← España

PS-00394-2021

1/12  Expediente N.º: PS/00394/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en lo sucesivo, la parte reclamante) con fecha 1 de diciembre de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. (en adelante, VODAFONE). Los motivos en que basa su reclamación son la recepción de llamadas telefónicas desde el ***TELÉFONO.1 tras haber recibido confirmación de que su solicitud de supresión había sido tramitada con éxito. Manifiesta que la línea receptora (***TELÉFONO.2) está inscrita en la Lista Robinson. El 24/08/20 solicitó la supresión de sus datos y le contestaron accediendo a su solicitud. Manifiesta que las llamadas no cesaban y solicitó nuevamente la supresión el 23/09/20. Después de completar la información que le pidieron (DNI), el 5/10/20 le confirman que han procedido a la baja. El 1/12/20 recibe una nueva llamada desde la línea llamante ***TELÉFONO.1. Documentación relevante aportada por el reclamante: Correo electrónico recibido desde la dirección ***EMAIL.1, donde se le informa de que habían procedido a suprimir los datos personales relativos a su persona. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se dio traslado de dicha reclamación a VODAFONE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 19/01/2021 se traslada a VODAFONE notificación de la reclamación presentada por la parte reclamante. En fecha 4 de marzo de 2021 se recibe contestación de VODAFONE, alegando: “La reclamación ha tenido lugar porque parece ser que el Sr. A.A.A. ha recibido, en diferentes fechas, llamadas telefónicas comerciales a nombre de Vodafone en su línea de teléfono móvil ***TELÉFONO.2. Destaca una llamada recibida en de fecha 1 de diciembre de 2020 procedente del número llamante ***TELÉFONO.1. Mi representada ha verificado que la línea telefónica receptora consta inscrita en la Lista Robinson oficial ADigital desde el 10 de abril de 2019 y en la lista Robinson interna de Vodafone desde el 8 de octubre de 2020. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Como esta Agencia conoce, para realizar campañas de captación gestionadas directamente por Vodafone siempre se comprueba que los números receptores de llamadas no aparezcan en la lista Robinson oficial ADigital ni en la lista Robinson interna de Vodafone, por lo que dichas llamadas no han podido ser realizadas por Vodafone a través de sus plataformas de llamadas de captación.” “Hemos comprobado si el número denunciado figura en nuestra base de datos con los números telefónicos que usan nuestros colaboradores para realizar llamadas de captación. A tal efecto, hemos verificado que no consta en nuestra base de datos de números asociados a nuestros colaboradores que realizan llamadas de captación en nombre de Vodafone.” TERCERO: Con fecha 5 de marzo de 2021, en el procedimiento E/00297/2021, la Directora de la Agencia Española de Protección de Datos (AEPD) acordó admitir a trámite la reclamación presentada por la parte reclamante, y la AEPD procedió a su notificación y a llevar a cabo las actuaciones de investigación correspondientes. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Según respuesta de ADIGITAL, a requerimiento de información, se confirma que el número de la parte reclamante, ***TELÉFONO.2, está inscrito en el canal de llamadas telefónicas desde el 10 de abril de 2019. Mediante información obtenida del registro de numeración de operadores de telecomunicaciones, en la página web de la CNMC, se verifica que, a fecha de investigación de este expediente, el operador del número origen de la llamada (***TELÉFONO.1) es TELECOM BUSINESS SOLUTIONS, S.L. (en adelante TELECOM). Según respuesta de TELECOM, a requerimiento de información sobre titularidad de número origen ***TELÉFONO.1 y la realización de las llamadas desde dicho número al número ***TELÉFONO.2 en la fecha solicitada, indica que a fecha 01-12-2020 la titularidad de la línea pertenecía a ESVETEL, S.L., con respecto a la realización de la llamada indican: “De la llamada que nos solicita confirmación de realización, le informamos que coincide en fecha (2020-12-01), habiendo sido realizada a las 16:17:38, con una duración de 87 segundos.” Se había recibido, por parte de la operadora del número de la parte reclamante, que era AIRENETWORK, la confirmación de la recepción de la llamada desde el número ***TELÉFONO.1. Según respuesta de ESVETEL, a requerimiento sobre las razones de la realización de las llamadas desde el número ***TELÉFONO.1 al número ***TELÉFONO.2, indica: “1. CONFIRMACIÓN DE ENVÍO AL NÚMERO ***TELÉFONO.2 DE LA LLAMADA REALIZADA POR LA LÍNEA ***TELÉFONO.1 EL DÍA 1 DE DICIEMBRE DE 2020. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 La mercantil que subscribe realiza diariamente llamadas comerciales a distintos números con fines eminentemente comerciales cuyo resultado no constituye base de datos si el resultado comercial no es positivo. 2.MOTIVO DE LA EMISIÓN DE LA LLAMADA AL NÚMERO DE TELÉFONO ***TELÉFONO.2. El fin de la llamada era eminentemente comercial 3.RELACIÓN CONTRACTUAL CON LA EMPRESA VODAFONE PARA LA COMERCIALIZACIÓN DE SERVICIOS TELEFÓNICOS. Acompaño copia del contrato comercial de prestación de servicios y colaboración comercial con la entidad DIGITAL SOCIAL CANARIAS S.L. 4.CÓMO RECIBE LOS NÚMEROS A LOS CUALES DEBE REALIZAR LAS LLAMADAS COMERCIALES. No recibimos ningún tipo de número de teléfono, siendo las llamadas completamente aleatorias a números compuestos sin conocimiento previo de dichas llamadas. 5.CONFIRMACIÓN DE LA CONSULTA DE ALGUNA LISTA DE NÚMEROS A LOS QUE NO DEBE LLAMAR. Como he mencionado anteriormente las llamadas son completamente aleatorias, iniciando la solicitud de la posibilidad de ofrecer una oferta comercial, que si en su caso es rechazada inmediatamente se suspende la llamada.” En las ESTIPULACIONES del contrato entre DIGITAL SOCIAL CANARIAS, S.L. y ESVETEL, S.L., la PRIMERA tiene el siguiente contenido: “ESVETEL SL prestará sus servicios a DIGITAL SOCIAL CANARIAS, SL consistentes en labores de comercialización de los productos de la empresa. En tal sentido, se obliga a desarrollar dicha labor con diligencia y atención propia de su condición profesional. El desarrollo, contenido y línea de trabajo, será marcado por la dirección de la empresa VODAFONE.” La OCTAVA señala: “(…) Se citan, a título enunciativo y no limitativo, las siguientes causas de reclamación hacia el agente colaborador: 1. El registro en los sistemas de Vodafone de altas que no cuenten con el consentimiento expreso y escrito del cliente final. 2. La remisión a Vodafone de contratos en los que no exista una voluntad expresa e inequívoca de contratar los servicios de Vodafone por parte del cliente final o la remisión de contratos en los que la firma que figure en los mismos no corresponda al titular del servicio.” (…) QUINTO: Mediante Acuerdo de fecha 19 de noviembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada por la presunta infracción del Artículo 28 del RGPD (tipificada en el artículo 83.4.

  1. a)del RGPD) y Artículo 48.1.
  2. b)de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo, LGT), en relación con el artículo 23.4 de la LOPDGDD, consideradas leves en los artículos 78.11 de la citada LGT y 74.
  3. k)de la LOPDGDD. SEXTO: Notificado el acuerdo de inicio, la parte reclamada presentó escrito de alegaciones al citado acuerdo de inicio del procedimiento sancionador, en fecha 6 de diciembre de 2021, en el que, en síntesis, manifestaba: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 Conforme a lo establecido a la norma vigente procedo a comunicar fehacientemente mi conformidad con la sanción propuesta, no teniendo nada que alegar al respecto de dicho procedimiento, desistiendo expresamente de cualquier otro procedimiento contencioso contra la sanción propuesta. Comunica dicha conformidad a los efectos económicos y administrativos oportunos. SÉPTIMO: Con fecha 11 de abril de 2022 se formuló propuesta de resolución, proponiendo: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a ESVETEL SOCIEDAD LIMITADA con NIF B02645455, con multa de 40.000 € (cuarenta mil euros), por la infracción del Artículo 28 del RGPD y Artículo 48.1.
  4. b)de la LGT, en relación con el artículo 23.4 de la LOPDGDD, tipificadas en el Artículo 83.4 del RGPD y en el Artículo 78.11 de la LGT, respectivamente.” HECHOS PROBADOS PRIMERO: ADIGITAL confirma que el número de la parte reclamante, ***TELÉFONO.2, está inscrito en el canal de llamadas telefónicas desde el 10 de abril de 2019. SEGUNDO: TELECOM sobre titularidad de número origen ***TELÉFONO.1 y la realización de las llamadas desde dicho número al número ***TELÉFONO.2 en la fecha solicitada, indica que a fecha 01-12-2020 la titularidad de la línea pertenecía a ESVETEL, S.L. “De la llamada (2020-12-01), habiendo sido realizada a las 16:17:38, con una duración de 87 segundos.” La operadora del número de la parte reclamante, AIRENETWORK, confirma la recepción de la llamada desde el número ***TELÉFONO.1. TERCERO: ESVETEL indica: “1. CONFIRMACIÓN DE ENVÍO AL NÚMERO ***TELÉFONO.2 DE LA LLAMADA REALIZADA POR LA LÍNEA ***TELÉFONO.1 EL DÍA 1 DE DICIEMBRE DE 2020. 2.MOTIVO DE LA EMISIÓN DE LA LLAMADA AL NÚMERO DE TELÉFONO ***TELÉFONO.2. El fin de la llamada era eminentemente comercial.” CUARTO: ESVETEL, S.L. realizó una llamada publicitaria al número de teléfono ***TELÉFONO.2, titularidad de la parte reclamante, número inscrito en el canal de llamadas telefónicas de ADIGITAL, oponiéndose a recibir llamadas publicitarias. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 84.3) de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo, LGT) y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Alegaciones En respuesta a las alegaciones presentadas por la entidad reclamada al Acuerdo de Inicio, cabe señalar lo siguiente: Comunica su conformidad con la sanción propuesta, desistiendo expresamente de cualquier otro procedimiento contencioso contra dicha sanción. III Artículo 48.1.
  5. b)de la LGT Los hechos probados son constitutivos de una infracción, imputable a ESVETEL, S.L., por vulneración del artículo 48.1.
  6. b)de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo, LGT), incluido en su Título III, que señala: “Artículo 48. Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados. 1. Respecto a la protección de datos personales y la privacidad en relación con las guías de abonados, los usuarios finales de los servicios de comunicaciones electrónicas tendrán los siguientes derechos: (…)
  7. b)A oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a ser informado de este derecho” IV Tipificación de la infracción del artículo 48.1.
  8. b)de la LGT La infracción se tipifica como leve en el artículo 78.11 de dicha norma, que considera como tal: “El incumplimiento de las obligaciones de servicio público, de las obligaciones de carácter público y la vulneración de los derechos de los consumidores y usuarios finales, según lo establecido en el Título III de la Ley y su normativa de desarrollo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 Esta infracción puede ser sancionada con multa de hasta 50.000 euros, de acuerdo con el artículo 79.1.
  9. d)de la citada LGT. “Artículo 79 Sanciones” “1. Por la comisión de las infracciones tipificadas en los artículos anteriores se impondrán las siguientes sanciones:” “
  10. d)Por la comisión de infracciones leves se impondrá al infractor una multa por importe de hasta 50.000 euros.” V Sanción por la infracción del art. 48.1.
  11. b)de la LGT A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 80 de la LGT: Como agravantes: Artículo 80.1 de la LGT:
  12. c)El beneficio que haya reportado al infractor el hecho objeto de la infracción. Las acciones promocionales tienen como objetivo la obtención de beneficios empresariales, tanto de forma directa como indirecta.
  13. d)El daño causado y su reparación. La parte reclamante ha tenido que entablar acciones ante esta AEPD.
  14. g)El cese de la actividad infractora, previamente o durante la tramitación del expediente sancionador. No consta el cese de la actividad infractora por ESVETEL, S.L., ni que haya establecido las medidas oportunas para garantizar en las comunicaciones realizadas, el correcto filtrado de numeraciones llamantes con el listado de exclusión publicitario Robinson de ADIGITAL. El balance de las circunstancias contempladas en el artículo 80 de la LGT, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 48.1.
  15. b)de la LGT, permite fijar una sanción de 20.000 € (veinte mil euros). VI Artículo 23 de la LOPDGDD Este artículo prevé la creación de sistemas de exclusión publicitaria, en los que se podrán registrar las personas que no deseen recibir comunicaciones comerciales, disponiendo que: “1. Será lícito el tratamiento de datos personales que tenga por objeto evitar el envío de comunicaciones comerciales a quienes hubiesen manifestado su negativa u oposición a recibirlas. A tal efecto, podrán crearse sistemas de información, generales o sectoriales, en los que solo se incluirán los datos imprescindibles para identificar a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 los afectados. Estos sistemas también podrán incluir servicios de preferencia, mediante los cuales los afectados limiten la recepción de comunicaciones comerciales a las procedentes de determinadas empresas. 2. Las entidades responsables de los sistemas de exclusión publicitaria comunicarán a la autoridad de control competente su creación, su carácter general o sectorial, así como el modo en que los afectados pueden incorporarse a los mismos y, en su caso, hacer valer sus preferencias. La autoridad de control competente hará pública en su sede electrónica una relación de los sistemas de esta naturaleza que le fueran comunicados, incorporando la información mencionada en el párrafo anterior. A tal efecto, la autoridad de control competente a la que se haya comunicado la creación del sistema lo pondrá en conocimiento de las restantes autoridades de control para su publicación por todas ellas. 3. Cuando un afectado manifieste a un responsable su deseo de que sus datos no sean tratados para la remisión de comunicaciones comerciales, este deberá informarle de los sistemas de exclusión publicitaria existentes, pudiendo remitirse a la información publicada por la autoridad de control competente. 4. Quienes pretendan realizar comunicaciones de mercadotecnia directa, deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuación, excluyendo del tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa al mismo. A estos efectos, para considerar cumplida la obligación anterior será suficiente la consulta de los sistemas de exclusión incluidos en la relación publicada por la autoridad de control competente. No será necesario realizar la consulta a la que se refiere el párrafo anterior cuando el afectado hubiera prestado, conforme a lo dispuesto en esta ley orgánica, su consentimiento para recibir la comunicación a quien pretenda realizarla.” VII Artículo 28 del RGPD En el presente caso, a la vista de los hechos probados, se puede considerar que la entidad ESVETEL, S.L., en calidad de subencargada del tratamiento ahora imputado, consistente en realizar llamadas comerciales en nombre de Vodafone España, S.A.U., al menos a una numeración incluida en los listados de exclusión publicitaria Robinson y sin haber tenido la debida diligencia a la que está obligada por la contratación en razón de su contenido, ha dado lugar a la vulneración de derechos de la parte reclamante. El artículo 28 del RGPD, establece lo siguiente: Encargado del tratamiento “1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  16. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
  17. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
  18. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  19. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  20. e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  21. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  22. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  23. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  24. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento” VIII Tipificación de la infracción del artículo 28 del RGPD Los hechos probados son constitutivos de una infracción, imputable a la entidad ESVETEL, S.L., por vulneración del art. 28, infracción tipificada en el art. 83.4.
  25. a)de dicha norma, considerada leve a efectos de prescripción en el artículo 74.
  26. k)de la LOPDGDD. El artículo 83.4.
  27. a)del RGPD, establece lo siguiente: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  28. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; …”. El artículo 74.
  29. k)de la LOPDGDD, establece: “Infracciones consideradas leves. Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12
  30. k)El incumplimiento por el encargado de las estipulaciones impuestas en el contrato o acto jurídico que regula el tratamiento o las instrucciones del responsable del tratamiento, salvo que esté legalmente obligado a ello conforme al Reglamento (UE) 2016/679 y a la presente ley orgánica o en los supuestos en que fuese necesario para evitar la infracción de la legislación en materia de protección de datos y se hubiese advertido de ello al responsable o al encargado del tratamiento.” IX Sanción por la infracción del artículo 28 del RGPD Se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes: La vinculación de la actividad de la infractora con la realización de tratamientos de datos personales (artículo 83.2.a). La mercantil manifiesta que realiza diariamente llamadas comerciales a distintos números con fines eminentemente comerciales, debiendo tratar datos personales para conseguir este propósito. El grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 (artículo 83.2.d). ESVETEL, S.L. no tiene implantados procedimientos adecuados técnicos y organizativos de actuación a fin de dar cumplimiento al tratamiento objeto del subencargo en los términos del art 28 del RGPD, de modo que la infracción no es consecuencia de una anomalía puntual en el funcionamiento de dichos procedimientos sino un defecto persistente y continuado del sistema de gestión de los datos personales. Sobre la consulta a alguna lista de números a los que no debe llamar, indica que las llamadas son completamente aleatorias, iniciando la solicitud de la posibilidad de ofrecer una oferta comercial, que si en su caso es rechazada inmediatamente se suspende la llamada. Considerando los factores expuestos, la valoración que alcanza la cuantía de la multa por la infracción del art 28 del RGPD imputada es de 20.000 € (veinte mil euros). X Por tanto, conforme a la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ESVETEL SOCIEDAD LIMITADA con NIF B02645455, por una infracción del Artículo 28 del RGPD y Artículo 48.1.
  31. b)de la LGT, tipificada en el Artículo 78.11 de la LGT (infracción leve), una multa de 40.000,00 € (CUARENTA MIL euros). SEGUNDO: NOTIFICAR la presente resolución a ESVETEL SOCIEDAD LIMITADA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  32. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  33. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 815-050522 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.