← España

PS-00506-2021

1/18  Expediente Nº: PS/00506/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de diciembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente Nº: PS/00506/2021 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Dña. A.A.A. (en lo sucesivo, la parte reclamante) con fecha 28 de octubre de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, VODAFONE). Los motivos en que basa la reclamación son que la parte reclamante, cliente en ese momento de VODAFONE, pone de manifiesto que el día 21 de octubre de 2020, sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 actuación alguna por su parte, se modificó su dirección postal con la de “un vecino”, “poniendo las líneas de mis móviles y fibra a nombre de los dos” y revelando “mis datos personales y bancarios a esta persona”. Ante estos hechos manifiesta que ha interpuesto una reclamación, abierto una incidencia al “soporte técnico”, y ejercido el derecho de rectificación ante VODAFONE. Documentación relevante aportada por la parte reclamante: Contrato de servicios de telecomunicaciones para la dirección de la reclamante con VODAFONE, de fecha 16 de enero de 2020, en el que se ha marcado, como método de facturación, “Domiciliado”, consignándose el número de cuenta bancaria. Copia del escrito de “SOLICITUD DE CAMBIO DE DOMICILIO A VODAFONE” en el que señala que “Vodafone ha intercambiado mi domicilio que es ***DIRECCION.1 con el de un vecino que es ***DIRECCION.2 poniéndonos las líneas de mis móviles y fibra a nombre de los dos” y solicita la rectificación. La copia, fechada el 23 de octubre de 2020, no contiene firma ni anotaciones de recepción. Impresiones de pantalla de un dispositivo móvil en las que se referencia un pedido realizado con fecha de 21 de octubre de 2020 para la dirección ***DIRECCION.2 (en adelante la dirección del vecino). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a VODAFONE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se ha recibido respuesta a este escrito. TERCERO: Con fecha 22 de febrero de 2021, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 Escrito de VODAFONE, en respuesta al traslado de la reclamación, presentado en fecha 22 de abril de 2021, en el que facilita la siguiente información de relevancia a los efectos de estas actuaciones: Manifiesta que con fecha de 23 de julio de 2020 un tercer cliente solicitó el alta de un conjunto de servicios facilitando la dirección de la parte reclamante. Añade que este hecho provocó que los servicios asociados a la parte reclamante pasaran a figurar asociados, además de a la propia parte reclamante, a la del tercer cliente. Adjunta el contrato de servicios de telecomunicaciones de la parte reclamante con VODAFONE de fecha 15 de febrero de 2019. En éste figura la dirección de la parte reclamante tanto en los datos del cliente como en la dirección de instalación y envío de equipos. Además, el anexo contiene la “Orden de domiciliación de adeudo directo SEPA” asociada. Adjunta la documentación concerniente a la contratación de este tercer cliente: el contrato de servicios de telecomunicaciones de éste con VODAFONE, de fecha 23 de julio de 2020, en el que figura la dirección de la parte reclamante tanto en los datos del cliente como en la dirección de instalación y envío de equipos; dos documentos, en los que se le comunica a este tercer cliente el resumen de la contratación y la fecha de instalación de los servicios que contienen igualmente la dirección de la parte reclamante; un documento similar a los anteriores, pero en el que figura ya consignada la dirección del vecino (no consta por tanto la dirección de la parte reclamante). Además, el anexo contiene la “Orden de domiciliación de adeudo directo SEPA” asociada, de fecha 23 de julio de 2020, en la que figura la dirección de la parte reclamante asociada con este tercer cliente. Añade que, con fecha de 24 de julio de 2020, el tercer cliente referido solicitó la rectificación de la dirección postal facilitada previamente, causando que esta dirección se modificase también para los servicios de la parte reclamante. Indica además que “Así las cosas, ni mi mandante ni la reclamante fueron conscientes del cruce de datos hasta que, en fecha 21 de octubre de 2020, mientras perduraba la duplicación de la titularidad de la cuenta cliente afectada, el tercero ajeno vinculado al cruce de datos solicitó la portabilidad de sus servicios a otra compañía operadora, ocasionando que los servicios de A.A.A. también causasen baja involuntaria en los sistemas de mi representada. Por ello, en esa fecha, quedaron momentáneamente inhabilitadas las líneas que figuraban a titularidad de A.A.A.. No obstante lo anterior, una vez recibida la reclamación de A.A.A., las portabilidades fueron canceladas por mi mandante y las líneas de A.A.A. se mantuvieron en Vodafone.” Señala igualmente que “desde esa fecha, constan varias interacciones en sus sistemas internos en las que figuran incidencias de carácter técnico relacionadas con líneas telefónicas de la reclamante. No obstante, con anterioridad a que se lograse reC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 solver completamente dichas incidencias, A.A.A. solicitó la portabilidad de la totalidad de sus servicios a otra compañía operadora, causaron baja definitiva en Vodafone en fechas 3 y 6 de noviembre de 2020.” Por último, indica que “en fecha 14 de diciembre de 2020, a Vodafone le fue trasladada una reclamación interpuesta por A.A.A. ante la Oficina Municipal de Información al Consumidor del Ayuntamiento de Móstoles. En ella se reclamaba los importes facturados a nombre de la reclamante desde que tuvo lugar la incidencia, por no haber podido disfrutar de los servicios, solicitando, asimismo, que se le condonase el importe correspondiente al incumplimiento del compromiso de permanencia. A estos efectos, Vodafone procedió a realizar las investigaciones internas oportunas y valorar el asunto, accediendo a la petición de A.A.A.. De este modo, en fecha 16 de diciembre de 2020, emitió un abono de 451,90 euros (IVA incluido), en concepto de las cuotas facturadas por no tener consumo de los servicios y los cargos de permanencia e incumplimiento de compromisos.” Adjunta copia del abono, de fecha 16 de diciembre de 2020, efectuado a la parte reclamante como rectificación de una factura previa (anexada a su vez). VODAFONE ha aportado también un informe con el detalle de la investigación efectuada que incluye impresiones de pantalla de sus sistemas de información. Escrito de VODAFONE, registrado de entrada en la AEPD con fecha 2 de julio de 2021, en el que manifiesta, respecto a los temas que se señalan, lo siguiente: Causas del incidente “[…] la incidencia que ocasionó el cruce de datos fue consecuencia de un cruce de datos plenamente involuntario por parte de mi representada, que tuvo su origen en un fallo humano por parte del agente que completó la ficha del tercero y que no verificó la dirección postal que se facilitó, siendo la misma que la de A.A.A. por lo que activó los servicios del nuevo cliente en el ID de instalación de A.A.A..” Categorías de datos personales afectados “[…] se ha podido comprobar que los datos a los que tuvieron acceso los afectados eran los que se incluían en las facturas de los servicios contratados con mi representada. Es decir, A.A.A. únicamente tuvo acceso a la dirección postal del tercer cliente y, por otro lado, el tercero tuvo acceso al nombre y apellidos, DNI, últimos cuatro dígitos de la cuenta bancaria de A.A.A., así como a la información relativa a los servicios contratados.” Comunicación a los afectados Según informa VODAFONE en la respuesta al traslado de la reclamación, el día 21 de abril de 2021 remitió una carta a la parte reclamante en la que pone en su conocimienC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 to los hechos ocurridos y las acciones tomadas al respecto. Esta carta se adjunta con la respuesta. FUNDAMENTOS DE DERECHO I Competencia En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD), reconoce a cada autoridad de control, y según lo establecido en el art. 47 y 48 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Cuestiones Previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que VODAFONE realiza, entre otros tratamientos, la modificación y comunicación por transmisión de los siguientes datos personales de personas físicas, tales como: nombre, número de teléfono y datos bancarios. VODAFONE realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, disponibilidad e integridad, al haberse asociado, el 23 de julio de 2020, los servicios de la parte reclamante, además de a la propia parte reclamante, a un tercer cliente. Se modificó la dirección postal de la parte reclamante a la de un vecino, poniendo las líneas de los móviles y fibra de la parte reclamante a nombre de los dos y revelando los datos personales y bancarios de la parte reclamante al tercer cliente. Además, en fecha 21 de octubre de 2020, “mientras perduraba la duplicación de la titularidad de la cuenta cliente afectada, el tercero ajeno vinculado al cruce de datos solicitó la portabilidad de sus servicios a otra compañía operadora, ocasionando que los servicios de A.A.A. también causasen baja involuntaria en los sistemas de mi representada. Por ello, en esa fecha, quedaron momentáneamente inhabilitadas las líneas que figuraban a titularidad de A.A.A..” Hay que señalar que la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.

  1. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que reglamentan la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. III Artículo 5.1.
  2. f)del RGPD El artículo 5.1.
  3. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18
  4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que los datos personales de la parte reclamante, obrantes en la base de datos de VODAFONE, fueron indebidamente expuestos a un tercero, al haberse asociado, el 23 de julio de 2020, los servicios de la parte reclamante, además de a la propia parte reclamante, a un tercer cliente. Se modificó la dirección postal de la parte reclamante a la de un vecino, poniendo las líneas de los móviles y fibra de la parte reclamante a nombre de los dos y revelando los datos personales y bancarios de la parte reclamante al tercer cliente. Además, en fecha 21 de octubre de 2021, “mientras perduraba la duplicación de la titularidad de la cuenta cliente afectada, el tercero ajeno vinculado al cruce de datos solicitó la portabilidad de sus servicios a otra compañía operadora, ocasionando que los servicios de A.A.A. también causasen baja involuntaria en los sistemas de mi representada. Por ello, en esa fecha, quedaron momentáneamente inhabilitadas las líneas que figuraban a titularidad de A.A.A..” De conformidad con las evidencias de las que se dispone en este acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a VODAFONE, por vulneración del artículo 5.1.
  5. f)del RGPD. IV Tipificación de la infracción del artículo 5.1.
  6. f)del RGPD De confirmarse, la citada infracción del artículo 5.1.
  7. f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18
  8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción por la infracción del artículo 5.1.
  10. f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, Se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establecen los artículos 83.2 del RGPD y 76.2 de la LOPDGDD: Como agravantes: . Según el artículo 76.2.
  11. a)de la LOPDGDD “El carácter continuado de la infracción” Carácter continuado de los hechos constatados: desde el 23 de julio de 2020 hasta que, el 21 de octubre del 2020, el tercero solicita la portabilidad de sus servicios a otra compañía operadora. . Conforme al artículo 83.2.
  12. g)“las categorías de los datos de carácter personal afectados por la infracción”. Los que se incluían en las facturas de los servicios contratados por la parte reclamante. El tercero tuvo acceso al nombre y apellidos, DNI, últimos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 cuatro dígitos de la cuenta bancaria de la parte reclamante, así como a la información relativa a los servicios contratados. . Según el artículo 83.2.
  13. a)del RGPD “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;”. Hay dos personas afectadas: la parte reclamante y el tercero. Datos personales de la parte reclamante fueron revelados al tercero y, además, al solicitar el tercero la portabilidad a otra compañía, los servicios de la parte reclamante causaron baja en los sistemas de VODAFONE, por lo que quedaron momentáneamente inhabilitadas las líneas de la reclamante, que tuvo que abrir una incidencia al “soporte técnico”, ejercitar el derecho de rectificación ante VODAFONE e interponer una reclamación. . El artículo 76.2.
  14. b)de la LOPDGDD señala: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. El desarrollo de la actividad empresarial que desempeña VODAFONE requiere un tratamiento continuo y a gran escala de los datos personales de los clientes. . El artículo 83.2.
  15. k)indica: “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Volumen de negocio o actividad: VODAFONE es una gran empresa del sector de las telecomunicaciones que, según el número de líneas de telefonía móvil de voz, la posiciona como una de las operadoras de telecomunicaciones más grandes de nuestro país. Según información de la Comisión Nacional de los Mercados y la Competencia, sobre las líneas de telefonía móvil de voz, el número de clientes sería de 12.422.064. Regularización de la situación irregular de forma diligente: las portabilidades fueron canceladas por VODAFONE y las líneas de la parte reclamante se mantuvieron en Vodafone. En fecha 16 de diciembre de 2020, tras una reclamación, emitió un abono a la parte reclamante de 451,90 euros (IVA incluido), en concepto de las cuotas facturadas por no tener consumo de los servicios y los cargos de permanencia e incumplimiento de compromisos. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  16. f)del RGPD, permite fijar inicialmente una sanción de 50.000 € (cincuenta mil euros). VI Artículo 32 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  17. a)la seudonimización y el cifrado de datos personales;
  18. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  19. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  20. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 En el presente caso, en el momento de producirse la brecha, VODAFONE, teniendo en cuenta que, con fecha de 24 de julio de 2020, el tercer cliente solicitó la rectificación de la dirección postal facilitada previamente, causando que esta dirección se modificase también para los servicios de la parte reclamante, no tomó ninguna medida ya que, VODAFONE indica que “Así las cosas, ni mi mandante ni la reclamante fueron conscientes del cruce de datos hasta que, en fecha 21 de octubre de 2020, mientras perduraba la duplicación de la titularidad de la cuenta cliente afectada, el tercero ajeno vinculado al cruce de datos solicitó la portabilidad de sus servicios a otra compañía operadora, ocasionando que los servicios de A.A.A. también causasen baja involuntaria en los sistemas de mi representada. Por ello, en esa fecha, quedaron momentáneamente inhabilitadas las líneas que figuraban a titularidad de A.A.A..” De conformidad con las evidencias de las que se dispone en este acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a VODAFONE, por vulneración del artículo 32 del RGPD. VII Tipificación de la infracción del artículo 32 del RGPD De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  21. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  22. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”. (…) VIII Sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establecen los artículos 83.2 del RGPD y 76.2 de la LOPDGDD: Como agravantes: . Según el artículo 76.2.
  23. a)de la LOPDGDD “El carácter continuado de la infracción” Carácter continuado de los hechos constatados: desde el 23 de julio de 2020 hasta que, el 21 de octubre del 2020, el tercero solicita la portabilidad de sus servicios a otra compañía operadora. . Conforme al artículo 83.2.
  24. g)“las categorías de los datos de carácter personal afectados por la infracción”. Los que se incluían en las facturas de los servicios contratados por la parte reclamante. El tercero tuvo acceso al nombre y apellidos, DNI, últimos cuatro dígitos de la cuenta bancaria de la parte reclamante, así como a la información relativa a los servicios contratados. . Según el artículo 83.2.
  25. a)del RGPD “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;”. Hay dos personas afectadas: la parte reclaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 mante y el tercero. Datos personales de la parte reclamante fueron revelados al tercero y, además, al solicitar el tercero la portabilidad a otra compañía, los servicios de la parte reclamante causaron baja en los sistemas de VODAFONE, por lo que quedaron momentáneamente inhabilitadas las líneas de la reclamante, que tuvo que abrir una incidencia al “soporte técnico”, ejercitar el derecho de rectificación ante VODAFONE e interponer una reclamación. . El artículo 76.2.
  26. b)de la LOPDGDD señala: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales” El desarrollo de la actividad empresarial que desempeña VODAFONE requiere un tratamiento continuo y a gran escala de los datos personales de los clientes. . El artículo 83.2.
  27. k)indica: “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Volumen de negocio o actividad: VODAFONE es una gran empresa del sector de las telecomunicaciones que, según el número de líneas de telefonía móvil de voz, la posiciona como una de las operadoras de telecomunicaciones más grandes de nuestro país. Según información de la Comisión Nacional de los Mercados y la Competencia, sobre las líneas de telefonía móvil de voz, el número de clientes sería de 12.422.064. Regularización de la situación irregular de forma diligente: las portabilidades fueron canceladas por VODAFONE y las líneas de la parte reclamante se mantuvieron en Vodafone. En fecha 16 de diciembre de 2020, tras una reclamación, emitió un abono a la parte reclamante de 451,90 euros (IVA incluido), en concepto de las cuotas facturadas por no tener consumo de los servicios y los cargos de permanencia e incumplimiento de compromisos. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar inicialmente una sanción de 20.000 € (veinte mil euros). IX Imposición de medidas Entre los poderes correctivos que dispone el artículo 58 “Poderes” del RGPD, en el apartado 2.
  28. d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 La Agencia Española de Protección de Datos en la resolución que ponga fin al presente procedimiento podrá ordenar la adopción de medidas, según lo establecido en el artículo 58.2.
  29. d)del RGPD y de conformidad con lo que se derive de la instrucción del procedimiento, si fuera preciso, de manera adicional a la imposición de una multa administrativa. Por tanto, a la vista de lo anteriormente expuesto, la Directora de la Agencia Española de Protección de Datos, ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por la presunta infracción del artículo 5.1.
  30. f)del RGPD, tipificada en el artículo 83.5 del RGPD. INICIAR PROCEDIMIENTO SANCIONADOR a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. SEGUNDO: Que a los efectos previstos en el artículo 64.2
  31. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de: CINCUENTA MIL EUROS (50.000 €), por la presunta infracción del artículo 5.1.
  32. f)del RGPD, tipificada en el artículo 83.5 del RGPD. VEINTE MIL EUROS (20.000 €), por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 TERCERO: NOMBRAR como instructora a R.R.R. y, como secretaria, a S.S.S., indicando que cualquiera de ellas podrá ser recusada, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). CUARTO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte RECLAMANTE y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. QUINTO: NOTIFICAR el presente acuerdo a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  33. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). Conforme dispone el artículo 85 de la LPACAP, iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución de este procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 la sanción quedaría establecida en 56.000 euros y su pago implicaría la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la iniciación del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 42.000 euros. En todo caso, la efectividad de cualquiera de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción impuesta, conforme dispone el artículo 85.3 de la LPACAP. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (56.000 euros o 42.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la AEPD en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el siguiente número de referencia de procedimiento PS/00506/2021 y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la SGID para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, conforme con lo establecido en el artículo 64.2 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 167-160721 Mar España Martí Directora de la Agencia de Protección de Datos >> SEGUNDO: En fecha 11 de enero de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 56000 euros haciendo uso de una de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente. Por tanto, no ha quedado acreditado el reconocimiento de responsabilidad. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  34. d)e
  35. i)y 38.4 d),
  36. g)y
  37. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00506/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  38. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 937-160721 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.