← España

PS-00392-2024

1/32  Expediente N.º: EXP202403235 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO:

artículo 83.2.d) del RGPD).” VODAFONE ESPAÑA alude a unas medidas técnicas y organizativas establecidas en sus procesos. Sin embargo, no se ha demostrado la existencia de ninguna medida específica para evitar la reasignación de numeraciones activas. “III. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción (

artículo 83.2.f) del RGPD). “, La respuesta al traslado efectuada por VODAFONE ESPAÑA no puede considerarse cooperación. El abono de las cantidades indebidas al cliente no tiene relevancia en materia de protección de datos, más allá de que tampoco haya sido acreditado por VODAFONE ESPAÑA. Como se dijo anteriormente, este procedimiento no versa sobre la seguridad de WhatsApp, sino de las deficientes medidas del proceso manual de reasignación de numeración por parte de VODAFONE ESPAÑA, que tuvo como consecuencia que un tercero no autorizado pudiera realizar llamadas con el número de la parte reclamante y recibir códigos de verificación de identidad, en concreto de la aplicación WhatsApp, lo cual reafirma la existencia de un nexo causal entre la reasignación errónea y la vulneración de la confidencialidad producida. “IV. La falta de obtención de un beneficio económico o financiero, reforzado por la condición de perjudicada de VODAFONE por los hechos acaecidos y las actuaciones, ya sea en virtud del criterio de graduación relativo a “los beneficios obtenidos como consecuencia de la comisión de la infracción" (

Art. 76

.2 c) de la LOPDGDD) o en virtud del criterio relativo a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción" C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/32 (

artículo 83.2

  1. k)del RGPD).” La inexistencia de beneficio económico no constituye un atenuante, como tampoco que la parte reclamante siguiera utilizando posteriormente el servicio prestado por VODAFONE ESPAÑA. B) En respuesta a las alegaciones presentadas al acuerdo de inicio por la parte reclamada se debe señalar lo siguiente: “PREVIA.- INFRACCIONES QUE SE IMPUTAN A VODAFONE, PROBADOS Y ESTRUCTURA DEL PRESENTE ESCRITO” HECHOS VODAFONE ESPAÑA sostiene que el procedimiento sancionador se ha incoado de forma improcedente tras una inadmisión previa, desconociendo con dicha afirmación todo el régimen de recursos contemplado en la normativa que regula el procedimiento administrativo, la cual posibilita la revisión de un acto administrativo. En este caso, la estimación del recurso de reposición interpuesto por la parte reclamante conllevó la admisión a trámite de la reclamación para que se diera a la misma el curso procedente. En este caso, se estimó la existencia de evidencias suficientes para incoar el presente procedimiento sancionador, que se ha seguido respetando todas las garantías previstas. Señala, asimismo, VODAFONE ESPAÑA que la AEPD ha asumido como hechos probados únicamente la versión de la parte reclamante, sin considerar que la documentación incorporada a las actuaciones, acreditativa de los hechos, así como las propias manifestaciones de aquella entidad admitiendo que la línea de telefonía móvil de la parte reclamante fue asignada a un tercero mientras permanecía activa a nombre de la misma. Por todo lo expuesto, se desestima la presente alegación. “PRIMERA.- VODAFONE NO HA INFRINGIDO EL ARTÍCULO 5.1 F) DEL RGPD AL NO HABER VULNERADO LA CONFIDENCIALIDAD DE LOS DATOS PERSONALES DEL RECLAMANTE VODAFONE ESPAÑA plantea que se vulneró su derecho de defensa al incoar el procedimiento sancionador directamente tras resolverse el recurso de reposición interpuesto por la parte reclamante, sin nuevas pruebas ni traslado adicional. Alega la falta de pruebas, que el acceso a SIM no implica acceso al dispositivo, que no hubo duplicado SIM ni proceso solicitado por un usuario, sino un error interno de liberación y, por último, que la obligación de seguridad es de medios, no de resultados; un error humano puntual no implica infracción del art. 5.1.
  2. f)RGPD. “I. De lo acontecido con posterioridad a la no admisión a trámite de la reclamación interpuesta por la parte reclamante”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/32 Según VODAFONE ESPAÑA, se vulneró su derecho de defensa al incoar el procedimiento sancionador directamente tras el recurso de reposición de la parte reclamante, sin nuevas pruebas ni traslado adicional. Sin embargo, la inadmisión inicial no constituye un pronunciamiento firme sobre la inexistencia de infracción, ni implica un cierre definitivo del expediente. La decisión adoptada por esta Agencia fue objeto de revisión ante el recurso de reposición interpuesto por la parte reclamante. De este modo, el procedimiento sancionador puede iniciarse tras el recurso si esta Agencia aprecia indicios suficientes de una posible infracción. La AEPD actuó dentro de sus potestades de control, sin que exista irregularidad alguna en la transición entre la inadmisión y el inicio del procedimiento sancionador. Más allá de que se trate un caso puntual, los hechos del presente procedimiento ponen de manifiesto que se produjo una vulneración de la confidencialidad de los datos personales de la parte reclamante cuando un tercero no autorizado tuvo acceso completo a la cuenta de WhatsApp de su número de teléfono, produciendo una brecha en la confidencialidad de los datos del titular de la línea telefónica. Cabe destacar que la comisión de la infracción se fundamenta en la reasignación indebida de la numeración, el acceso no autorizado a la aplicación Whatsapp con el número personal de la parte reclamante y a la ausencia de medidas técnicas y organizativas apropiadas que lo hayan evitado. Respecto a que esta Agencia no dio un nuevo traslado ni solicitó nuevas pruebas tras la admisión a trámite y antes de incoar el procedimiento, cabe señalar que ni el RGPD ni la LOPDGDD ni la LPACA exigen algún tipo de “trámite intermedio” previo a la incoación del procedimiento. Tampoco se exige dar un nuevo trámite de traslado ni audiencia previa al presunto infractor. Esta Agencia no está obligada a abrir trámites previos al acuerdo de inicio, puesto que la fase instructora es precisamente el espacio para alegaciones, pruebas y contradicción, que garantizan el derecho a la defensa de la parte reclamada. Además de lo declarado por la parte reclamante, ésta ha aportado prueba documental, tal y como se refleja en los HECHOS PROBADOS, con imagen de captura de pantallas verificables de SMS y registro de WhatsApp. Incluso se ha tenido en consideración la propia admisión de la parte reclamada de la liberación manual del número, la conexión lógica entre la asignación indebida y la recepción de códigos por la parte reclamante ante los intentos de inicio de sesión de un tercero, lo que con determina la imposibilidad de que un tercero no autorizado recibiera códigos de WhatsApp sin que se haya producido un desvío real de comunicaciones que debían tener como destinatario al verdadero titular del número de teléfono, la parte reclamante. Todos estos elementos permitieron concluir la existencia de hechos suficientemente acreditados para la incoación. La normativa permite revisar la decisión inicial a la vista de un recurso como aplicación normal del principio de contradicción. En consecuencia, no existe vulneración del derecho de defensa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/32 “II. De lo alegado por la parte reclamante y de la falta de pruebas.” VODAFONE ESPAÑA refiere que ha abonado a la parte reclamante el importe del período que estuvo sin servicio, habiendo dado por probada la versión de los hechos de la parte reclamante. Por otra parte, sostiene que la parte reclamante sí recibió todas las llamadas y SMS, y que el tercero no pudo recibirlos, aunque sí realizar llamadas con ese número, por lo que la única afectación real habría sido en WhatsApp, de la que VODAFONE ESPAÑA dice no ser responsable de su seguridad, por lo que no se le puede atribuir la responsabilidad por un potencial acceso. Por último, se alega que el cliente de VODAFONE ESPAÑA no es un defraudador sino “un cliente normal”. A) Abono del importe del período en el que la parte reclamante estuvo sin servicio. VODAFONE ESPAÑA aporta la imagen de un sistema interno, pero no acredita de ningún modo haber realizado la transferencia bancaria a la parte reclamante ni que ésta lo haya recibido. Que esta Agencia hiciese referencia a que la parte reclamante afirmase no haber recibido el importe no determina que se dé por probado, tan sólo se recoge la manifestación realizada. En cualquier caso, la falta de pago de la devolución del importe relativo al período en el que no se prestó el servicio es irrelevante para la existencia de la infracción del art. 5.1.
  3. f)RGPD, ni para apreciar la ausencia de medidas adecuadas. B) La parte reclamante recibió las llamadas y SMS, mientras que el tercero no pudo recibirlos, aunque sí realizar llamadas y configurar WhatsApp. VODAFONE ESPAÑA reconoce que la liberación del número se produjo por un error humano, lo que produjo una pérdida de control sobre la asignación y el riesgo de acceso por parte de terceros. A los efectos de constatar la existencia de una infracción del artículo 5.1.
  4. f)del RGPD, que VODAFONE ESPAÑA denomine la incidencia como “recuperable”, no tiene trascendencia alguna si dicha incidencia habilita a un tercero no autorizado a realizar llamadas con el número de la parte reclamante o registrar WhatsApp con la numeración de la parte reclamante tomando el control de su cuenta. No es posible registrar WhatsApp en un dispositivo nuevo sin recibir el código. En este expediente, consta que el tercero recibió el código, de lo contrario la activación sería imposible. Tal y como se constata en los HECHOS PROBADOS, se produjo el cierre de sesión de WhatsApp en el dispositivo de la parte reclamante, habiéndose producido el registro de cuenta en otro dispositivo, lo que tuvo lugar mediante la recepción por el tercero de códigos de verificación, toda vez que existe la imagen de una pantalla de WhatsApp en el que acreditan la actividad en un dispositivo diferente. Estos hechos solo pueden producirse si las comunicaciones destinadas a la numeración estaban llegando al tercero, o si dicho tercero estaba en posición de recibir el código enviado por WhatsApp mediante el canal de autenticación asociado al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/32 número. C) No puede atribuirse a VODAFONE ESPAÑA la responsabilidad por un potencial acceso. Este argumento no puede admitirse ya que la infracción del art. 5.1.
  5. f)del RGPD se produjo como consecuencia de la falta de medidas técnicas y organizativas apropiadas que evitasen la reasignación a un tercero de un número de teléfono de una línea telefónica en alta, circunstancia que puso en riesgo los datos personales de la parte reclamante y se materializó en el acceso no autorizado a su cuenta de WhatsApp, lo cual constituye en sí mismo una brecha de datos personales, toda vez que un tercero no autorizado cerró la sesión de la parte reclamante y abrió una nueva en un dispositivo desconocido, lo que le permitió visualizar los mensajes entrantes posteriores el acceso a la identidad y contactos del titular del número. Se produjo, además, una pérdida de disponibilidad de los datos personales de la parte reclamante, debido a que el tercero no autorizado echó a la parte reclamante de todos sus grupos, con la consiguiente pérdida de sus conversaciones. D) VODAFONE ESPAÑA no es responsable de la seguridad de WhatsApp. La infracción objeto del presente procedimiento no deriva de la seguridad de WhatsApp, sino del tratamiento de VODAFONE ESPAÑA cuya responsabilidad se basa en la liberación indebida de la numeración con la siguiente asignación a un tercero, ante la falta de medidas técnicas y organizativas apropiadas que permitieran la verificación oportuna antes de que el número fuese reasignado. El acceso al WhatsApp, y a cualquier otro servicio cuya identificación se realice mediante la numeración telefónica, se produce únicamente porque VODAFONE ESPAÑA permitió que un tercero no autorizado obtuviera control sobre la numeración. Por tanto, cualquier entidad que gestione numeraciones actúa como responsable del impacto que su gestión produce sobre sistemas asociados a ellas. E) Sobre la alegación de que el tercero era “un cliente normal” y no un defraudador La infracción del art. 5.1.
  6. f)del RGPD no depende de la intención del tercero no autorizado que tiene acceso indebido a los datos personales de otra persona o que aquel sea un defraudador, ni es necesario que se haya producido cualquier tratamiento ilícito más allá de que los datos personales de una persona hayan quedado expuestos a un tercero no autorizado, “III El acceso a una tarjeta SIM no implica acceso a la información del dispositivo del reclamante” En esta alegación se confunde el soporte físico (tarjeta SIM) con el canal lógico de comunicación. En este caso, la brecha se produjo por la asignación indebida del MSISDN, mencionado por VODAFONE ESPAÑA en su alegación. MSISDN son las siglas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/32 Mobile Station International Subscriber Directory Number (Número Internacional de Directorio de Suscriptores de Estación Móvil) y es el número de teléfono móvil propiamente dicho. Es el número único asignado al titular de una línea telefónica y se utiliza para identificar el dispositivo y enrutar llamadas y mensajes de texto a través de las redes de telecomunicaciones, lo que permitió un tercero no autorizado realizase llamadas con el número de la parte reclamante, y recibir un código para el acceso funcional a su cuenta de WhatsApp, controlando la apertura de sesión en esta aplicación de comunicación. No es necesario acceder al dispositivo para vulnerar el artículo 5.1.
  7. f)del RGPD; basta con acceder a datos destinados al titular, como los códigos de autenticación recibidos por el tercero y que sólo debió recibir el verdadero titular de la línea telefónica. “IV. De la confusión que realiza la Autoridad entre lo sucedido y un duplicado de tarjeta SIM” Según VODAFONE ESPAÑA, no existió duplicado SIM, sino liberación del número de teléfono por error, y que por ello no resultaban exigibles mecanismos estrictos de autenticación. Sin embargo, nada en el presente acto lleva a pensar que la infracción declarada tenga relación alguna con la emisión de un duplicado de tarjeta SIM. Si bien, la reasignación de una numeración también debe contar con medidas técnicas u organizativas apropiadas, con independencia del proceso que se trate. El propio reconocimiento por VODAFONE ESPAÑA de la liberación manual de numeración activa confirma la falta de medidas apropiadas. “V Vodafone cuenta con medidas de seguridad técnicas y organizativas, no obstante, la obligación de establecer medidas de seguridad no es una obligación absoluta” Precisamente la adopción de medidas técnicas y organizativas apropiadas deben evitar que se produzcan hechos como el ocurrido en este caso, al realizarse la reasignación de números de teléfono de forma manual, sin un procedimiento con controles suficientes que evitasen reasignar un número que ya cuenta con un titular. La responsabilidad por este hecho es plenamente atribuible a VODAFONE ESPAÑA. La responsabilidad de la empresa en el ámbito sancionador por la actuación negligente de un empleado que suponga el incumplimiento de la normativa de protección de datos ha sido confirmada por la jurisprudencia del Tribunal Supremo. A este respecto, cabe traer a colación la Sentencia del Tribunal Supremo núm. 188/2022 lo Contencioso, Sección 3ª), de 15 de febrero de 2022 (rec. 7359/2020), que se cita en el Fundamento de Derecho IV de la presente propuesta de resolución. Argumenta esta Sentencia acerca de la responsabilidad de las personas jurídicas en nuestro ordenamiento: “…Sencillamente sucede que, estando admitida en nuestro Derecho Administrativo la responsabilidad directa de las personas jurídicas, a las que se reconoce, por tanto, capacidad infractora, el elemento subjetivo de la infracción se plasma en estos casos de manera distinta a como sucede respecto de las personas físicas, de manera que, como señala la doctrina constitucional que antes hemos reseñado - STC 246/1991, de19 de diciembre (F.J. 2) y 129/2003, de 30 de junio (F.J. 8)- la reprochabilidad directa deriva del bien jurídico protegido por la norma que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/32 infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma". Por todo lo expuesto, se desestima la presente alegación. “SEGUNDA.- SUBSIDIARIAMENTE, Y PARA EL CASO DE QUE LA AGENCIA ENTENDIERA QUE VODAFONE HA INFRINGIDO EL ARTÍCULO 5.1 F) DEL RGPR, NO PUEDE APRECIARSE LA EXISTENCIA DE CULPABILIDAD EN LAS INFRACCIONES IMPUTADAS A VODAFONE Y, EN CONSECUENCIA, NO PUEDE IMPONERSE A LA MISMA SANCIÓN ALGUNA. En respuesta a este argumento, cabe señalar que el responsable de un tratamiento de datos personales que no adopta las medidas técnicas y organizativas apropiadas para evitar una vulneración de la integridad, confidencialidad y disponibilidad de los datos, como se ha producido en este caso mediante la reasignación de una numeración activa, es objetivamente una falta de diligencia. Recordemos que, en materia sancionadora, la responsabilidad existe tanto por aquellas conductas de carácter intencionado como las producidas por negligencia. Por otra parte, hay que indicar que en modo alguno puede considerarse que el supuesto error que alega haber cometido excluya su responsabilidad, puesto que, según reiterada jurisprudencia, no puede estimarse la existencia de tal error cuando éste es imputable a quien lo padece o pudo ser evitado con el empleo de una mayor diligencia. Y debe tenerse en cuenta, asimismo, que ese supuesto error se produce en el ámbito de responsabilidad, exclusivo y directo, de VODAFONE ESPAÑA. En todo caso, debemos recordar a este respecto que, cuando el error es muestra de una falta de diligencia el tipo es aplicable. La Audiencia Nacional en Sentencia de 21 de enero de 2004 (recurso 1139/2001) declara que “...si el error es muestra de una falta de diligencia el tipo es aplicable”, permitiéndose la imposición de la sanción en supuestos culposos. Como se ha razonado en la alegación anterior, la responsabilidad administrativa atribuible a VODAFONE ESPAÑA por la actuación de un empleado que suponga el incumplimiento de la normativa de protección de datos ha sido confirmada por la jurisprudencia del Tribunal Supremo. Por todo lo expuesto, se desestima la presente alegación. “TERCERA.- SUBSIDIARIAMENTE, Y PARA EL CASO DE QUE LA AGENCIA ENTIENDA QUE HA EXISTIDO INFRACCIÓN Y DEBA IMPONERSE UNA SANCIÓN A VODAFONE, ESTA PARTE SE ENCUENTRA EN DESACUERDO CON LOS AGRAVANTES ESTABLECIDOS Y DEBERÍAN TENERSE EN CUENTA LAS CIRCUNSTANCIAS ATENUANTES SIGUIENTES A LA HORA DE GRADUAR LA SANCIÓN.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/32 En esta alegación VODAFONE ESPAÑA pide que se minore la sanción rebatiendo los agravantes recogidos en el acuerdo de inicio y solicitando la aplicación de atenuantes. A continuación, se rebaten los argumentos de VODAFONE ESPAÑA: “I. La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD)”: La infracción duró varias semanas, afectó a comunicaciones privadas de la parte reclamante y expuso a la víctima a riesgo de suplantación, ya que un tercero no autorizado pudo realizar llamadas con el número de la parte reclamante o tener acceso a las conversaciones que los contactos de la parte reclamante le abriesen con posterioridad al inicio de cesión. No es una mera “potencialidad”: hubo acceso a códigos y control de sesión de la aplicación de WhatsApp. “II. Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD)” Existe negligencia en el sistema de reasignación de número de teléfono de VODAFONE ESPAÑA, que, según sus propias alegaciones, se hace forma manual, y, en el presente caso, ha quedado de manifiesto que no cuenta con controles suficientes en la liberación de la numeración que eviten la asignación a otro titular de un número con un titular en activo. “III. Las categorías de los datos de carácter personal afectados por la infracción” Como consecuencia de la reasignación errónea del número de teléfono de la parte reclamante un tercero no autorizado a tenido acceso a códigos de autenticación y comunicaciones electrónicas dirigidas a la parte reclamante. Todos estos son datos sensibles. “IV. La vinculación de la actividad de VODAFONE con la realización de tratamientos de datos de carácter personal “ Al tratarse de una operadora de telefonía, debe prestar una especial diligencia en el tratamiento de datos de la numeración de sus clientes. Adicionalmente, VODAFONE ESPAÑA considera que deberían tenerse en cuenta las siguientes atenuantes: “I. La resolución efectiva de la incidencia objeto de reclamación, conforme al artículo 83.2.
  8. c)del RGPD.” La línea de telefonía de la parte reclamante, mientras estaba activa, estuvo varias semanas asignada a un tercero. “II. El grado de responsabilidad de VODAFONE, habida cuenta de las medidas técnicas u organizativas aplicadas en virtud de los artículos 25 y 32 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/32 (

artículo 83.2.d) del RGPD).” Las medidas técnicas y organizativas existentes en el momento de los hechos no eran suficientes y así se evidencia por el incidente ocurrido. “III. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción (

artículo 83.2.f) del RGPD). “ La respuesta al traslado de la reclamación no puede considerarse cooperación con esta Agencia. “IV. La falta de obtención de un beneficio económico o financiero, reforzado por la condición de perjudicada de VODAFONE por los hechos acaecidos y las actuaciones, ya sea en virtud del criterio de graduación relativo a “los beneficios obtenidos como consecuencia de la comisión de la infracción" (

Art. 76

.2 c) de la LOPDGDD) o en virtud del criterio relativo a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción" (

artículo 83.2 k) del RGPD).” No haber obtenido un beneficio económico no supone por sí mismo un atenuante de los hechos. Lo relevante es el perjuicio causado a la parte reclamante, que ha visto vulnerada la confidencialidad de sus datos personales, al haber permitido a un tercero no autorizado y que no era el titular legítimo de la línea, abrir sesión en WhatsApp, al recibir códigos de verificación de identidad, con riesgo de suplantación tanto en las conversaciones de WhatsApp con los contactos de la parte reclamante y con la posibilidad de realizar llamadas con el número de la parte reclamante. V. “El sometimiento de VODAFONE, de forma voluntaria, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado (

Art. 76

.2

  1. h)de la LOPDGDD).” Se refiere VODAFONE ESPAÑA a La adhesión al “Código de conducta para el tratamiento de datos en la actividad publicitaria”, así como al nuevo “Código de Conducta para la Resolución de Controversias de Protección de Datos en el Sector de las Comunicaciones Electrónicas” de Autocontrol. El objetivo principal del Código de Conducta de Tratamiento de Datos en la Actividad Publicitaria está relacionado con la recepción de publicidad no deseada, el ejercicio de derechos relacionados con la publicidad (como el de oposición), y el tratamiento de datos en promociones publicitarias o a través de cookies publicitarias, entre otros, todo ello ajeno al presente caso, por lo que no puede considerarse como atenuante. El Código de Conducta de Autocontrol para la resolución de controversias de protección de datos en el sector de las comunicaciones electrónicas fue aprobado con fecha 17 de octubre de 2024 por la Agencia Española de Protección de Datos y plenamente aplicable a partir del 17 de diciembre del mismo año. Hay que tener en cuenta que la reclamación se interpuso ante esta Agencia el 6 de febrero de 2024, fecha en la que todavía no era aplicable el citado código de conducta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/32 Por todo lo expuesto, se desestima la presente alegación III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que VODAFONE ESPAÑA, en el desarrollo de su actividad empresarial, realiza la recogida y conservación de datos personales de personas físicas, entre otros tratamientos. VODAFONE ESPAÑA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en su apartado 1.f). IV Obligación incumplida. Integridad y confidencialidad de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/32 En primer lugar, el artículo 5.1.
  2. f)del RGPD, bajo la rúbrica “Principios relativos al tratamiento”, establece que: “1. Los datos personales serán: (…)
  3. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En relación con este principio, el Considerando 39 del referido RGPD señala que: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. La documentación obrante en el expediente ofrece indicios evidentes de que VODAFONE ESPAÑA vulneró el artículo 5.1
  4. f)del RGPD. En el presente caso, al no gestionar adecuadamente el cambio o reasignación del número de teléfono de la parte reclamante (***TELÉFONO.1), VODAFONE ESPAÑA asignó dicho número de teléfono a un tercero. Esta información permitió al tercero acceder a la cuenta de WhatsApp de la parte reclamante, tomando el control de la cuenta. Aunque VODAFONE ESPAÑA sostiene en la respuesta al traslado de la reclamación que “la incidencia no ha podido habilitar a que el tercero, cliente de Vodafone, pudiese acceder a conversaciones previas o abiertas que A.A.A. tuviese en su aplicación de WhatsApp”, no puede excluirse que el tercero no autorizado sí tuviera acceso a conversaciones posteriores enviadas por WhatsApp que tuviesen como destinatario a la parte reclamante. Este tipo de situaciones, en las que un tercero tiene un acceso completo a la cuenta de WhatsApp de un número de teléfono, produciendo una brecha en la confidencialidad de los datos del titular de la línea telefónica, supone un riesgo para los derechos y libertades del ciudadano afectado, ya que pueden producirse actividades fraudulentas o de suplantación de identidad. La responsabilidad de VODAFONE ESPAÑA viene determinada por la ausencia de medidas técnicas y organizativas apropiadas, al no implementar controles necesarios para confirmar y proteger la identidad del titular de la línea telefónica antes de reasignarla. La ausencia de estas medidas facilitó que un tercero pudiera tomar el control de la cuenta de WhatsApp de la parte reclamante, poniendo en riesgo su información privada y comunicaciones personales. Aunque VODAFONE ESPAÑA afirma que cuenta con “procesos internos para que este tipo de incidencias no puedan tener lugar en el futuro”, no ha justificado en modo alguno disponer de un control efectivo sobre la asignación de números de teléfono que impidan que un empleado pueda manualmente asignar a un cliente un número de línea que se encuentra activo, ni contaba con un sistema adecuado de autentificación que pudiera alertar sobre el acceso no autorizado de terceros. VODAFONE atribuye el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/32 incidente a “un error en la revisión de este MSISDN de manera manual por el personal encargado”. En casos de reasignación de datos o credenciales, debe realizarse una autentificación estricta para minimizar el riesgo de acceso no autorizado y habilitar mecanismos adecuados para evitar aquel riesgo. Los hechos expuestos revelan una carencia en la adopción de medidas que aseguren la confidencialidad y protección frente a accesos indebidos. En consecuencia, VODAFONE ESPAÑA incumplió su deber de aplicar medidas técnicas y organizativas apropiadas, al realizar la reasignación de números telefónicos sin controles suficientes, ni contar con un sistema adecuado de autentificación que pudiera alertar sobre el acceso no autorizado de terceros Cabe traer a colación la Sentencia del Tribunal Supremo núm. 188/2022 (Sala de lo Contencioso, Sección 3ª), de 15 de febrero de 2022 (rec. 7359/2020) que, aunque referida a las medidas de seguridad, resulta de aplicación a cualquier medida técnica u organizativa que deba aplicar el responsable del tratamiento para garantizar la seguridad de los datos personales. Así dispone que “La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado (…) En las obligaciones de medios el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones "de diligencia " o "de comportamiento" (…) no basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso.” Continúa la Sentencia del Tribunal Supremo 188/2022, en su Fundamento de Derecho Cuarto, acerca de la responsabilidad de las personas jurídicas, afirmando que: “El hecho de que fuese la actuación negligente de una empleada no le exime de su responsabilidad en cuanto encargado de la correcta utilización de las medidas de seguridad que deberían haber garantizado la adecuada utilización del sistema de registro de datos diseñado. Como ya sostuvimos en la STS nº 196/2020, de 15 de febrero de 2021 (rec. 1916/2020) el encargado del tratamiento responde también por la actuación de sus empleados y no puede excusarse en su actuación diligente, separadamente de la actuación de sus empleados, sino que es la actuación "culpable" de éstos, consecuencia de la violación de las medidas de seguridad existentes la que fundamenta la responsabilidad de la empresa en el ámbito sancionador por actos "propios" de sus empleados o cargos, no de terceros.” De conformidad con las pruebas de las que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a VODAFONE ESPAÑA, por vulneración del artículo 5.1.
  5. f)del RGPD. V Tipificación y calificación de la infracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/32 De conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulnerar el artículo 5.1.
  6. f)del RGPD. Tal infracción está tipificada en el artículo 83.5.
  7. a)del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”. A efectos del plazo de prescripción, el artículo 72.1.
  9. a)de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  10. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Sanción por la infracción del artículo 5.1.
  11. f)del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  12. a)a
  13. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  14. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  15. b)la intencionalidad o negligencia en la infracción;
  16. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  17. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/32 de los artículos 25 y 32;
  18. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  19. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  20. g)las categorías de los datos de carácter personal afectados por la infracción;
  21. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  22. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  23. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  24. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo

artículo 83.2.

  1. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  2. a)El carácter continuado de la infracción.
  3. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  4. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  5. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  6. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  7. f)La afectación a los derechos de los menores.
  8. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  9. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En este caso, considerando la gravedad de la infracción constatada, atendiendo especialmente a las consecuencias que su comisión provoca en la parte reclamante, procede la imposición de multa, además de la adopción de medidas, en su caso. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, la condición de gran empresa y el volumen de negocio de la parte reclamada 2.909.851.000 millones de euros en el año 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/32 En primer término, se tiene en cuenta la categoría de la infracción cometida, comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima de 20 millones de euros o, tratándose de una empresa, con una multa por una cuantía equivalente al 4% como máximo de su volumen de negocio anual. Según el citado precepto, al establecer el importe máximo aplicable debe optarse por el límite de mayor cuantía, de los dos fijados por la norma. En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el año 2024 a 2.909.851.000 euros, el importe de la multa que procede imponer estará necesariamente situado entre 0,00 euros y 116.394.040 euros. De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la sanción a imponer en el presente caso por la infracción del artículo 5.1.
  10. f)del RGPD de la que se responsabiliza a VODAFONE ESPAÑA, tipificada en el artículo 83.5.
  11. a)del RGPD, se estiman concurrentes los siguientes factores: 1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en consideración las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): Los datos personales de la parte reclamante estuvieron expuestos al menos desde el 15 de enero de 2024 al 5 de febrero de 2024, lo cual supone un riesgo grave para los derechos y libertades del titular de los datos, puesto que podía aumentar la vulnerabilidad ante posibles ataques y fraudes. • Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): Aunque no se puede entender que VODAFONE ESPAÑA actuara con dolo, se observa falta de diligencia en el cumplimiento de las obligaciones que le impone la normativa en materia de protección de datos, como es evitar que se produjese una vulneración de la confidencialidad de los datos de la parte reclamante. A este respecto puede citarse la SAN de 17/10/2007, que si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): Además de una serie de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/32 relacionados con el número de teléfono, se vulneró la confidencialidad de datos personales de la parte reclamante, como son las comunicaciones privadas, debido a que el tercero no autorizado recibió mensajes de Whatsapp dirigidos a la parte reclamante. En el apartado 3.6 de las Directrices 04/2022, relativas al cálculo de las sanciones administrativas bajo el RGPD, dictadas por el Comité Europeo de Protección de Datos (en adelante, CEPD), en cumplimiento del objetivo de garantizar la aplicación coherente del Reglamento General de Protección de Datos, según le atribuye su artículo 70, se establece lo siguiente (traducción no oficial): “Categorías de datos personales afectados 58. En cuanto al requisito de tener en cuenta las categorías de los datos personales afectados [artículo 83, apartado 2, letra g), del RGPD], el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado 26 (por ejemplo, datos de localización, datos sobre comunicaciones privadas, números de identificación nacionales o datos financieros, como resúmenes de operaciones o números de tarjetas de crédito)” (el subrayado es nuestro). 2. Se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): El desarrollo de las actividades de gestión empresarial por VODAFONE ESPAÑA requiere un tratamiento continuo de los datos personales de sus clientes y los hechos que se analizan en este caso tuvieron lugar en el marco de la actividad habitual de VODAFONE ESPAÑA. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  12. f)del RGPD, permite imponer una sanción de multa administrativa de 250.000 € (doscientos cincuenta mil euros). VII Adopción de medidas Confirmada la infracción, de acuerdo con lo establecido en el citado artículo 58.2
  13. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”, se requiera a VODAFONE ESPAÑA para que en el plazo de 3 meses acredite a esta Agencia la adopción de las siguientes medidas: - Adoptar las medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos personales de sus clientes en el supuesto de reasignación de números telefónicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/32 La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el artículo 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del Artículo 5.1.
  14. f)del RGPD, tipificada en el artículo 83.5.
  15. a)del RGPD, una multa de 250.000,00 euros (DOSCIENTOS CINCUENTA MIL euros). SEGUNDO: ORDENAR a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, que en virtud del artículo 58.2.
  16. d)del RGPD, en el plazo máximo de 3 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos personales de sus clientes en el supuesto de reasignación de números telefónicos SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  17. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: 00- 0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/32 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo

artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo

art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.