← España

PS-00479-2025

1/31  Expediente N.º: EXP202406240 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18/12/2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TELCOM BUSINESS SOLUTIONS S.L. con NIF B92563626, mediante el acuerdo que se transcribe: “Expediente N.º: EXP202406240 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR “PRIMERO: ENTRADA DE RECLAMACIÓN Con fecha 25/03/2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a TELCOM BUSINESS SOLUTIONS S.L. con NIF B92563626 (en adelante, TBS). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: “Intento de proceso de grabación de datos en vivo y biométricos, redireccionando tras compra y sin aceptación previa, mediante una empresa en EEUU cuyos datos identificativos de empresa no se pueden verificar. El pasado 13/03/24, procedí a dar de alta un servicio de telefonía IP con la empresa TELCOM BUSINESS SOLUTIONS S.L. a través de su portal Netelip.com de un número virtual. Soy cliente de dicha empresa desde hace casi 10 años y poseen copia de NIF actualizada. -Tras realizar la compra del número virtual, me llega un mensaje en que debo validar mi identidad. Procedo a dar de nuevo mi NIF.- Tras ello, y sin firma alguna de documentos para ello ni aceptación de condiciones particulares para esta acción, soy redireccionado a través de un QR a una página ajena ubicada en los EEUU ((...)) llamada https://www.veriff.com/ en la que se intenta la grabación de mi persona sosteniendo mi NIF y dando mis perfiles, con la intención de grabar mi persona en vivo y extraer mis datos biométricos (Como digo posteriormente a la compra y sin mi aceptación previa).Dicha empresa no ofrece sus datos de empresa, ni ID, ni dirección https://www.veriff.com/privacy-notice. Reclamo a la empresa TELCOM BUSINESS SOLUTIONS S.L. a través del servicio de atención al cliente en netelip.com ante este intento de que facilite datos tan privados, de forma posterior a la compra, sin autorización previa, directamente a una empresa ajena extranjera (EEUU). La respuesta de esta empresa es anular la compra, indicando operan acorde a la legalidad y pueden anular la compra.” Aporta copia de una comunicación de 13/03/2024 en la que se le indica: “Gracias por la documentación aportada. Para continuar con la validación de su cuenta netelip, debe realizar la verificación de identidad en vivo escaneando el siguiente código QR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/31 con su dispositivo móvil: (...) Mostrando su documento identificativo original y su rostro, no siendo válidas fotocopias ni imágenes digitalizadas-el equipo de netelip” SEGUNDO: TRASLADO DE LA RECLAMACIÓN De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 25/04/2024 se dio traslado de dicha reclamación a TBS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos, y respondiera a: 1. Base jurídica del tratamiento y, en su caso, circunstancia que levanta la prohibición para tratar categorías especiales de datos, según el artículo 9 del RGPD” TBS argumenta que: “A raíz de la pandemia, se incrementó el número de contrataciones online de nuestros servicios de telecomunicaciones para empresas, que ayudaban a implementar el teletrabajo, pero observamos que también aumentaron notablemente los intentos de usurpación de identidad, por lo que nuestra empresa se vio obligada a buscar medidas adicionales en la verificación de identidad. Tras estudiar distintos métodos de fortalecimiento en la verificación de identidad, encontramos el documento de la AEPD: https://www.aepd.es/prensa-ycomunicacion/notas-de-prensa/aepd-publicaresultados-auditoria-contrataciontelecomunicaciones-energia, titulado “Plan de inspección de oficio sobre contratación a distancia en operadores de Telecomunicaciones y comercializadoras de energías” donde se hacían recomendaciones en el apartado “Acreditación de identidad del interesado en la contratación de servicios de telecomunicaciones y energía” Manifiesta TBS que en la página 20 del citado documento (que se ha comprobado que fue publicado en la web de la AEPD el 29/10/2020), una de estas “conclusiones y recomendaciones” justifica el levantamiento de la prohibición para tratar categorías especiales de datos en este caso: "Puede interpretarse que de acuerdo con el art. 4 del RGPD el concepto de dato biométrico incluiría la identificación y la verificación/autenticación (verificación uno contra uno, verificación uno contra varios). Sin embargo y, con carácter general, los datos biométricos únicamente tendrán la consideración de categoría especial de datos en los supuestos en que se sometan a tratamiento técnico dirigido a la identificación biometría (uno a varios) y no en el caso de verificación/autenticación biométrica (uno a uno). No obstante, esta Agencia considera que se trata de una cuestión compleja, sometida a interpretación, respecto de la cual no se pueden extraer conclusiones generales, debiendo atenderse al caso concreto según los datos tratados, las técnicas empleadas para su tratamiento y la consiguiente injerencia en el derecho a la protección de datos, debiendo, en tanto en cuanto no se pronuncia al respecto el Comité Europeo de Protección de Datos o los órganos jurisdiccionales, adoptarse, en caso de duda, la interpretación más favorable para la protección de los derechos de los afectados. “ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/31 Añade TBS que: “En la verificación de identidad que usa nuestro proveedor VERIFF (https://www.veriff.com/es), se emplea el método de verificación/autenticación biométrica (uno a uno), por lo que se entiende que no tiene la categoría especial, como indica el informe. Indicar que nuestro proveedor VERIFF, es una empresa europea, con sede central en Estonia, y filial en España (VERIFF Spain S.L, con NIF B09774621), que cumple con la RGPD y dispone de certificados ISO 27001. Su política de privacidad también está disponible en su web y a través del proceso de verificación en: https://www.veriff.com/privacy-notice?navigation=slim&lang=es#ES Adicionalmente, puede acceder a obtener más información en: https://www.veriff.com/blog/veriff-potencia-su-gama-de-productos-de-verificacion”. 2. La finalidad del tratamiento. TBS contestó que: “La finalidad del tratamiento es la verificación/autenticación de identidad del cliente en la contratación de servicios de telecomunicaciones que requieran KYC" siglas en inglés de Know Your Customer, conoce a tú cliente. 3. Las garantías adecuadas implementadas para la protección de los derechos y libertades de las personas. TBS respondió que “es una empresa que posee y aplica todas las medidas de seguridad relativas al tratamiento de la información y datos personales, estando certificada por AENOR y OCA, disponiendo de un sistema de gestión de seguridad de la información conforme a la Norma UNE-ISO 27001 para los sistemas de información y UNE-ISO 20000 para la Gestión de Servicios TIC. La estructura de la seguridad está documentada en ambas ISOs y se han pasado las siguientes certificaciones:” • ISO27001 “certificado del sistema de Gestión de Seguridad de la Información” emitido por AENOR en 2012 (revisión ISO27001:2007), documento n.º 2, y emitidos por OCA, en: -2016 (revisión ISO27001:2014), documento n.º 3, -2021 (revisión ISO27001:2017), documento n.º 4 • ISO20000:2011 (certificado del sistema de gestión de servicios de tecnologías de la Información) emitida por OCA en 2013, 2017 y 2021 (doc 5 a 7). 4. Las categorías de interesados, trabajadores, clientes, usuarios, etc. y la información facilitada a éstos sobre el tratamiento de los datos. TBS respondió que “pone a disposición de sus clientes y usuarios SU POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES A TRAVÉS DE SU WEB PÚBLICA https://www.netelip.com/politica-de-privacidad/ que se adjunta en el Documento n.º 8.”, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/31 fecha actualización 5/04/2022 edición 4. Consta en la política de privacidad que el responsable del tratamiento es TBS. En cuanto a los datos de verificación de identidad se indica: para verificar tu identidad, recopilamos tu nombre, dirección, teléfono, correo electrónico y otra información similar. También podemos solicitar que proporciones Datos personales adicionales para fines de verificación, incluyendo tu fecha de nacimiento, número de identificación fiscal o del contribuyente, o una copia de tu identificación emitida por el gobierno. Podemos obtener información de terceros afiliados y no afiliados, como servicios de verificación de identidad y otros servicios de detección para verificar que eres elegible para usar nuestros Servicios, y asociaremos esa información con la información que recopilamos de ti. Como parte de nuestro proceso de verificación de identidad, netelip usa Veriff para verificar tu identidad al determinar si una selfie que toma coincide con la foto en tu identificación emitida por el gobierno. La tecnología de reconocimiento facial de Veriff recopila información de tus fotos que puede incluir datos biométricos, y cuando proporciones tu selfie, se te pedirá que aceptes que Veriff puede procesar datos biométricos y otros datos (incluyendo categorías especiales de datos) desde las fotos que envíes y compartirlas con netelip. Se pueden usar procesos automatizados para tomar una decisión de verificación. La política de privacidad de Veriff describe su recopilación, procesamiento, almacenamiento y uso de tus datos personales con más detalle” En relación con la legitimación para el tratamiento de sus datos se explica que “Trata sus datos personales en base al contrato establecido entre las partes (art. 6.1.b RGPD) y con la finalidad de gestión de los servicios incluidos en dicho contrato y en base al consentimiento del interesado que podrá ser revocado en cualquier momento, si bien ello no afectará a la licitud de los tratamientos de datos realizados con anterioridad. En caso de no facilitar sus datos, no podrán hacerse efectivas las prestaciones contratadas y sería imposible establecer y/o mantener ninguna relación entre las partes” 5. La Evaluación de Impacto realizada o motivos por los que no se ha realizado (para conocer la lista de tratamientos de datos personales que requieren una evaluación de impacto, así como cualquier otra información relacionada con las evaluaciones de impacto. TBS respondió que “En base a la norma ISO 27001 y la RGPD, Telcom BS tiene desarrollado un análisis de riesgos y evaluación de impacto, adjuntando copia en el documento 9. El citado documento 9, es una hoja Excel compuesta por cuatro hojas tituladas: FO 09 01, Controles, Criterios e Info. La primera, FO:, contiene “análisis de riesgos, actualizado a 1/05/2022” que consta de cuatro pestañas sobre la que se despliega la información denominada: SERVICIO, ACTIVOS, RIESGO Y CONTROL. La segunda hoja Excel se denominada: “CONTROLES” y contiene las claves del significado de las claves numéricas de la pestaña “descripción” de CONTROL de la hoja FO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/31 La tercera hoja denominada “CRITERIOS”, contiene “criterios de evaluación” 6. La decisión adoptada a propósito de esta reclamación. TBS indica que “Nos encontrarnos actualmente en el proceso de renovación de las certificaciones ISO27001-2022 e ISO20000-2018, por lo que estamos revisando esta incidencia en la auditoría interna con el equipo consultor externo para modificar, si fuera necesario, el procedimiento de activación de los servicios en nuestro sistema de tickets con el cliente, y analizar si debemos añadir más información del servicio VERIFF en ese proceso, que dé aún más información y confianza al cliente.” 7. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. Respondió que TBS “anuncia y explica por qué requiere de la verificación de identidad, así como el uso de la entidad VERIFF, para efectuar la verificación de identidad en línea, tanto:

  1. a)En nuestra POLÍTICA DE PRIVACIDAD, reproduciéndose el contenido que figura en el punto 4 de esta respuesta al traslado.
  2. b)Como también en el PROCESO DE CONTRATACIÓN DEL SERVICIO (Documento n.º 10). En este documento consta, el segundo paso del proceso de contratación: “Aportar documentación” con el siguiente texto: “documento identificativo” “información importante”- “La numeración Española solo puede ser asignada a clientes con residencia fiscal Española. Debe adjuntar el documento identificativo a color, por ambas caras, y en vigor, en un mismo archivo del titular de su cuenta netelip. Los documentos a adjuntar no pueden superar los 10 MB. La adquisición del servicio solicitado puede requerir de una verificación de identidad en vivo que determinará, mediante un selfie y utilizando su documento físico, la veracidad y coincidencia del documento aportado. Desde netelip utilizaremos dicha verificación para protegerlo contra el fraude y la usurpación de identidad, así como agilizar futuras solicitudes realizadas desde su cuenta de cliente, logrando así una experiencia optimizada, dotada de fluidez, inmediatez y seguridad. Y consta una casilla para marcar, con el texto: “He leído y acepto las condiciones de uso del servicio”, que según TBS manifiesta, es “necesario para avanzar hasta la finalización del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/31 proceso de compra.” TBS expone “que entendemos que el cliente no ha llegado a leer el apartado de "Información importante” durante el proceso de compra del servicio”. 8. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. TBS respondió que “El día 29 de mayo se tiene jornada de trabajo con nuestra consultora en ISO27001, ISO20000 y RGPD (***EMPRESA.1 (…)) para revisar el procedimiento de contratación y su EIPD, así como la información proporcionada al cliente mediante el sistema de tickets en los procesos de verificación de identidad. Asimismo se revisará nuestra política de seguridad, para actualizarla AÑADIENDO UN NUEVO “AVISO DE PRIVACIDAD BIOMÉTRICA” propuesto por VERIFF, como sigue: “Aviso de privacidad biométrica de netelip ¿Por qué recibes este aviso? Este aviso de privacidad biométrica explica cómo netelip recopila, usa, comparte, retiene y destruye (colectivamente, "procesa") tus Datos biométricos cuando contratas nuestros servicios. Los "datos biométricos" incluyen: (
  3. i)"identificadores biométricos", que son datos generados por mediciones de tus características biológicas, como el escaneo de tu retina o iris, huellas dactilares, huellas de voz o un escaneo de la geometría de tu mano o cara; y (
  4. ii)"Información biométrica", que es información basada en un Identificador biométrico que se puede usar para identificarte. Revisa este aviso detenidamente. Al usar el proceso de verificación de identidad de netelip, aceptas la recopilación, el uso, el intercambio y la retención de tus Datos biométricos como se describe en este aviso. ¿Qué tipo de Datos biométricos procesamos? Geometría de la cara. ¿Cómo los procesamos? Utilizamos al proveedor de servicios VERIFF, para ayudar con nuestro proceso de verificación de identidad. Para confirmar tu identidad, VERIFF, tomará una foto de tu identificación y una selfie. Luego, VERIFF revisará la geometría de la cara extraída de tu identificación y selfie. Este proceso se lleva a cabo para verificar de forma segura tu identidad, así como para detectar fraudes. Un número limitado de personal de netelip puede acceder a la foto de la identificación y selfie almacenada por VERIFF para fines de cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/31 ¿Cuánto tiempo conservamos tus datos biométricos? netelip no recibe una copia ni tiene acceso a los datos biométricos. Nuestro proveedor de servicios VERIFF, elimina los Datos biométricos dentro de los 90 días posteriores a la recopilación, a menos que la ley lo exija (como una orden judicial o una citación) para conservar tus Datos biométricos durante un período más prolongado. ¿Qué sucede con tus datos biométricos al final del período de retención? Nuestro proveedor de servicios VERIFF, borra permanentemente tus Datos biométricos al final del período de retención descrito anteriormente, de modo que no se pueden recuperar ni reconstruir Divulgaciones de privacidad adicionales y tus derechos Para obtener más información sobre cómo procesamos tu información personal, así como tus derechos y opciones con respecto a nuestras prácticas de datos, CONSULTA NUESTRA POLÍTICA DE PRIVACIDAD disponible en https://www.netelip.com/politica-de-privacidad/. Para obtener más información sobre las PRÁCTICAS DE DATOS DE VERIFF, CONSULTA LA POLÍTICA DE PRIVACIDAD DE VERIFF DISPONIBLE EN https://www.veriff.com/privacy-notice?navigation=slim&lang=es#ES.” 9-TBS manifiesta que “Atendiendo a la hoja informativa, en la que se solicitan documentos adicionales”, contestamos bajo su solicitud e indicamos: 9.1-“Telcom Business Solutions, S.L. no interviene en el proceso de verificación del cliente y solo recibe el resultado de la verificación del cliente por parte del proveedor VERIFF, por lo que no recibe una copia ni tiene acceso a los datos biométricos.” 9.2-En cuanto a la “descripción precisa del funcionamiento del instrumento utilizado para la captación de las imágenes” manifestó TBS que el proceso viene descrito en: https://www.veriff.com/blog/veriff-potencia-su-gama-de-productos-deverificacion” donde se puede leer: “¿Cómo funciona la solución totalmente automatizada de VERIFF? La solución IDV totalmente automatizada de VERIFF utiliza algoritmos avanzados de inteligencia artificial para verificar la identidad de un usuario de forma completamente autónoma. Así es como funciona: 1. El usuario fotografía su documento de identidad VERIFF guía al usuario durante todo el proceso en tiempo real. Nuestro sistema detecta automáticamente el tipo de documento, eliminando la necesidad de introducir datos manualmente. Este método acelera el proceso y minimiza los errores de escritura. 2. El usuario se toma una selfie Pedimos al usuario que se tome una selfie. La función de Captura de imágenes asistida de VERIFF proporciona comentarios inmediatos si algo no está bien en la imagen. Detectamos rápidamente la viveza y la realidad sin pedir a los usuarios que se muevan de forma poco natural o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/31 sigan instrucciones complicadas. 3. Toma de decisión Los datos se transmiten de manera segura a VERIFF. Nuestra avanzada tecnología de verificación de identidad, impulsada por la inteligencia artificial, proporciona una decisión, una puntuación de la decisión, información sobre la puntuación y detalles de la extracción en cuestión de segundos. Todo esto se basa en las comprobaciones de identidad que necesite su empresa.” 9.3-Sobre criterios utilizados para la codificación y el almacenamiento de la información captada (si los datos biométricos se almacenan en bruto o si son tratados de manera que sólo se almacena una plantilla biométrica). Respondió TBS que en “base a la norma ISO 27001 y la RGPD Compliance de VERIFF.” El proceso completo viene detallado en distintos apartados en: https://www.veriff.com/privacy-notice?navigation=slim&lang=es#ES, https://www.veriff.com/data-retention/ver-VDR-2301 y en El primero, contiene la “DECLARACIÓN DE PRIVACIDAD DE VERIFF”, y el segundo la “retención de datos en el servicio de VERIFF”. 9.4-Sobre los motivos que justifiquen la necesidad y la proporcionalidad del uso de los datos biométricos para la finalidad perseguida. TBS reitera el argumento de la acreditación de la identidad en las contrataciones a distancia que ya expuso en el punto 1 de esta respuesta del traslado con el objetivo de evitar la suplantación de identidad y el consiguiente fraude. TBS manifiesta, que respecto a la acreditación de la identidad de la persona interesada, la Agencia destaca la necesidad de extremar las garantías de identificación del contratante antes de llevar a cabo el contrato y recuerda la importancia de utilizar sistemas con garantías adicionales, como la autenticación reforzada del cliente, basada en la utilización de dos o más elementos independientes que proceden de algo que sólo conoce, posee o es el usuario, de forma que la vulneración de uno no comprometa la fiabilidad de los demás. Manifiesta TBS que como mínimo, la mayoría de los reguladores piden procesos básicos de KYC que consisten en: - Asegurarse de que el cliente proporciona un documento auténtico para verificar su identidad. - Asegurarse de que el cliente es la misma persona que aparece en el documento proporcionado. La entidad concluye que, el servicio de verificación de identidad de VERIFF proporciona ambos procesos de una manera proporcional, segura, rápida y confiable. 9.5-Sobre las Medidas adoptadas para garantizar que no es posible la reutilización de los datos biométricos para otra finalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/31 TBS se remitió a lo indicado en el punto 9.3 precedente. 9.6-Sobre las Medidas confidencialidad de los datos. de seguridad adoptadas para proteger la TBS responde, haciendo referencia a la norma ISO 27001 y la RGPD Compliance de VERIFF, indica que las medidas pueden consultarse en el enlace que figura en el punto 9.3. TERCERO: ADMISIÓN A TRÁMITE Con fecha 25/06/2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: ACTUACIONES PREVIAS DE INVESTIGACIÓN La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. I) Durante las actuaciones TBS responde al requerimiento de información de 6/6/2025, lo siguiente: 1. Fecha de puesta en funcionamiento del tratamiento y si sigue actualmente en funcionamiento. Se inició en el año 2020 y sigue en la actualidad. 2. Capturas de pantalla del proceso completo y detallado (paso a paso y pantalla a pantalla) en relación con la contratación online y al proceso de verificación de identidad seguida por un usuario. TBS manifiesta que el proceso de contratación se hace a través de TBS y la verificación por parte del proveedor VERIFF. Adjunta como documento 1 lo que denomina “captura del proceso de contratación” que coincide con la captura de pantalla aportada como documento 10 en la en respuesta al traslado de la reclamación. 3. Detalle y acredite si ofrece alguna alternativa, sin utilizar datos biométricos, a la verificación de identidad utilizando datos biométricos. Reitera TBS la publicación del informe de la AEPD sobre auditoria en contratación, sector telecomunicaciones y energía y también manifiesta que: “En la verificación de identidad que usa nuestro proveedor VERIFF (https://www.veriff.com/es), se emplea el método de verificación/autenticación biométrica (uno a uno), por lo que se entiende que no tiene la categoría especial, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/31 como indica el informe.” Añade que el proveedor VERIFF aporta el resultado de la verificación de identidad tras procesar las imágenes. “(…). En la práctica TBS solo recibe ese dato final-verificación aprobada /rechazada y motivos. Adicionalmente, en algunos casos particulares, podríamos consultar manualmente fuentes de verificación de identidad (p. ej. listas públicas o servicios de verificación documental) en caso de duda, pero no forma parte rutinaria del proceso automatizado” “Se utilizan exclusivamente para decidir sobre la activación del servicio contratado (ej.: si la verificación es positiva, se procede con el alta; si es negativa, se requiere la vía manual o se deniega la contratación por posible suplantación). No se usan para ningún otro fin diferente al de validar la identidad del cliente en este proceso. (Ejemplo: Veriff devuelve un informe indicando “Documento legítimo y rostro coincide con un 98% de certeza”; Telcom BS usa esa información para dar por válida la contratación.)” 1. Documentación acreditativa del nombramiento de su Delegado de Protección de Datos (DPD). Documentación que acredite el asesoramiento recabado de su DPD, junto con sus fechas, en el contexto del tratamiento. Aporta comunicado a la AEPD de su designación de DPD, “***EMPRESA.1”, fechada el 29/05/2024. No aporta acreditación del asesoramiento recabado del DPD en el contexto del tratamiento de los datos biométricos. 5. De conformidad con el artículo 30, apartado 4, del RGPD, facilite una copia de su registro de actividades de tratamiento (RAT). Añada, para cada dato personal o categoría de dato personal, la información sobre el origen de dichos datos personales. Este registro puede limitarse al tratamiento de datos personales en el contexto del tratamiento en estudio. TBS no contestó a esta petición 6. Detalle todos los datos recopilados, los considere datos personales o no: a. Aportados directamente por el usuario, como datos identificativos, datos biométricos, entre otros. TBS manifiesta que “son los que introduce o facilita activamente durante la contratación y verificación, estrictamente obligatorios para poder formalizar el contrato y verificar la identidad, ya que sin ellos no sería posible prestar el servicio ni cumplir con las exigencias legales de identificación. En detalle, se solicitan: • Datos identificativos básicos: Nombre completo, apellidos, dirección postal completa, teléfono de contacto, correo electrónico. Formato: campos de texto alfanumérico (con longitud y validación según tipo: ej. teléfono 9 dígitos, email con sintaxis estándar, etc.). Obligatoriedad: todos son obligatorios, dado que se requieren para crear la cuenta de cliente, asociar la línea telefónica contratada al titular correcto y comunicarnos con él (por ejemplo, para enviar confirmaciones o facturas). • Datos de documento de identidad: Tipo y número de documento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/31 (DNI/NIE/Pasaporte). Obligatoriedad: obligatorios para verificar que el cliente posee un documento válido y único. Justificación: la normativa nacional (Ley 25/2007, art. 2) exige a los operadores de telefonía identificar a los abonados mediante documento oficial; además, estos datos se usan para realizar la comprobación biométrica con Veriff (deben coincidir con el documento que se fotografiará). • Imágenes para verificación (documento y selfie): Fotografía del documento de identidad y autofotografía (selfie) del usuario. Justificación: sin el documento y la selfie, el sistema de VERIFF no puede realizar la comparación biométrica ni autenticar la identidad. Por último, TBS no aportó la siguiente documentación solicitada en el requerimiento de información: - Copia de las condiciones de uso del servicio que aparecen en la captura de pantalla aportada como documento 10 en su última respuesta, referidas tanto a fecha 13/03/2024 como a fecha actual, - Copia del contrato firmado con sus clientes en relación al servicio de telefonía IP. - Aporte evidencias sobre el número total de sus usuarios que se han sometido al proceso de verificación de identidad con datos biométricos desde que lo implantó, ya sea con resultado de verificación de identidad correcta o incorrecta. 7. Para los tratamientos de datos personales involucrados, facilite una copia de todos sus contratos con su proveedor VERIFF incluyendo contratos de encargado del tratamiento, según art. 28, apartado 3, del RGPD. TBS indica que “Dado que VERIFF OÜ presta su servicio mediante una plataforma Self-Serve (autoservicio en línea), la contratación se realiza mediante la aceptación de sus términos y condiciones estándar, que incluyen un acuerdo de tratamiento de datos conforme al art. 28 RGPD. En particular, al registrarnos y utilizar VERIFF, hemos aceptado: • Los Términos de Servicio Generales de VERIFF (versión ver-TOS-2302, vigente en 2023). • El Acuerdo de Tratamiento de Datos (Data Processing Addendum, versión verDPA-2303) asociado, que incorpora las cláusulas contractuales tipo y estipulaciones de encargado.” 8. De conformidad con el artículo 5, apartado 1, letra b), del RGPD, describa los diferentes fines para los que trata los datos personales involucrados en el sistema. En su respuesta, indique con precisión qué categorías de datos trata y para qué fines. Si ya se puede encontrar una descripción precisa de los fines del tratamiento en su registro de actividades de tratamiento, describa dónde puede encontrarse en el registro. TBS indicó: “El objetivo o finalidad principal de este tratamiento es verificar la identidad del cliente en el proceso de alta de servicios de telecomunicaciones, cumpliendo con políticas KYC y previniendo el fraude por suplantación. En otras palabras, utilizamos la solución de VERIFF para confirmar que cada usuario que contrata es realmente quien C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/31 dice ser, antes de activarle determinados servicios (números de teléfono, centralitas, etc.), garantizando así la seguridad jurídica de la contratación a distancia. De forma más detallada, los fines específicos son: “• Prevención del fraude y usurpación de identidad: corroborar que el documento de identidad aportado no es falso y corresponde efectivamente al solicitante presente, evitando altas fraudulentas con datos de terceros. Este fin protege tanto a la empresa como al propio afectado frente a posibles fraudes • Cumplimiento de obligaciones legales sectoriales: en el sector de las telecomunicaciones, la normativa española (Ley 25/2007, entre otras) exige identificar adecuadamente a los abonados de servicios telefónicos. La verificación de identidad contribuye a dar cumplimiento a esta obligación de forma robusta, especialmente al contratar remotamente. • Garantizar la ejecución del contrato con el legítimo interesado: asegurarnos de que estamos prestando el servicio al sujeto que tiene derecho a ello (el titular legítimo de los datos de pago y del documento presentado), evitando problemas de repudiación o contratación por terceros no autorizados. Esto redunda en mayor confianza y seguridad en la relación contractual. • Agilizar futuras gestiones con el cliente: una vez verificada la identidad inicialmente, el resultado se conserva para que el cliente no tenga que volver a identificarse con procesos engorrosos en futuras solicitudes desde su cuenta (p. ej. al contratar servicios adicionales, portabilidades, etc., durante la vigencia de la relación). Así, se ofrece una experiencia más fluida, inmediata y segura, en línea con lo informado al usuario en las condiciones de uso (ver punto 9). Este fin es complementario al primero y siempre dentro del ámbito de la relación con el cliente. Aclaramos que los datos únicamente se utilizan para la verificación/autenticación de identidad a través del proveedor VERIFF y éste garantiza las medidas técnicas y organizativas apropiadas mediante certificación ISO 27001 e ISO 20000, cuyos certificados se aportan en su día.” 9. ¿Ha llevado a cabo una EIPD con arreglo al artículo 35 del RGPD en relación con el tratamiento de datos personales involucrados en el tratamiento? En caso afirmativo, facilite una copia completa de su EIPD, así como la acreditación de cuándo se ha llevado a cabo. En caso negativo, explique por qué las condiciones del artículo 35, apartado 1, y 3 del RGPD no se aplican al tratamiento de datos personales realizado con el tratamiento. TBS respondió que “no procede realizar una EIPD ya que no se dan los requisitos que establece el artículo 35.3 del RGPD”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/31 10. De conformidad con el artículo 6, apartado 1, del RGPD, describa su base jurídica (y sus excepciones con arreglo al artículo 9, apartado 2, del RGPD) para el tratamiento de datos personales involucrados en el tratamiento, incluyendo los datos biométricos. En su respuesta, por favor sea preciso y proporcione la base jurídica respectiva para cada operación de tratamiento, en particular en lo que respecta al tratamiento de los datos personales de los usuarios. Especifique también si, y en qué medida, los datos personales comunicados por los usuarios, a través de sus interacciones con el tratamiento, se utilizan para cualquier otro fin distinto a la verificación de identidad de cada usuario concreto del cual se recogen dichos datos y, en caso afirmativo, cuál es la base jurídica aplicable. TBS respondió que “La base jurídica para el tratamiento es la ejecución contractual (art. 6.1.b RGPD). Se reitera la justificación de la no aplicabilidad del art. 9 RGPD debido a que el método empleado es verificación uno a uno, no clasificación biométrica generalizada. La base jurídica en la que se sustenta este tratamiento de datos personales (incluyendo los biométricos) es, primordialmente, la necesidad para la ejecución de un contrato con el interesado, según el art. 6.1 letra
  5. b)del RGPD (…)”. 11. Explique cómo y cuándo se facilita a los interesados la información requerida con arreglo al artículo 13 y al artículo 14 del RGPD. Facilite capturas de pantalla (por ejemplo, de la parte de su sitio web en la que se informa al interesado), así como una copia de su política de privacidad actualizada. No contestó a la cuestión. 12. Explique cómo garantiza el cumplimiento de los derechos de los interesados de conformidad con los artículos 15 a 22 del RGPD. Aporte copia de sus procedimientos detallados sobre cómo atienden cada uno de estos derechos. Para ilustrar sus explicaciones, proporcione ejemplos prácticos para cada casuística de ejercicio de derechos. TBS respondió que pone a disposición de sus clientes y usuarios su política de tratamiento de datos personales a través de su web publica https://www.netelip.com/politica-de-privacidad/ Asimismo, en aviso de privacidad se incluye la posibilidad de uso de datos biométricos. 13. Facilite una lista de los centros de datos, y en qué países se ubican, que utiliza para albergar o proporcionar de cualquier modo los servicios del tratamiento, bien directamente o bien indirectamente p.ej. a través de encargados del tratamiento. Indique si, por su posición de mercado o por cualquier otro factor, es probable que alguno de estos encargados sea también destinatario de datos de otras plataformas terceras pertenecientes a otros responsables del tratamiento. Si la ubicación del almacenamiento o tratamiento de los datos personales depende de algunos criterios, descríbalos. TBS respondió que “(…) (y elimina en 90 días). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/31 VERIFF es una empresa certificada según ISO 27001:2022, garantizando un nivel adecuado de protección de datos. No se realizan transferencias fuera de la UE.” 14. De conformidad con el artículo 44 del RGPD, ¿tienen lugar transferencias de datos personales de usuarios de España, o de otros países de la Unión Europea, a terceros países (fuera de la Unión Europea)? TBS indica que “Confirmamos que no existe ninguna comunicación o cesión de los datos personales de este tratamiento a terceros que actúen como responsables independientes determinando fines/medios. Es decir, Telcom BS no comparte los datos de identidad o biométricos de sus clientes con ninguna otra empresa u organismo público para que estos los utilicen con propósitos propios distintos a los nuestros. En este tratamiento, la única participación de terceros en los datos es en calidad de encargado del tratamiento (VERIFF). No hay otras cesiones de datos a terceros “destinatarios” en el sentido de RGPD.” II): Otras actuaciones de Inspección Con fecha 05/06/2025 se comprueba lo siguiente: 1. En la DECLARACIÓN DE PRIVACIDAD DE VERIFF ubicada en https://www.veriff.com/privacy-notice?navigation=slim&lang=es#ES consta que es válida desde la fecha 30/07/2020 y que la última actualización fue en fecha 11/03/2025, mereciendo destacar que en cuanto a los datos tratados se indica lo siguiente: 7) fotografías y vídeos, así como datos, como escaneos faciales y otras mediciones, extraídos de los mismos que se utilizan para autenticar al Usuario Final o comparar la cara del Usuario Final para identificar fotografías de documentos -algunos de estos datos extraídos pueden considerarse como datos biométricos y/o Datos Personales sensibles (también categorías especiales de Datos Personales, en adelante denominados "Datos Personales sensibles") bajo las leyes de protección de datos aplicables en determinadas jurisdicciones; […] 2. En la url https://www.veriff.com/blog/veriff-potencia-su-gama-de-productos-deverificacion consta: “[…] Para atender mejor a las necesidades específicas de nuestros clientes, VERIFF ofrece dos métodos para la verificación de identidades y documentos: un proceso de verificación de identidad totalmente automatizado, sin intervención humana, y una solución híbrida, también altamente automatizada, que cuenta con el respaldo de nuestros especialistas altamente cualificados en verificación. Ambos productos han experimentado avances significativos en automatización, lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/31 significa que VERIFF ofrece ahora un tiempo de respuesta aún más rápido. La última actualización de nuestro producto ofrece respuestas más rápidas. En cada sesión de verificación se emite una decisión, una puntuación de riesgo y se proporciona información adicional sobre la verificación. […] . 3. En la url https://help.veriff.com/en/articles/6896122-sub-processors-used-by-veriff, se describe la tarea que realizan y su localización. QUINTO: INFORME AXESOR Se comprueba en fecha 04/09/2025 que, según informe extraído del servicio axesor.es, la cifra de negocios de TELCOM BUSINESS SOLUTIONS S.L. asciende en el año 2023 a 3.821.999 €. SEXTO: Acuerdo de inicio Con fecha 18/12/2025, el Presidente de la AEPD acordó: “PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a TELCOM BUSINESS SOLUTIONS S.L., con NIF B92563626, por la presunta infracción del art. 35 del RGPD tipificada en el artículo 83.4.
  6. a)del RGPD.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/31 Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  7. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El RGPD define en el art.4.14 los datos biométricos como los: “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. (el subrayado es nuestro). Por su parte, el artículo 4.1 del RGPD, al definir los datos de carácter personal incide en esta misma finalidad de identificación única de la persona, señalando que ““1. Datos personales: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Los datos biométricos son una categoría especial de datos, tal y como expresa el art. 9.1 del RGPD. Las Directrices 5/2022 del Comité Europeo de Protección de Datos (CEPD), sobre el uso de reconocimiento facial en el ámbito de las fuerzas de orden público (véase Versión 2.0, de 26 de abril de 2023), determinan, en su apartado 12, que el concepto de dato biométrico incluye tanto la autenticación como la identificación, y que, si bien son conceptos distintos, ambos implican el tratamiento de datos dirigidos a identificar a una persona física, por lo que constituyen tratamientos de categorías especiales conforme al artículo 9 del RGPD. Por tanto, tanto la identificación (1:N) como la autenticación (1:1), cuando emplean datos biométricos para confirmar de forma unívoca la identidad de una persona, implica un tratamiento de “categorías especiales de datos personales” del artículo 9.1 RPGD. Ello implica la activación en general de las garantías especiales que una y otra norma confieren respecto del tratamiento de este tipo de datos especialmente protegidos. Ahora bien, sin perjuicio de que la autenticación y la identificación supongan un tratamiento de datos especialmente protegidos, el riesgo para los derechos del interesado será menor, en función de cómo estructure el responsable el tratamiento, y sobre todo de las medidas adecuadas y específicas que adopte. Así, la proyección concreta de estas garantías no necesariamente habrá de serlo con la misma intensidad. No puede obviarse que, aun en el ámbito de los datos especialmente protegidos, esta distinción entre autenticación e identificación sigue siendo un elemento relevante y distintivo del impacto y riesgo que se genera y debe protegerse. El mismo CEPD en el apartado 17 del referido informe recuerda respecto del reconocimiento facial que: “El reconocimiento facial basado en una plantilla C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/31 almacenada en un dispositivo personal (tarjeta inteligente, teléfono inteligente, etc.) perteneciente a dicha persona, utilizada para la autenticación y el uso estrictamente personal a través de una interfaz específica, no plantea los mismos riesgos que, por ejemplo, el uso con fines de identificación, en un entorno no controlado, sin la participación activa de los interesados, en el que la plantilla de cada cara que entra en la zona de supervisión se compara con las plantillas de una amplia sección transversal de la población almacenada en una base de datos. Entre estos dos extremos existe un espectro muy variado de usos y cuestiones conexas relacionadas con la protección de los datos personales.” En consecuencia, la distinción entre identificación o autenticación y especialmente de los elementos concretos de estos tratamientos tanto por sus fines como especialmente por los medios son elementos esenciales para determinar la proporcionalidad del tratamiento, la necesidad de realizar una evaluación de impacto y la aplicabilidad de excepciones al tratamiento de datos biométricos, especialmente en ámbitos como el laboral, la seguridad pública o la prestación de servicios digitales. Así, la identificación tiende a requerir justificaciones mucho más sólidas, siquiera sea porque un número mayor de interesados se ven afectados. No todos los tratamientos tienen la misma intensidad de impacto o requieren idénticas medidas de protección. La norma general se mantiene: la prohibición del artículo 9.1 puede exceptuarse solo mediante las circunstancias específicas del artículo 9.2, como por ejemplo el consentimiento explícito del interesado, el interés público relevante, o el que se hayan hecho manifiestamente públicos. Sin embargo, cuando se emplean datos biométricos en contextos de bajo riesgo o control restringido, el impacto sobre derechos y libertades puede ser menor, lo que influye en la proporcionalidad de las salvaguardas exigidas. Cabe mencionar expresiones de la voluntad legislativa de mantener diferencias respecto de estos tratamientos diferentes. Así, la Directiva (UE) 2024/2831 sobre trabajadores de plataformas digitales prohíbe expresamente el uso de datos biométricos con fines de identificación (1:N), es decir, mediante el cotejo de los datos de una persona con los de una base de datos de múltiples individuos. En cambio, permite la autenticación o verificación unívoca (1:1) con las garantías correspondiente a los datos especialmente protegidos cuando esta se limita a cotejar los datos del interesado con los que él mismo proporcionó previamente, siempre que el tratamiento sea lícito conforme al RGPD u otras normas aplicables (Considerando 41). Esta directiva mantiene así una distinción funcional y jurídica clara entre identificación y autenticación, reconociendo su diferente impacto sobre los derechos fundamentales en el tratamiento de estos datos sensibles. En un sentido similar, el Reglamento (UE) 2024/1684 sobre inteligencia artificial, mantiene esa distinción operativa y jurídica (considerandos 14 y ss.). En particular, el Anexo III., distingue claramente entre identificación biométrica remota (uno-a-varios, 1:N), considerada de alto riesgo, y verificación biométrica (uno-a-uno, 1:1), que queda expresamente excluida cuando su única finalidad es confirmar la identidad declarada por una persona. Esta distinción, de nuevo, refleja una diferencia en el nivel de impacto y riesgo sobre los derechos fundamentales. Así las cosas y en el contexto de la normativa de protección de datos que aquí interesa, sin perjuicio de que nos encontramos ante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/31 datos especialmente protegidos del artículo 9, no todos los tratamientos basados en el artículo 9 del RGPD comportan el mismo nivel de riesgo ni exigen el mismo grado de salvaguardas. Desde una perspectiva de la legalidad y, especialmente de la proporcionalidad y evaluación de riesgos, la identificación (1:N) suele presentar mayores riesgos para los derechos y libertades fundamentales, en especial por su carácter invasivo y su tendencia a extenderse sin control en el caso de la identificación remota. En cambio, la autenticación biométrica localizada, bien diseñada y según toda una serie de circunstancias a tener en cuenta en cada caso concreto, puede ser en muchos contextos más proporcionada y menos intrusiva, especialmente si existe regulación o consentimiento libre e informado y garantías adecuadas. Por tanto, aunque desde el plano formal ambos usos pueden estar incluidos en el artículo 9 del RGPD, el impacto real sobre los derechos y la intensidad de las medidas de protección requeridas pueden variar sustancialmente, debiendo valorarse caso por caso en función del contexto, la escala, la tecnología empleada y el control efectivo que conserve el interesado sobre sus datos biométricos. Por otro lado, el artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, consta la realización de un tratamiento de datos biométricos, toda vez que TBS utiliza desde 2020 tecnología de reconocimiento facial para verificar la identidad de los contratantes en el proceso de contratación. TBS realiza esta actividad, a través del sistema de autenticación biométrica de VERIFF, en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Elaboración de una EIPD El artículo 35 RGPD- Evaluación de impacto relativa a la protección de datos- señala lo siguiente (el subrayado es nuestro): 1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/31 responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Una única evaluación podrá abordar una serie de operaciones de tratamiento similares que entrañen altos riesgos similares. 2. El responsable del tratamiento recabará el asesoramiento del delegado de protección de datos, si ha sido nombrado, al realizar la evaluación de impacto relativa a la protección de datos. 3. La evaluación de impacto relativa a la protección de los datos a que se refiere el apartado 1 se requerirá en particular en caso de:
  8. a)evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;
  9. b)tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, o
  10. c)observación sistemática a gran escala de una zona de acceso público. 4. La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1. La autoridad de control comunicará esas listas al Comité a que se refiere el artículo 68. 5. La autoridad de control podrá asimismo establecer y publicar la lista de los tipos de tratamiento que no requieren evaluaciones de impacto relativas a la protección de datos. La autoridad de control comunicará esas listas al Comité. (…) 7. La evaluación deberá incluir como mínimo:
  11. a)una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;
  12. b)una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad; c)una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y d)las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas. (…) El apartado 1 del artículo 35 del RGPD establece, con carácter general, la obligación que tienen los responsables del tratamiento de datos de realizar una EIPD con carácter previo a la puesta en funcionamiento de tales tratamientos cuando sea probable que éstos, por su naturaleza, alcance, contexto o fines entrañen un alto riesgo para los derechos y libertades de las personas físicas, alto riesgo que, según el propio RGPD, se verá incrementado cuando los tratamientos se realicen utilizando “nuevas tecnologías”. Cabe señalar que la obligación de realizar una EIPD no se limita a las tres situaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/31 enumeradas en el apartado tercero del artículo 35 del RGPD, pues las palabras “en particular” del artículo 35.3 del RGPD se refiere a una lista no exhaustiva, pudiendo existir operaciones de tratamiento de “probable” “alto riesgo” que no están incluidas en esta lista pero que supongan unos riesgos similarmente elevados. Aparte de lo señalado, existe una lista orientativa de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos elaborada y publicada por la AEPD el 18/05/2019 conforme al art 35.4 del RGPD, en la que se indica que: “En el momento de analizar tratamientos de datos será necesario realizar una EIPD en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios de la lista expuesta a continuación, salvo que el tratamiento se encuentre en la lista de tratamientos que no requieren EIPD a la que se refiere en artículo 35.5 del RGPD. Cuantos más criterios reúna el tratamiento en cuestión, mayor será el riesgo que entrañe dicho tratamiento y mayor será la certeza de la necesidad de realizar una EIPD. Y la lista, cita entre otros los siguientes tratamientos: “2. Tratamientos que impliquen la toma de decisiones automatizadas o que contribuyan en gran medida a la toma de tales decisiones, incluyendo cualquier tipo de decisión que impida a un interesado el ejercicio de un derecho o el acceso a un bien o un servicio o formar parte de un contrato. … 5. Tratamientos que impliquen el uso de datos biométricos con el propósito de identificar de manera única a una persona física. … 7. Tratamientos que impliquen el uso de datos a gran escala. Para determinar si un tratamiento se puede considerar a gran escala se considerarán los criterios establecidos en la guía WP243 “Directrices sobre los delegados de protección de datos (DPD)” del Grupo de Trabajo del Artículo 29. . 10. Tratamientos que impliquen la utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas, incluyendo la utilización de tecnologías a una nueva escala, con un nuevo objetivo o combinadas con otras, de forma que suponga nuevas formas de recogida y utilización de datos con riesgo para los derechos y libertades de las personas.” Por tanto, un tratamiento de alto riesgo requiere la elaboración de una EIPD antes de decidir su implantación, en la medida en que puede tener efectos adversos en los derechos fundamentales de los interesados Esta EIPD se hará con carácter previo al inicio del tratamiento, si bien debe entenderse como una evaluación continua o periódica, en el sentido establecido por el citado artículo 35.11 del RGPD. Como señalan las Directrices, sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento entraña probablemente un alto riesgo a efectos del Reglamento (UE) 2016/679, adoptadas el 4/04/2017, revisadas por última vez y adoptadas el 4/10/2027 (Directrices WP248), esta evaluación debe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/31 ser continuamente revisada en caso de que se produzca un cambio en las operaciones de tratamiento. Una EIPD debe cumplir, además, con los requisitos o contenido mínimo relacionado en el citado artículo 35.7 del RGPD, entre los que se incluye la realización de una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad y una evaluación de los riesgos para los derechos y libertades de los interesados. En el presente supuesto, por tanto, no cabe duda de que TBS estaba obligada a realizar y superar una previa EIPD. Sin embargo, TBS a pesar del requerimiento realizado por esta Agencia para que aportara la previa EIPD no ha justificado el cumplimiento de la obligación prevista en el art. 35 RGPD, por cuanto, el documento aportado por TBS, no se puede calificar de EIPD al no cumplir con los requisitos exigidos en el art. 35.7. Además, según consta en los antecedentes de este acuerdo de inicio en las actuaciones previas de investigación, TBS adujo que no “procede” la elaboración de una EIPD “ya que no se dan los requisitos que establece el artículo 35.3 del RGPD”. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a TBS, por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción de la infracción y calificación a efectos de prescripción La infracción del art. 35 del RGPD, se tipifica en el artículo 83.4 del RGPD que considera infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  13. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43." Por su parte, la LOPDGDD en su artículo 71, “Infracciones”, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/31
  14. t)El tratamiento de datos personales sin haber llevado a cabo la evaluación del impacto de las operaciones de tratamiento en la protección de datos personales en los supuestos en que la misma sea exigible." VI. Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  15. a)a
  16. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  17. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  18. b)la intencionalidad o negligencia en la infracción;
  19. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  20. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  21. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  22. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  23. g)las categorías de los datos de carácter personal afectados por la infracción;
  24. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  25. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  26. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  27. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/31 2. De acuerdo a lo previsto en el artículo 83.2.
  28. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  29. a)El carácter continuado de la infracción.
  30. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  31. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  32. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  33. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  34. f)La afectación a los derechos de los menores.
  35. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  36. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en todos los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de TELCOM BUSINESS SOLUTIONS S.L. asciende a 3.821.999 € en el año 2023. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD). La conducta en la que se concreta la naturaleza de la infracción atribuida al reclamado afecta a una obligación esencial de cumplimiento en materia de protección de datos, que es la referida a la elaboración de una EIPD como herramienta para garantizar el cumplimiento de los principios del RGPD en los tratamientos de alto riesgo. Se tiene en consideración que TBS no realizó ninguna EIPD previa al tratamiento de datos analizado y que tampoco ha justificado que cuente con ella en la actualidad Por lo que respecta a la duración de la infracción, se considera que la misma se ha cometido de forma continuada, desde la fecha de implantación del sistema, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/31 2020 hasta la actualidad. El número de afectados en el tratamiento es el de todas las personas físicas que pretendan contratar el servicio de telefonía IP desde el año 2020, de modo que si no se proporcionan los datos biométricos requeridos no se tiene acceso al servicio ofertado, así se precisa del DNI completo que es escaneado y usado como vector facial a comparar. - Art. 83.2b) “la intencionalidad o negligencia en la infracción”. Como responsable del tratamiento de los datos personales de los usuarios que han contratado sus servicios, TBS está obligada a actuar con una especial diligencia exigible en este tipo de tratamientos, dados los elevados riesgos que genera su utilización en comparación con otros métodos menos invasivos. A este respecto, procede recordar la Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), que respecto de entidades cuya actividad lleva aparejado el continuo tratamiento de datos de clientes, indica “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la entidad es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las previsiones legales al respecto.” Se considera que TBS ha actuado sin dolo, pero con un nivel de negligencia grave toda vez que constan evidencias de que no analizó con el rigor requerido los requisitos necesarios para entender que podía proceder al tratamiento de los datos biométricos de sus clientes sin la elaboración de una previa EIPD. -Artículo 83.2.
  37. g)del RGPD: “La afectación a una de las categorías especiales de datos”: los datos personales objeto de tratamiento son datos biométricos (plantillas extraídas del DNI y de la foto selfi) cuya necesidad de protección es más elevada al constituir una categoría especial de datos Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: ´-La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b, de la LOPDGDD), en relación con el artículo 83.2.k), dado que la entidad reclamada por su actividad es una empresa dedicada a la prestación de servicios de telecomunicaciones. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 35 del RGPD, permite fijar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/31 inicialmente una sanción de multa administrativa de 25.000 euros. VII Medidas correctivas El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: “
  38. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;”
  39. f)imponer una limitación temporal o definitiva del tratamiento, incluida su prohibición;
  40. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. La imposición de estas medidas es compatible entre sí y con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a la reclamada para que, en el plazo máximo de tres meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento suspenda el tratamiento de datos biométricos hasta que no elabore y supere una EIPD en los términos que indica el art. 35 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/31 Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a TELCOM BUSINESS SOLUTIONS S.L., con NIF B92563626, por la presunta infracción del art. 35 del RGPD tipificada en el artículo 83.4.
  41. a)del RGPD. SEGUNDO: NOMBRAR como instructor a R.R.R. y, como secretario a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1/10, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  42. b)de la LPACAP, la sanción que pudiera corresponder sería de multa administrativa de 25.000 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a TELCOM BUSINESS SOLUTIONS S.L., con NIF B92563626, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 20.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 20.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 15.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/31 condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (15.000 euros o 20.000), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1451-240725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos” SEGUNDO: En fecha 9/1/2026, TELCOM BUSINESS SOLUTIONS S.L. ha procedido al pago de la sanción en la cuantía de 15.000 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: El artículo 58 del RGPD titulado “Poderes”, establece lo siguiente en su apartado 2: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (,,,) “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado.” En el acuerdo de inicio se indicaba al respecto, que: se podrá “en la resolución que se adopte requerir a la reclamada para que, en el plazo máximo de tres meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento suspenda el tratamiento de datos biométricos hasta que no elabore y supere una EIPD en los términos que indica el art. 35 del RGPD.” La reclamada en su respuesta en el traslado de la reclamación aportó lo que según ella es una EIPD, con fecha de 1/05/2022, que figura relacionada con el software y hardware de los productos y servicios que ofrece, estructurada sobre la norma ISO/IEC 27001 de sus Sistemas de Gestión de Seguridad de la Información, sin el contenido que prevé el artículo 35.7 del RGPD, y muy especialmente sobre las evaluaciones de la necesidad y proporcionalidad de las operaciones de tratamiento para la finalidad pretendida y de los riesgos para los derechos y libertades de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/31 interesados desde el enfoque de la normativa de protección de datos. En su respuesta en actuaciones previas el 6/06/2025, la reclamada informó que el tratamiento discutido se inició en el año 2020 y continuaba, y lo usa exclusivamente para decidir la activación del servicio contratado, contradiciéndose al señalar que conserva los datos biométricos 90 días. Aunque no sea objeto del procedimiento también se observa la incoherencia de que la reclamada propugna que dichos datos son necesarios para la ejecución de la relación contractual especialmente desde la pandemia al celebrarse contratos en remoto, mezclándolo con el consentimiento (respuesta al traslado .4), cuando lo cierto es que proporcionar los datos biométricos, cómo reconoce la reclamada es obligatorio para la contratación de su producto, sin que por tanto la lectura de las condiciones de uso del servicio presupongan consentimiento (en el sentido del artículo 4.11 del RGPD). Confluye en este caso el hecho de que la realización de tratamientos de datos de categoría especial como los biométricos suponen un alto riesgo para los derechos y libertades fundamentales que ha de superar los requerimientos completos y exhaustivos del artículo 35 del RGPD en todos sus componentes, advirtiendo la interrelación entre los tratamientos que está llevando a la práctica actualmente con las personas que acceden con el sistema de reconocimiento biométrico instaurado desde el año 2020 y esta ausencia de evaluación. La continuación del tratamiento de datos biométricos para la verificación de la identidad de la persona contratante de los que la reclamada es responsable de su tratamiento, supone en cualquier caso que los interesados no gozan de un nivel de protección adecuado y puede suponer un cualificado riesgo, en tanto en cuanto no se ha realizado una EIPD en el sentido del RGPD, que de acuerdo con lo dispuesto en el artículo 58.2.
  43. d)del RGPD, que ha de impulsar una reacción por parte de esta AEPD con el fin de subsanar el cumplimiento de la obligación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/31 Terminación del procedimiento El artículo 85 de la LPACAP, bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 15.000 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, TELCOM BUSINESS SOLUTIONS S.L., ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/31 Datos RESUELVE: PRIMERO: DECLARAR la comisión de la infracción y CONFIRMAR la sanción determinada en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 25.000 euros. Tras haber procedido TELCOM BUSINESS SOLUTIONS S.L., al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 15.000 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa SEGUNDO: DECLARAR la terminación del procedimiento EXP202406240, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: De acuerdo con la potestad correctora de esta AEPD prevista en el artículo 58.2.
  44. d)del RGPD, se ORDENA a TELCOM BUSINESS SOLUTIONS S.L., con NIF B92563626 que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, aporte una evaluación de impacto de protección de datos para el tratamiento de datos biométricos de reconocimiento facial con fines de contratación de sus productos, que sea válida y que supere los requisitos establecidos en el artículo 35 del RGPD. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionad. CUARTO: NOTIFICAR la presente resolución a TELCOM BUSINESS SOLUTIONS S.L. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  45. c)de la LPACAP, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  46. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/31 el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.