← España

PS-00448-2020

1/19  Procedimiento Nº: PS/00448/2020 - RESOLUCIÓN R/00180/2021 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00448/2020, instruido por la Agencia Española de Protección de Datos a XFERA MÓVILES, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 12 de febrero de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a XFERA MÓVILES, S.A. (en adelante, el reclamado), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00448/2020 935-240719 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, XFERA MÓVILES, S.A., con CIF.: A82528548, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por D. A.A.A., (en adelante, “el reclamante”), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 16/10/20, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “Inicie una reclamación con ustedes con fecha 19/07/20, Nº: E/06604/2020; donde me indicaban que la compañía había atendido el derecho de oposición y no se admitía a trámite, (por entender que ellos habían tomado las medidas oportunas). A día de hoy, este operador sigue enviando SMS a mi línea de teléfono, (se adjuntan los pantallazos en archivo adjunto), de más de 60 SMS en los últimos 30 días, por lo que se entiende que este operador no ha tomado las medidas que ha indicado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 Al escrito de denuncia se acompañaba los siguientes documentos: - Pantallazos de 26 SMS desde el 22/09/20 hasta el 15/10/20, enviados desde la compañía Yoigo con mensajes publicitarios, invitando al usuario a que acceda a determinadas páginas web como, http//shorturi.kairos365.com/MjkxNDM2 y http//:yoigo.kairos365.com/coronavirus; o que llamase a los números de teléfono, ***TELEFONO.1 o ***TELEFONO.2 para contratar las promociones ofrecidas por la compañía. SEGUNDO: Con fecha 31/10/20, tuvo entrada en esta Agencia, un segundo escrito de denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “EL 24/09/20 envié un correo electrónico a Yoigo (Más-Móvil), informando que estaba recibiendo una gran cantidad de SMS en mi línea de móvil con información confidencial de terceras personas, el cual me respondieron que habían tomado nota y no volvería a suceder. Pues bien, esta empresa, a día de hoy, me ha enviado a mi línea de teléfono, un SMS con mi número de teléfono y una clave de seguridad para acceder a su plataforma (“Mi Yoigo”), a la cual he accedido, dado que lleva mi número de teléfono y he podido verificar que he accedido a datos personales de una tercera persona ajena, con la cual yo no tengo nada que ver, he visto sus facturas y la posibilidad y de realizar cualquier trámite en su perfil”. Al escrito de denuncia se acompañaba los siguientes documentos: - Correo electrónico enviado desde la dirección ***EMAIL.1, con fecha 24/09/20 a la dirección ***EMAIL.2@masmovil.com denunciado la recepción de envíos masivos de SMS publicitarios y otros con datos personales de terceras personas. - Correo electrónico de contestación al reclamante, desde la dirección ***EMAIL.2@masmovil.com, con fecha 24/09/20, indicándole, entre otras, que, han atendido su solicitud de oposición, con la fecha 13/08/20 y que, respecto de las comunicaciones comerciales que ha recibió con posterioridad a dicha fecha, le informan que han sido efectuadas por un agente de MASMOVIL, quien realiza operaciones con su propia base de datos, comprometiéndose a dar la orden a dicho agente para que elimine sus datos personales de sus bases de datos y deje de enviarle publicidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 - Aporta captura de pantalla: “Mi Yoigo Cuenta - Gestiona tu información personal y datos de acceso” de la dirección web: https://miyoigo.yoigo.com/datos-personales”, con fecha 31/10/20, donde se puede apreciar que, con el número de teléfono del reclamante, introducido en la casilla de “usuario”, aparece los datos personales, dirección y número de cuenta bancaria de una tercera persona ajena al reclamante. Además, se adjunta factura del mes de octubre de 2020, de los servicios prestados por la compañía a dicha tercera persona, donde aparecen datos como: el nombre, la dirección, el número de cuenta corriente, y números de teléfono de contacto. TERCERO: Con fecha 10/11/20, tuvo entrada en esta Agencia, un tercer escrito de denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “Se amplía la denuncia presentada ante esa Agencia, con fecha 31 de octubre de 2020, contra el operador de Yoigo (MásMóvil), por la utilización de datos de manera fraudulenta y reiterada, inclusive, después de haberle sido notificados estos hechos”. Al escrito de denuncia se acompañaba los siguientes documentos: - Pantallazos de 16 SMS, enviados desde el día 18/10/20 al día 09/11/20, desde la compañía Yoigo, informando al usuario de la existencia de problemas técnicos para la gestión de sus solicitudes y la posterior subsanación de los mismos. CUARTO: Con fecha 30/11/20, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de las denuncias presentadas por el reclamante, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LPDGDD). FUNDAMENTOS DE DERECHO I- Competencia. a).- Respecto del tratamiento de los datos personales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. b).- Respecto del envío de SMS publicitarios sin el consentimiento del interesado: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II Del expediente Nº: E/06604/2020, seguido en esta Agencia como consecuencia de la primera denuncia presentada por el reclamante contra la entidad reclamada, se debe tener presente los siguientes puntos: Con fecha 17/07/20, el reclamante presentó escrito de denuncia en esta Agencia, indicando en el mismo que: “estaba recibiendo mensajes de publicidad en su teléfono móvil, desde la compañía denunciada, los cuales no había autorizado”. Con fecha 14/09/20, como contestación al requerimiento hecho desde esta Agencia con motivo de los hechos denunciados, la compañía indicó, que: “confirmamos que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 hemos gestionado el derecho de oposición del reclamante en relación con todas las bases de datos de las que somos responsables del tratamiento con fecha 13 de agosto de 2020 (…)”. Con fecha 25/09/20, la entidad reclamada, como contestación al requerimiento de información adicional hecho desde esta Agencia, informó que: “En relación con la ampliación realizada por el reclamante, como puede comprobarse en los mensajes aportados por este, apuntan a una “url” con dominio hazmeclic.es, el cual no es titularidad de mi representada, tal como se acredita a través de red.es., no estando la base de datos de esta empresa bajo responsabilidad de Xfera Móviles”. Vector Software Factory, S.L. es un distribuidor de MASMOVIL, con quien tiene un contrato de Agencia, que realiza campañas comerciales por su propia iniciativa y sobre su propia base de datos, la cual, como hemos indicado, no está bajo responsabilidad, ni hemos proporcionado desde MASMOVIL. No obstante, lo anterior, procederemos a contactar con este agente con la finalidad de trasladarle la oposición del Sr. A.A.A. con la finalidad de atender el derecho del interesado. Mediante correo de fecha 24 de septiembre de 2020, a las 15:25, hemos procedido a informar al interesado de lo siguiente: “Le escribimos a su correo electrónico, al que hemos tenido acceso en el marco del procedimiento seguido por la Agencia Española de Protección de Datos E/06604/2020. con la finalidad de informarle de cómo hemos procedido en la atención de su derecho de oposición. Por la presente le informamos de que procedimos a gestionar su derecho de oposición respecto de la numeración XXX XXX XXX, por parte de Xfera Móviles, S.L. (Más Móvil) con fecha 13 de agosto de 2020. En relación con las comunicaciones que nos indica la Agencia Española de Protección de Datos ha recibido con posterioridad a esa fecha, le informamos que hemos comprobado que las mismas han sido remitidas por un agente de la marca MASMOVIL, quien realiza acciones comerciales sobre sus propias bases de datos. En este sentido, le informamos que vamos a transmitir su solicitud de ejercicio de sus derechos de oposición a este agente, tras lo que esperamos deje de recibir nuestra publicidad. Pues bien, con fecha 01/10/20, una vez analizadas las razones expuestas por la entidad reclamada, y considerar que el responsable había atendido la reclamación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 presentada, esta Agencia acordó la no admisión a trámite de la reclamación presentada, notificando la misma a los interesados. No obstante, con fecha 16/10/20, tiene entrada en esta Agencia, una segunda denuncia presentada por el reclamante donde se indicaba que, el operador seguía enviando SMS a su línea de teléfono, y adjuntaba los pantallazos de más de 60 SMS recibidos hasta ese día, por lo que consideraba que el operador no había atendido satisfactoriamente la primera reclamación, y que la AEPD había inadmitido a trámite al considerar lo contrario. Unos días después, el 31/10/20, el reclamante se vuelve a presentar escrito de denuncia ante esta Agencia, indicando que, se había puesto en contacto con la entidad reclamada, el 24/09/20, para informales que, aunque había ejercido ante ellos el derecho de oposición seguía recibiendo una ingente cantidad de SMS publicitarios, recibiendo como respuesta de la entidad que habían atendido su solicitud de oposición con fecha 13/08/20 y que no volvería a ocurrir, pero el reclamante vuelve a justificar que sigue recibiendo SMS de la compañía después de dicha fecha, aportando copia de todos ellos. Con fecha 10/11/20, vuelve a presentar un nuevo escrito ante esta Agencia aportando SMS publicitarios de la entidad reclamada, hasta 16 SMS, desde el día 18/10/20 al día 09/11/20. A parte de todo lo anterior, el reclamante también denuncia que ha recibido un SMS de la compañía, a su número de teléfono con una clave de seguridad para acceder a la plataforma, (“Mi Yoigo”), en la cual, una vez accedido, ha podido comprobar que el perfil pertenece a otro usuario, pero tiene acceso a los datos personales de esta persona, a sus facturas, e incluso tiene la posibilidad y de realizar cualquier trámite con los datos de esta persona. III- Sobre el incumplimiento del derecho de supresión de los datos personales. En el presente apartado se examina el presunto incumplimiento, por parte de la entidad reclamada, de la supresión de todos los datos personales de sus bases de datos, que fue solicitada por el reclamante. El artículo 17.1.

  1. c)del RGPD, establece, sobre el derecho de supresión de los datos personales del interesado, («el derecho al olvido»), que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 “El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: (…)
  2. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;”. De la documentación existente en el expediente seguido en esta Agencia, por los mismos hechos denunciados (E/06604/2020), de la documentación presentada por el reclamante en el presente procedimiento sancionador (PS/00448/2020) y de las contestaciones realizadas por la entidad reclamada, a los requerimientos realizados por esta Agencia, expuestos en el punto II, se constata, que, los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 17.1.
  3. c)del RGPD, por incumplimiento del derecho de supresión de los datos personales del interesado, cuando éste había ejercido el derecho de oposición ante la entidad y está había incluso confirmado que había gestionado correctamente dicho derecho. El artículo 72.1.
  4. k)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
  5. b)del RGPD. De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes que establece el artículo 83.2 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 - La duración de la infracción, teniendo en cuenta el alcance o propósito de la operación de tratamiento de los datos, así como, los perjuicios causados al interesado, pues la entidad afirmó que había procedido a borrar los datos del reclamante de sus bases de datos el 13/08/20 y siguió enviando SMS publicitarios hasta el 09/11/20, (apartado a). - La negligencia en la infracción, al constatar la falta de diligencia debida de la entidad reclamada en el cumplimiento de sus obligaciones con respecto a la gestión de los datos personales los usuarios, (apartado b). - La forma en que la autoridad de control tuvo conocimiento de la infracción, pues esta se produjo a través de varias denuncias interpuestas por el reclamante, (apartado h). - La existencia de una denuncia previa, que no fue admitida a trámite por esta Agencia, al afirmar la entidad reclamada que había procedido satisfactoriamente a atender el derecho de supresión de los datos personales del interesado, (apartado k). Por su parte, el artículo 76.2 de la LOPDGDD, establece que, de acuerdo a lo previsto en el artículo 83.2.
  6. k)del RGPD, se tendrá en cuenta, como factores agravantes de la sanción, los siguientes: - El carácter continuado de la infracción, pues, aunque la entidad reclamada afirma que ha procedido al borrado de los datos personales del reclamante de sus bases de datos el 13/08/20, sigue enviando SMS publicitarios en su móvil, incluso después del 08/11/20, (apartado a). - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (apartado b). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 17 del RGPD, permite fijar una sanción inicial de 50.000 euros, (cincuenta mil euros). IV- Sobre la falta de medidas de seguridad en los sistemas de la compañia. En el presente apartado se examina el presunto incumplimiento, por parte de la entidad reclamada, de la seguridad en el tratamiento de los datos personales de sus clientes, ya que el reclamante denuncia haber recibido un SMS de la compañía, con su número de teléfono y una clave de seguridad para acceder a la plataforma (“Mi Yoigo”), en la cual, ha podido comprobar que el perfil pertenece a otro usuario, que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 tiene acceso a los datos personales de esta persona, a sus facturas, e incluso existe la posibilidad de realizar cualquier trámite con sus datos personales. La seguridad de los datos personales viene regulado en el artículo 32 del RGPD, donde se establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, (…)” El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. De la documentación obrante en el expediente se ofrecen indicios evidentes de que el reclamado ha vulnerado el artículo 32 del RGPD, al producirse una brecha de seguridad en sus sistemas al remitir un SMS al reclamante con las claves de acceso a la plataforma “Mi Yoigo”, perteneciente a otro cliente de la compañía. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. El artículo 73.
  7. g)de la LOPDGDD, considera grave, a efectos de prescripción, “El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 Esta infracción puede ser sancionada con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía de acuerdo con el artículo 83.4.
  8. a)del RGPD. De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes que establece el artículo 83.2 del RGPD: - La duración de la infracción, teniendo en cuenta el alcance o propósito de la operación de tratamiento de que se trate, (apartado a). - La negligencia en la infracción, al constatar la falta de diligencia debida de la entidad reclamada en el cumplimiento de sus obligaciones con respecto a la gestión de la seguridad de los datos personales de sus clientes, (apartado b). - La forma en que la autoridad de control tuvo conocimiento de la infracción, pues ha sido a través de la denuncia interpuesta por el reclamante, (apartado h). Por su parte, el artículo 76.2 de la LOPDGDD, establece que, de acuerdo a lo previsto en el artículo 83.2.
  9. k)del RGPD, se tendrá en cuenta, como factores agravantes de la sanción, los siguientes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (apartado b). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 32 del RGPD, permite fijar una sanción inicial de 30.000 euros, (treinta mil euros). V- Sobre las consecuencias de la falta de medidas de seguridad adecuadas. En el presente apartado se examina el presunto incumplimiento, por parte de la entidad reclamada, de la seguridad en el tratamiento de los datos personales de sus clientes, ya que el reclamante denuncia que ha recibido un SMS de la compañía, con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 su número de teléfono y una clave de seguridad para acceder a la plataforma (“Mi Yoigo”), en la cual, ha podido comprobar que el perfil pertenece a otro usuario, que tiene acceso a los datos personales de esta persona, a sus facturas, e incluso existe la posibilidad y de realizar cualquier trámite con sus estos personales que no son los suyos. El RGPD establece, en el artículo 5, los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “integridad y confidencialidad”. El artículo señala, en su punto 1.
  10. f)que: “Los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. Pues bien, de conformidad con las evidencias de las que se dispone en el presente momento, el hecho de que la entidad reclamada posibilitara la visualización de datos personales de una tercera persona ajena al reclamante, permiten constatar que el reclamado no ha podido garantizar la seguridad en el tratamiento de los datos personales de sus clientes, mostrando con ello una grave falta de diligencia debida e incurriendo por tanto, en la vulneración del artículo 5.1
  11. f)del RGPD, que establece los principios de integridad y confidencialidad de los datos personales, así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. El artículo 72.1.
  12. a)de la LOPDGDD considera muy grave, a efectos de prescripción: “El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679” Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
  13. b)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes que establece el artículo 83.2 del RGPD: - La duración de la infracción, teniendo en cuenta el alcance o propósito de la operación de tratamiento de los datos, así como, los perjuicios causados al interesado y a terceras personas, (apartado a). - La negligencia en la infracción, al constatar la falta de diligencia debida de la entidad reclamada en el cumplimiento de sus obligaciones con respecto a la gestión de los datos personales los usuarios, (apartado b). - La forma en que la autoridad de control tuvo conocimiento de la infracción, pues esta se produjo a través de varias denuncias interpuestas por el reclamante, (apartado h). - La existencia de una denuncia previa, que no fue admitida a trámite por esta Agencia, al afirmar la entidad reclamada que había procedido satisfactoriamente el problema planteado, (apartado k). Por su parte, el artículo 76.2 de la LOPDGDD, establece que, de acuerdo a lo previsto en el artículo 83.2.
  14. k)del RGPD, se tendrá en cuenta, como factores agravantes de la sanción, los siguientes: - El carácter continuado de la infracción, pues, aunque la entidad reclamada afirma que procedió a solucionar los problemas ocasionados el 13/08/20, sigue existiendo el enviando SMS con datos pertenecientes a otras personas ajenas al interesado, (apartado a). - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (apartado b). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 5.1.
  15. f)del RGPD, permite fijar una sanción inicial de 50.000 euros, (cincuenta mil euros). VI- Sobre el envío de SMS publicitarios sin el consentimiento del interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 En el presente apartado se examina el presunto incumplimiento, por parte de la entidad reclamada, del artículo 21 de la LSSI, donde se establece la prohibición de enviar comunicaciones publicitarias o promocionales, por medios de comunicación electrónica, que previamente no hubieran sido solicitadas o expresamente autorizadas. El artículo 21 de la LSSI, sobre las comunicaciones comerciales no consentidas, establece que: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” De la documentación existente en el expediente seguido en esta Agencia, por los mismos hechos denunciados (E/06604/2020), de la documentación presentada por el reclamante en el presente procedimiento sancionador (PS/00448/2020) y de las contestaciones realizadas por la entidad reclamada, a los requerimientos realizados por esta Agencia, expuestos en el punto II, se constata, que, los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 21 de la LSSI, por el envío de una gran cantidad de SMS publicitarios o comerciales, sin la autorización del interesado y después de que la entidad reclamada afirmara que habían atendido la solicitud de del interesado de no volverle a enviar SMS. La citada infracción se encuentra tipificada como leve en el art. 38.4.
  16. d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.
  17. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma. Tras las evidencias obtenidas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI: - La existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI. - Plazo de tiempo durante el que ha venido cometiendo la infracción, pues la entidad afirmó que había accedido a no enviar más SMS al interesado, el 13/08/20 y siguió enviando SMS hasta el 09/11/20 (último SMS que esta Agencia tiene conocimiento) (apartado b). Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de 20.000 euros (veinte mil euros), por la infracción del artículo 21 de la LSSI, respecto al envío de comunicaciones comerciales a través de SMS sin el consentimiento del afectado. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: INICIAR: PROCEDIMIENTO SANCIONADOR a la entidad XFERA MÓVILES, S.A., con CIF.: A82528548, por las siguientes infracciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 - Infracción del artículo de artículo 17 del RGPD, sancionable conforme a lo dispuesto en el art. 58.2 del citado RGPD, por incumplimiento, de la supresión de los datos personales de sus bases de datos, solicitada por el reclamante. - Infracción del artículo de artículo 32 del RGPD, sancionable conforme a lo dispuesto en el art. 58.2 del citado RGPD, por incumplimiento, de la seguridad en el tratamiento de los datos personales de sus clientes. - Infracción del artículo de artículo 5.1.
  18. f)del RGPD, sancionable conforme a lo dispuesto en el art. 58.2 del citado RGPD, por incumplimiento del principio de integridad y confidencialidad en el tratamiento de datos personales de sus clientes. - Infracción del artículo 21 de la LSSI, respecto del envío de SMS comerciales o publicitarios sin el consentimiento expreso del destinatario. NOMBRAR: como Instructor a D. R.R.R., y Secretaria, en su caso, a Dª S.S.S., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, todos ellos parte del presente expediente administrativo. QUE: a los efectos previstos en el art. 64.2
  19. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de: - 50.000 euros (cincuenta mil euros) por la infracción del artículo de artículo 17 del RGPD, sin perjuicio de lo que resulte de la instrucción del presente procedimiento sancionador. - 30.000 euros (treinta mil euros) por la infracción del artículo de artículo 32 del RGPD, sin perjuicio de lo que resulte de la instrucción del presente procedimiento sancionador. - 50.000 euros (cincuenta mil euros) por la infracción del artículo de artículo 5.1.
  20. f)del RGPD, sin perjuicio de lo que resulte de la instrucción del presente procedimiento sancionador C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 - 20.000 euros (veinte mil euros) por la infracción del artículo 21 de la LSSI, sin perjuicio de lo que resulte de la instrucción del presente procedimiento sancionador. Por tanto, a los efectos previstos en el art. 64.2
  21. b)citado, la sanción total que pudiera corresponder sería de 150.000 euros (ciento cincuenta mil euros) NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a la entidad XFERA MÓVILES, S.A., otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  22. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 30.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 120.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 30.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 120.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 90.000 euros (noventa mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos. >> SEGUNDO: En fecha 3 de marzo de 2021, el reclamado ha procedido al pago de la sanción en la cuantía de 90000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  23. d)e
  24. i)y 38.4 d),
  25. g)y
  26. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente. De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00448/2020, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  27. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-031219 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.