1/15 Expediente N.º: EXP202208755 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22 de febrero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202208755 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: D.ª A.A.A. (en adelante, la parte reclamante), en fecha 13 de febrero de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U., con NIF A80907397 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta haber tenido conocimiento de que en un establecimiento de la entidad reclamada (INYTEL, distribuidora de Vodafone), se formalizó, sin su consentimiento, un contrato con una tarifa nueva, no solicitada por ella. Junto a la reclamación aporta copia del contrato formalizado, sin su firma y sin su consentimiento, en fecha 14 de enero de 2022, así como los correos electrónicos dirigidos a la parte reclamada en los que ponía de manifiesto las irregularidades en dicha contratación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a INGENIERIA y TELECOM JAEN SLU, en adelante INYTEL y a VODAFONE ESPAÑA, S.A.U., para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 que procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, fue recibido en fecha 7 de marzo de 2022, como consta en el certificado que obra en el expediente. En fecha 4 de abril de 2022, se recibe en esta Agencia escrito de respuesta por parte de INGENIERIA y TELECOM JAEN SLU, en adelante INYTEL, reconociendo que no se han realizado todas las acciones necesarias ni se han tenido en cuenta, con la suficiente diligencia, todos los aspectos relativos al tratamiento de datos personales por lo que la dirección de la empresa INYTEL, ha decidido adoptar las medidas que sean necesarias para garantizar el cumplimiento de la legislación en materia de protección de datos personales y otorgar a esta faceta de la empresa, la máxima prioridad para garantizar que los derechos y libertades de los interesados sean respetados en todo momento. Asimismo, manifiesta que si bien es cierto que las ofertas para los clientes pueden ser remitidas a Vodafone desde su establecimiento a través del sistema de información que les proporciona la propia Vodafone, no obstante, para su activación, se requiere necesariamente la firma certificada del cliente mediante SMS, por lo que las contrataciones son siempre remitidas a Vodafone para su posterior confirmación por parte del cliente. Dicha confirmación escapa de su control. Dicho de otro modo, no pueden confirmar ofertas ni contratos desde su establecimiento. Por último, añaden que en ningún caso su intención era la de establecer una contratación sin el consentimiento del interesado, sino más bien todo lo contrario, facilitar al cliente el trámite, para que pudiera beneficiarse de una oferta más ventajosa pero siempre con su necesaria aprobación. En fecha 6 de abril de 2022, se recibe en esta Agencia escrito de respuesta por parte de VODAFONE ESPAÑA, S.A.U, en el que se indica que no se trata de una contratación fraudulenta, sino que la activación de la promoción o descuento aplicado sobre la tarifa de la reclamante, en fecha 14 de enero de 2022, se debe a un error en los sistemas. Manifiesta que se ha procedido a eliminar su permanencia, manteniéndose el descuento aplicado sobre su tarifa. Asimismo, se ha enviado una carta de contestación a la reclamante en la que se le informa de lo anteriormente expuesto. Añade que la reclamante estaba interesada en renovar la aplicación de la promoción que Vodafone venía aplicando a su tarifa mensual y así se lo trasmitió a los comerciales, razón por la cual, desde la tienda Vodafone sita en el centro comercial Alcampo, se le explicó que dicha renovación debía confirmarse mediante firma certificada, a través del envío de un mensaje de confirmación a su número de teléfono y la confirmación de un código de seguridad. Enviada la orden de firma por el sistema, se produjo un error en el mismo que provocó que, a los dos días de remitir dicha orden, el propio sistema activara la promoción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 Destaca que lo sucedido en ningún momento perjudicó los intereses de la reclamante, en todo caso, el único efecto que tuvo la incidencia fue el pago de una cantidad menor en su factura por los servicios contratados con Vodafone. Por último, indica que detectado lo ocurrido en la tienda Vodafone, los empleados de esta última procedieron a contactar de manera amistosa con la reclamante para encontrar una solución de su agrado. Así las cosas, Vodafone ha decidido mantener la promoción sobre la tarifa de la interesada eliminando la permanencia aparejada a la misma. La clienta fue informada de estos trámites mediante carta de contestación enviada en fecha de 30 de marzo de 2022. TERCERO: En fecha 19 de abril de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección Segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: INGENIERÍA Y TELECOM JAÉN, S.L. con NIF B23693260 con domicilio en CRTA. BAILÉN-MOTRIL, KM 44 - URB. LAS LOMAS - 23170 LA GUARDIA DE JAÉN (JAÉN) y VODAFONE ESPAÑA, S.A.U. con NIF A80907397 con domicilio en AVDA. DE AMÉRICA, 115 - 28042 MADRID (MADRID) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN El día 31 de mayo de 2022, la Inspección de Datos realizó una visita de inspección en la sede de la empresa VODAFONE, durante el desarrollo de la cual se pusieron de manifiesto los siguientes hechos recogidos así en el Acta de Inspección: 1.- Vodafone cuenta con una red de tiendas (franquicias) en todo el territorio español para la comercialización de los productos y servicios propios de la marca. Las tiendas disponen de una aplicación facilitada por VODAFONE denominada RETAIL-X para la gestión de los servicios y contratos con los clientes. 2.- El procedimiento seguido en las franquicias para llevar a cabo la contratación de un producto de VODAFONE es el siguiente: - Solo se realizan contrataciones presenciales, ya que las contrataciones telefónicas son realizadas exclusivamente por agencias o personal propio de VOFDAFONE. - Cuando un cliente se persona en una tienda se le presenta un resumen de oferta, según las necesidades manifestadas por el cliente. Previamente se le solicita el DNI para comprobar si ya es cliente de VODAFONE y rescatar sus datos. Si el cliente acepta la oferta se envía al sistema para que se proceda a la firma del contrato. Normalmente el proceso de firma es digital certificada, mediante el envío C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 de un SMS al número de teléfono de contacto facilitado por el cliente, para lo cual cuentan con el servicio de una entidad certificante. En los casos en los que el cliente no dispone de línea móvil, o por alguna razón no recibe el SMS, se puede realizar la firma manual, que consiste en la impresión de la propuesta en un documento contractual que debe ser firmado por el cliente de forma manuscrita. Para poder iniciar la tramitación de la activación del servicio el cliente tiene que haber dado su consentimiento mediante la firma del contrato antes de abandonar la tienda. Los contratos manuales se custodian en la tienda durante 6 años y se envía copia a VODAFONE, para lo cual tienen contratados los servicios de una empresa de logística que se encarga de la recogida y el escaneo de los contratos para registrarlos en el sistema de VODAFONE. - Las tiendas, como deferencia o atención al cliente, para garantizar la fidelización, en ocasiones se dirigen telefónicamente al cliente para informarles de eventos relacionados con sus tarifas, como es el caso de la inminente caducidad de los descuentos que tienen aplicados a sus tarifas para que procedan a su renovación. - Los inspectores comprobaron que en el sistema de información de VODAFONE constaban los siguientes registros: - o El día 12 de enero de 2022, a las 9:45, se crea una orden, que según los representantes de VODAFONE corresponde a la orden de renovar el descuento en la tarifa que la cliente venía disfrutando. Se comprueba que dicha orden consta asociada al vendedor FRANQ430 que corresponde a INGENIERIA y TELECOM JAEN SLU. o El día 14 de enero de 2022, a las 11:09, constan varios apuntes de “Firma Certificada”. Los representantes de VODAFONE manifestaron que estos apuntes corresponden a la generación de la firma certificada que se le envía al cliente a la línea móvil de contacto. o En la pestaña de “Auditoria de Comunicaciones”, que según manifestaron los representantes de VODAFONE muestra las comunicaciones por SMS mantenidas con el cliente, no consta los SMS que reflejen que el proceso de firma certificada se haya completado. o El día 14 de enero a las 11:29, consta un apunte de cambio de método de firma. Los representantes de VODAFONE manifestaron que al no recibir respuesta a los SMS de firma certificada por parte de la cliente se procede al cambio de método de firma manual. Este cambio se realiza manualmente por el comercial que está gestionando la contratación. o Los inspectores recabaron copia del contrato de Servicio Móvil de la reclamante que consta en VODAFONE. Los representantes de VODAFONE manifiestan que el contrato custodiado en la tienda no contiene la firma manuscrita de la clienta debido a un error en el proceso de gestión comercial de la tienda al haber activado la contratación omitiendo, involuntariamente, el trámite de firma manuscrita por parte del cliente Los representantes de VODAFONE remitieron, a requerimiento realizado en el acta de inspección, impresión de pantalla de los SMS que se enviaron para tramitar el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 proceso de firma certificada, los cuales se enviaron el 14 de enero de 2020, según consta en la captura de pantalla extraída del sistema de gestión de relaciones con el cliente de Vodafone. - Los representantes de VODAFONE remitieron, a requerimiento realizado en el acta de inspección, copia del contrato firmado con la franquicia y los anexos que regulan las penalizaciones (Anexo I) y la protección de datos personales (Anexo V). En el Anexo I se incluyen una serie de supuestos en los que VODAFONE puede interponer una penalización económica a aquellos agentes que no cumplan con los requisitos necesarios para la contratación y activación de servicios (regulado en la cláusula cuarta del Anexo I). El contrato incluye entre otras las siguientes cláusulas: “14.6 Como consecuencia de la prestación de los servicios que constituyen el objeto del presente contrato, el AGENTE podrá acceder a ciertos datos de carácter personal de las personas que, a través suya o de sus colaboradores, de conformidad con la cláusula 6.1 del presente contrato, contraten los Servicios de VODAFONE. Por este motivo y de conformidad con la normativa vigente, el AGENTE tendrá la consideración de encargado del tratamiento, debiendo formalizar el Acuerdo estándar de tratamiento de datos que se adjunta como Anexo IV, a través del cual se recogen sus obligaciones en esta materia.” El anexo V al contrato incluye entre otras las siguientes cláusulas: “2.1. El Encargado de Tratamiento garantiza y se compromete a que en todo momento: 2.1.1. Sólo tratará los Datos Personales para llevar a cabo las actividades encomendadas en el Acuerdo, de conformidad con las finalidades encomendadas y según lo acordado por escrito por las partes y, únicamente actuará conforme a las indicaciones facilitadas por escrito por Vodafone. En particular, el Encargado de Tratamiento no ejercerá por sí mismo el control, ni transferirá dichos Datos Personales a un tercero, salvo que Vodafone lo autorice expresamente y por escrito; 2.1.1.1. no tratará, aplicará o utilizará los Datos Personales para ninguna finalidad que no sea la requerida por Vodafone y que no sea necesaria para proporcionar los Servicios acordados; 2.1.1.2. no tratará los Datos Personales para sus propios fines ni incluirá Datos Personales en productos o servicios ofrecidos a terceros; 2.1.1.3. deberá completar un Apéndice de Tratamiento separado de manera independiente para cada Servicio que requiera el Tratamiento de Datos Personales.” CONCLUSIONES: - VODAFONE no ha acreditado el consentimiento de la reclamante para la contratación y activación de la actualización de la tarifa del servicio de telefonía móvil de VODAFONE que venía disfrutando. - Dicha contratación se llevó a cabo en la tienda de INYTEL (franquicia de VODAFONE) de forma manual, sin que conste que la cliente, aquí reclamante, diera su consentimiento mediante la firma del documento contractual. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida Los hechos reclamados se materializan en la contratación y activación de la actualización de la tarifa del servicio de telefonía móvil de VODAFONE que venía disfrutando la parte reclamante sin que conste su consentimiento, lo que podría suponer una vulneración de la normativa en materia de protección de datos. En el caso concreto que se examina, la celebración de un contrato para la activación de la promoción o descuento aplicado sobre la tarifa de la reclamante, a tenor del artículo 4.2 del RGPD, constituye un tratamiento de datos personales y su protección es objeto de dicho Reglamento. El artículo 4 del RGPD define: 2)«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; En el presente caso, a pesar de que la irregularidad se haya ejecutado por el encargado del tratamiento, VODAFONE ESPAÑA, S.A.U. es la responsable de los tratamienC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 tos de datos ahora analizados, toda vez que conforme define el artículo 4.7 del RGPD, es la que determina los fines y medios de tal actividad. La esencia de la función de encargado del tratamiento es que los datos personales son tratados en nombre y por cuenta del responsable del tratamiento. En otras palabras, el encargado de tratamiento actúa en nombre y por cuenta del responsable del tratamiento, está al servicio del interés del responsable del tratamiento en llevar a cabo una tarea específica y, por tanto, sigue las instrucciones establecidas por el responsable del tratamiento, al menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado. Es, por tanto, pertinente analizar si el tratamiento de datos personales llevado a cabo para la activación de la promoción o descuento aplicado sobre la tarifa de la reclamante es acorde con lo establecido en el RGPD. El Reglamento General de Protección de Datos, en su artículo 4.11, define el consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En este sentido, el artículo 6.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, establece que “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. III Artículo 6.1 del RGPD El RGPD exige que el tratamiento de datos de carácter personal sea lícito (artículo 5.1.a), principio que desarrolla el artículo 6, cuyo apartado 1, señala que el tratamiento solo será lícito si concurre alguna de las circunstancias que se relacionan. Así pues, el artículo 6 del RGPD bajo la rúbrica “Licitud del tratamiento” concreta en su apartado 1, los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» La documentación obrante en el expediente ofrece indicios evidentes de que la parte reclamada llevó a cabo la contratación sin que conste que la cliente, aquí la reclamante, diera su consentimiento mediante la firma del documento contractual. Tal y como consta en el escrito de respuesta de fecha 6 de abril de 2022, la activación de la promoción o descuento aplicado sobre la tarifa de la reclamante, en fecha 14 de enero de 2022, se debió a un error en los sistemas. Expone la parte reclamada que la reclamante estaba interesada en renovar la aplicación de la promoción que Vodafone venía aplicando a su tarifa mensual y así se lo trasmitió a los comerciales, razón por la cual, desde la tienda Vodafone sita en el centro comercial Alcampo, se le explicó que dicha renovación debía confirmarse mediante firma certificada, a través del envío de un mensaje de confirmación a su número de teléfono y la confirmación de un código de seguridad. Enviada la orden de firma por el sistema, se produjo un error en el mismo que provocó que, a los dos días de remitir dicha orden, el propio sistema activara la promoción. La falta de diligencia desplegada por la parte reclamada en el cumplimiento de las obligaciones impuestas por la normativa de protección de datos de carácter personal es, pues, evidente. Un cumplimiento diligente del principio de licitud en el tratamiento de datos de terceros requiere que el responsable del tratamiento esté en condiciones de probarlo (principio de responsabilidad proactiva), lo que, trasladado al supuesto analizado, significa que ha de poder acreditar que la persona con la que contrató prestó su consentimiento mediante la firma electrónica o manuscrita del contrato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 Debe ponerse de manifiesto que VODAFONE ESPAÑA no ha aclarado las razones por las cuales fue posible que se activara un contrato (renovación) sin que existiera una firma electrónica de la reclamante (confirmación mediante código remitido por SMS). De conformidad con las evidencias de las que se dispone en este acuerdo de iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 6.1 del RGPD. IV Tipificación de la infracción del artículo 6.1 del RGPD De confirmarse, la citada infracción del artículo 6.1 del RGPD, podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. V Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción por infracción del artículo 6.1 del RGPD, procede graduar la multa teniendo en cuenta: Artículo 76.2
- b)LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales” Consta conocido que la parte reclamada es una entidad con más de quince millones de clientes cuyos datos personales son tratados de forma sistemática en el ejercicio de sus atribuciones como una de las principales operadoras de telecomunicaciones. Esta circunstancia determina un mayor grado de exigencia y profesionalidad y, consiguientemente, de responsabilidad de la entidad en relación con el tratamiento de los datos personales. Considerando los factores expuestos, la valoración inicial que alcanza la cuantía de la multa es de 70.000 € por infracción del artículo 6.1 del citado RGPD. VI Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR instructor a B.B.B. y, como secretario, a C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, por la supuesta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 70.000,00 euros QUINTO: NOTIFICAR el presente acuerdo a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de las medidas que, en su caso, se impongan. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 42.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (56.000,00 euros o 42.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 14 de marzo de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 56000 euros haciendo uso de una de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente. Por tanto, no ha quedado acreditado el reconocimiento de responsabilidad. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202208755, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 937-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es