, por una infracción del Artículo 5.1.
  39. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 30.000,00 € (treinta mil euros). SEGUNDO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  40. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  41. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.