PS-00521-2024

1/14  Expediente N.º: EXP202402590,(PS/00521/2024) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 25 de enero de 2024, se presenta reclamación contra la entidad AECORP 005, S.L., (AECORP) con CIF.: B05470380 (en adelante, la parte reclamada), por la presunta vulneración de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones (LGTEL), el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). La parte reclamante manifiesta en su escrito que, el 24/01/24 recibió, en su línea móvil ***TELÉFONO.1, una llamada comercial desde la línea ***TELÉFONO.2 (11:32

1. h)en la que el interlocutor se identifica de una empresa que representa a NATURGY indicándole que el motivo de la llamada es cambiar la provincia de facturación del servicio contratado de la luz ya que, en caso contrario, cortarán el suministro. Manifiesta que el interlocutor conocía sus datos personales (domicilio, nombre y teléfono). Durante la llamada telefónica recibe un primer SMS que incluye un enlace a la página web www.servenergia.com, y donde comprueba que en el propio enlace está incluido su número de teléfono: (https://servenergia.com/?numero= ***TELÉFONO.1). Indica que, antes de hacer ninguna operación se puso en contacto con su comercializadora (NATURGY), donde negaron la autoría de la llamada, por lo que se rehusó la tramitación en marcha, recibiendo por ello, un segundo SMS donde le indicaban que le enviarían un comunicado confirmando el trámite de la baja del suministro de la luz. Junto al escrito de reclamación se adjunta la siguiente documentación: - Captura de pantalla acreditativa de la llamada recibida desde el número de teléfono ***TELÉFONO.2 de 24/01/24 y llamada saliente dirigida al ***TELÉFONO.3. - Captura de pantalla con el texto de dos SMS recibidos el 24/01/24 a nombre de NATURGY: un primer SMS durante el transcurso de la llamada reclamada con el texto: https://servenergia.com/?numero= ***TELÉFONO.1, y un segundo SMS informando del trámite de la baja del suministro de la luz. SEGUNDO: Con fecha 15de febrero de 2024, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación, de conformidad con el artículo 65 de la LOPDGDD. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/14 cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del RGPD y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, realizando, entre otras, las siguientes actuaciones y teniendo conocimiento, entre otros, de los siguientes extremos: a.- Se aporta como evidencias encontradas por esta AEPD el 31/01/24: - El contenido del Aviso Legal de www.servenergia.com, donde se indican los datos del responsable del dominio: - ***EMPRESA.1, con dirección en Colombia y dirección electrónica de contacto y DPD (…), que tratará los datos personales como responsable del tratamiento de todas las páginas web que se vinculen a dicha empresa, con la finalidad de presentar los servicios vinculados a la promoción de ofertas y servicios relativos a suministros de luz y gas que existen en el mercado. - La existencia de una reclamación ante la Organización de Consumidores y Usuarios (OCU) de fecha 21/11/23 similar a esta reclamación en su modus operandi dirigida contra la entidad AECORP 005, S.L. sobre una llamada y un SMS recibido de la entidad ***EMPRESA.1. b.- Durante las presentes actuaciones se han investigado las siguientes entidades: - AECORP 005, S.L. con NIF B05470380 con domicilio en (…) - ***EMPRESA.1. con (…) con domicilio en (…) - ***EMPRESA.2. con (…) con domicilio (…) c.- Resultado de las actuaciones de investigación: c.1.- Sobre la existencia de la llamada: - ORANGE ESPAGNE, S.A.U., operador de la línea ***TELÉFONO.2, desde donde se realizó la llamada el día 24/01/24 al número de teléfono del reclamante, confirma ante esta Agencia que el titular de dicha línea era, en esa fecha, la entidad AECORP 005 S.L. NIF: B05470380. c.2.- Sobre las circunstancias de la llamada telefónica, la entidad AECORP 005, S.L. en su escrito remitido a esta Agencia el día 16/05/24, manifiesta respecto a la llamada realizada al reclamante el día 24/01/24, lo siguiente: - “Las comunicaciones fueron realizadas como parte de una campaña de marketing para ofertar cambios en los servicios de energía eléctrica y gas. Estas acciones se realizaron bajo un acuerdo de colaboración con nuestra empresa asociada, ***EMPRESA.3 y con el consentimiento de la receptora al aceptar las políticas y formas de interactuar con la misma. Se adjunta al presente como Documento n.º 1 pantallazo del registro del cliente donde se refleja esta interacción, al indicar personalmente que ha leído y aceptado la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/14 política de Privacidad y consiguientemente autoriza a contactar con la misma por e-mail o por cualquier medio con fines comerciales. Con relación a las comunicaciones comerciales efectuadas al cliente de la línea receptora ***TELÉFONO.1, deseamos clarificar específicamente la situación respecto a ***EMPRESA.1, con esta empresa se firmó una cesión de Leads, pero no realiza gestión de ventas. La información sobre el cliente proviene exclusivamente de nuestra colaboración con ***EMPRESA.3, empresa que si se dedica a la captación de Leads, como se detalla en el contrato de colaboración adjunto, siendo esta entidad quien nos facilitó los datos del cliente a través de un correo electrónico, el cual también se adjunta como prueba de la comunicación recibida y del origen de los datos utilizados para la campaña de marketing telefónico. Se adjunta al presente como Documento N.º 1, el contrato de colaboración con ***EMPRESA.3, y como Documento N.º 2, el contrato de colaboración con ***EMPRESA.1. El cliente estuvo limitado a una única interacción en la que se le ofreció un cambio de compañía de luz y gas. Tras comunicarnos que no estaba interesado, no hemos realizado ningún otro contacto posterior con dicho cliente. Cada compañía tiene estipulados sus parámetros de calidad para cualquier tipo de captación (llamada de captación, verificación, envió SMS …) Al respecto, y a fin de mostrar colaboración con el esclarecimiento de los hechos, informamos la actividad que esta empresa desarrolla, como intermediaria comercial. Esta actividad conlleva la contratación de varios colaboradores que se encargan de la captación de los clientes. Estos colaboradores les ofrecen entrar en nuestra web, para que mediante un control de seguridad que nos garantiza la empresa ***EMPRESA.4, indiquen sus datos, solicitando que nos pongamos en contacto para gestionar la venta. Los clientes, finalmente contratan el servicio con la empresa que nos contrata, en este caso, suministro eléctrico y gas. Es decir, nos encargamos de hacer auditorias y gestionar la venta con esos clientes proporcionados por nuestros colaboradores, para la contratación con la empresa que nos contrata a nosotros, ofreciendo esa protección y seguridad en la contratación. Se adjunta al presente como Documento Nº. 3, Contrato mercantil de agencia que le vincula con (…).” Junto al escrito de contestación, ACORP 005 adjunta la siguiente documentación: - Documento N.º 1, “Contrato de Colaboración” de fecha 01/10/22, entre, de una parte, la Sociedad AECORP 005, S.L. y de la otra, ***EMPRESA.3, y donde se puede leer, entre otras cuestiones, lo siguiente: o C/ Jorge Juan, 6 28001 – Madrid (…) Objeto.- De acuerdo con los términos del presente contrato, la empresa ***EMPRESA.3 promoverá, de manera continuada y estable, actos u operaciones de comercio por cuenta de AECORP 005, S.L, con el único fin de CAPTACIÓN DE LEADS. www.aepd.es sedeaepd.gob.es 4/14 o - - (…) La empresa ***EMPRESA.3 promoverá las operaciones de comercio anteriormente citadas en el objeto en nombre de AECORP 005, S.L en el territorio de Valencia. Documento N.º 2,” CONTRATO DE CESIÓN DE DATOS”, de fecha 04/12/23, entre ***EMPRESA.1, sociedad de nacionalidad colombiana, con domicilio en (…), “Cedente” y de otra parte, Aecorp 005, S.L “Cesionario”, donde se puede leer, entre otras cuestiones, lo siguiente: o (…) Que, como resultado de su actividad, el Cedente genera y es titular de ficheros de datos de carácter personal, que recaba de usuarios con la finalidad, entre otras, de realizar ofertas comerciales sobre productos y servicios del sector energético y de las telecomunicaciones (las “Bases de Datos”). El Cedente es responsable del tratamiento de los datos de carácter personal incluidos en las Bases de Datos. o (…) 1.2. En virtud del presente Contrato, el Cedente vende y el Cesionario adquiere todos los registros (“leads”) de Bases de Datos que el Cedente obtenga por su actividad a través del formulario de contacto de la página web www.servenergia.com, a partir del día de hoy en adelante durante la vigencia del Contrato y con un límite máximo de 15.000 registros semanales, al precio establecido en Anexo I. o (…) 2.1. La cesión de las Bases de Datos se producirá mediante la comunicación por el Cedente al Cesionario de los datos personales incluidos en los ficheros de datos titularidad del Cedente. El Cedente quedará obligado, con carácter previo a la comunicación de los datos cedidos al Cesionario, a recabar el consentimiento de los titulares de los mismos a la cesión, por los medios legalmente establecidos, para las condiciones y finalidades del tratamiento. o (…) 2.6. Conforme a lo previsto en la cláusula 1.2, a fin de facilitar la actividad de la Cesionaria, las partes expresamente establecen que la remisión de los registros de la Base de Datos objeto de cesión se realizará en el tiempo más breve posible a contar desde el momento de la obtención de cada registro por parte del Cedente a través de la referida página web www.servenergia.com , para lo cual las partes habilitarán las comunicaciones y/o plataforma especialmente indicada a tal efecto, la cual deberá contar con las correspondientes medidas de seguridad. Pantallazo del registro del cliente donde se puede leer la siguiente información: o o o o o o C/ Jorge Juan, 6 28001 – Madrid Registro de validación (...) De Grupo Aecorp el 2023-08-11 15:19 Contacto desde: www.grupoaecorp.com Teléfono móvil: ***TELÉFONO.1 Código de registro: (...)IP: (...) He leído y aceptado la Política de Privacidad: 1 www.aepd.es sedeaepd.gob.es 5/14 o Autorizo a contactarme por email o por cualquier medio con fines comerciales: Si c.2.- Sobre la captación de los datos del reclamante por ***EMPRESA.3 - No se han podido recabar evidencias de ***EMPRESA.3 puesto que no contesta a los requerimientos de esta Agencia. Consta el cese de colaboración de AECORP 005, S.L. con ***EMPRESA.3 firmado el 20/11/23 en otro expediente, EXP202312469 (AI/00122/2024). c.3.- Sobre la existencia del SMS y sus circunstancias: - El reclamante manifiesta que durante la llamada le enviaron dos SMS y aporta captura de pantalla con el texto de dos SMS recibidos a nombre de NATURGY: - 1º SMS a las 10:45h durante el transcurso de la llamada reclamada con el texto: “https://servenergia.com/?numero= ***TELÉFONO.1 y 2º SMS a las 11:40h informando de la baja del suministro de luz. - El operador de la línea de teléfono del reclamante (Vodafone), manifiesta que: o No consta que durante el periodo solicitado se haya recibido un SMS desde la línea ***TELÉFONO.2 a la línea del reclamante. En los sistemas internos de Vodafone no queda registrado el envío de ningún SMS. o Constan dos SMS enviados a la línea de la parte reclamante, a las 11:40h el 24/01/24 desde una numeración de titularidad de NATURGY. (Son los SMS de Naturgy de baja de comercializadora). - ***EMPRESA.4, no confirma recepción de ningún SMS por la parte reclamante el 24/01/24. - Se incorpora a este expediente respuesta al expediente EXP202401777 (AI/00067/2024) de ***EMPRESA.4 por la relación mercantil con ***EMPRESA.1 y AECORP y responde manifestando y adjuntando lo siguiente en la entrada: o El 19/05/21 ***EMPRESA.4 suscribió un contrato con AECORP 005, SL para la prestación de servicios de notificación y contratación electrónica, según contrato firmado entre ambas partes. Adjunta el contrato. o El 16/01/24 ***EMPRESA.4 suscribió un contrato con ***EMPRESA.1 con NIT (...), sociedad con sede en Colombia para la prestación de servicios de notificación y contratación electrónica. según contrato firmado entre ambas partes. Se adjunta contrato. o Se comprueba que este contrato de AECORP es anterior a la fecha del SMS reclamado de 24/01/24. c.4.- Sobre el enlace existente en el SMS a la dirección https://www.servenergia.com: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/14 - Mediante diligencia se ha comprobado a 08/11/24 que la web www.servenergia.com está accesible, pero en su política de privacidad no indica el nombre del responsable, solo el nombre del proveedor de la web y encargado que es una entidad alemana, dicho dominio expiró el 30/10/24 y se actualizó el 01/11/24, sus servidores se encuentran en Singapur. - Mediante diligencia se ha incorporado información sobre el titular del dominio www.servenergia.com aportado en el expediente EXP202401777 (AI/00067/2024): Titular: A.A.A. NIF: ***NIF.1 Email contacto: (…) Telf.: ***TELÉFONO.1 Dirección: ***DIRECCIÓN.1. Alta del dominio (Fecha) 202310-30 Actualizado en (Fecha) 2024-04-23 c.5.- Sobre las relaciones contractuales en el contexto de la promoción de servicios. - La línea de contratación sería ***EMPRESA.3 ->AECORP 005 S.L.->(...) - AECORP aporta el contrato de cesión de bases de datos con ***EMPRESA.1 de 04/12/23. Se comprueba que este contrato está vigente en la fecha de la llamada reclamada de 24/01/24. - Se comprueba que el contrato de AECORP con (…) es un Acuerdo de cesión con subrogación de Contrato de Agencia (modalidad Televenta) de 29/07/21 entre (…) (cedente), AECORP 005 S.L. (cesionaria o agente) y (...) (empresa). En dicho Acuerdo AECORP se subroga del Contrato de Agencia (Televenta) de 04/03/20 entre (…). (agente) y (...) (empresa). - Se comprueba que el administrador firmante por parte de (…) SERVICES S.L. en ambos documentos, el Acuerdo de cesión y en el Contrato de Agencia, coincide con el titular del dominio www.servenergia.com. - Mediante diligencia se incorpora la respuesta en el expediente EXP202317140 de (...) en la que manifiesta que: “No ha autorizado en ningún momento la subcontratación de agentes de venta u otros subencargados de tratamiento por parte de la empresa AECORP 005 S.L.” Se requiere por parte de esta Agencia a la entidad ***EMPRESA.4 que certifique el registro de las operaciones realizadas el día 11/8/2023, vinculado al número de teléfono ***TELÉFONO.1, B.B.B. e Identifique con nombre/razón social, NIF al remitente de las operaciones realizadas, llegado el caso, contestando, con fecha 28/11/24, que “Tras haber realizado una búsqueda exhaustiva en nuestros sistemas, no hemos encontrado ningún SMS enviado en la fecha 11/8/2023 relacionado con los siguientes datos identificativos: ***TELÉFONO.1, B.B.B.”. CUARTO: Con fecha 19 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 66.1.
2. b)de la LGTEL, tipificada en el Artículo 107.30 de la misma norma como infracción grave. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/14 Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) el 21/03/2025, siendo el receptor: ***NIF.1 A.A.A. y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
3. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
4. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero.- La entidad AECORP 005, S.L., con NIF B05470380, figura como titular de la línea telefónica ***TELÉFONO.2 desde la que el día 24 de enero de 2024 se realizó una llamada a la línea ***TELÉFONO.1 perteneciente a la parte reclamante. Esta circunstancia ha sido confirmada por el operador de telecomunicaciones ORANGE ESPAGNE, S.A.U. Segundo.- Durante la citada llamada, la persona interlocutora, según el reclamante, mencionó representar a la empresa NATURGY e indicó que la finalidad de la llamada era gestionar un cambio del servicio de suministro eléctrico. La parte reclamante ha aportado captura de pantalla acreditativa de dicha llamada, efectuada a las 11:32 horas del 24/01/2024, así como de una llamada saliente posterior dirigida al número ***TELÉFONO.3. Tercero.- El reclamante ha aportado captura de pantalla del contenido de dos mensajes SMS recibidos el mismo día. El primero, recibido durante la llamada, contenía el siguiente enlace: https://servenergia.com/?numero=***TELÉFONO.1. El segundo mensaje, recibido a las 11:40 horas, comunicaba la tramitación de una baja del suministro de luz. Ambos mensajes aparecen identificados como enviados por NATURGY. Cuarto.- El operador Vodafone España, S.A.U., proveedor de la línea de la parte reclamante, ha informado que no consta en sus sistemas el envío de ningún SMS desde la línea ***TELÉFONO.2 a la línea ***TELÉFONO.1 en la fecha referida. No obstante, sí constan dos mensajes SMS enviados a las 11:40h del 24/01/2024 desde una numeración titularidad de NATURGY GROUP, S.A., relacionados con la baja de comercializadora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/14 Quinto.- En diligencias practicadas por esta Agencia, se ha comprobado que el dominio www.servenergia.com, incluido en el SMS mencionado, estuvo accesible al menos hasta el 08/11/2024, y que el mismo fue registrado por A.A.A., con NIF ***NIF.1, siendo su correo de contacto (…). Sexto.- El contenido del aviso legal del sitio www.servenergia.com, consultado a 31/01/2024, identifica como responsable del tratamiento de los datos personales recabados a través de dicha web a la entidad ***EMPRESA.1, con domicilio en (…), y NIT (…). Séptimo.- La entidad AECORP 005, S.L. ha remitido escrito a esta Agencia en el que indica que la llamada fue realizada en el contexto de una campaña de marketing telefónico basada en un acuerdo de colaboración con ***EMPRESA.3, la cual, según AECORP, habría proporcionado los datos de contacto del reclamante a través de un correo electrónico. Octavo.- No consta, en este procedimiento, que la entidad ***EMPRESA.3, haya dado respuesta a los requerimientos de esta Agencia. Consta, no obstante, que su relación contractual con AECORP 005, S.L. cesó mediante documento fechado el 20/11/2023. Noveno.- Consta contrato de agencia entre AECORP 005, S.L. y (…), S.A., derivado de la subrogación contractual de la entidad (…)., formalizado el 29/07/2021, y contrato previo de agencia de esta última con (…), de fecha 04/03/2020. El administrador firmante de (…) coincide con el titular del dominio www.servenergia.com. Décimo.- La entidad (…)., en escrito remitido a esta Agencia, ha manifestado que no ha autorizado a AECORP 005, S.L. la subcontratación de agentes de venta ni de subencargados de tratamiento. Undécimo.- Según contrato suscrito el 16/01/2024, ***EMPRESA.1 mantiene una relación mercantil con ***EMPRESA.4 para la prestación de servicios de notificación y contratación electrónica. Asimismo, consta contrato anterior suscrito entre esta última entidad y AECORP 005, S.L. el 19/05/2021, también vigente en la fecha del envío del SMS reclamado. Duodécimo.- La entidad ***EMPRESA.4 ha informado que no consta registro de ningún SMS recibido o enviado por el reclamante el día 11/08/2023, asociado a la numeración ***TELÉFONO.1. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 114.1.
5. b)de la LGTEL y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/14 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Síntesis de los hechos El presente caso, según el reclamante, se trata de la recepción de una llamada comercial, el día 24/01/24, con la intención de proponerle un cambio de comercializadora de energía eléctrica, y donde, según indica, el interlocutor conocía sus datos personales, (domicilio, nombre, terminación de número de cuenta y teléfono, entre otros). Indica además que, durante la llamada comercial recibió un SMS con un link a la web, www.servenergia.com y después, un segundo SMS de comunicando la baja de suministro de luz. Por su parte, la entidad reclamada (AECORP), manifiesta, en el escrito remitido a esta Agencia el 16/05/24, con relación a las comunicaciones comerciales efectuadas al reclamante, que la información sobre él proviene de la entidad “***EMPRESA.3”, empresa que se dedica a la captación de “leads”, siendo esta entidad quien les facilitó los datos del reclamante a través de un correo electrónico, (correo electrónico que no existe en la documentación aportada por la reclamada). III Incumplimiento del artículo 66.1 de la LGTEL La realización de llamadas no deseadas con fines de comunicación comercial, sin consentimiento previo o sin tener amparo en otra base de legitimación para ello, puede ser objeto de vulneración de lo establecido en el artículo 66.1.
6. b)de la LGTEL, relativo al “Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados”, pues dispone lo siguiente: “1. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración tendrán los siguientes derechos:
7. a)a no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de comunicación comercial sin haber prestado su consentimiento previo para ello;
8. b)a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que la comunicación pueda ampararse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14 en otra base de legitimación de las previstas en el artículo 6.1 del Reglamento (UE) 2016/679 de tratamiento de datos personales”. Este precepto regula la protección de los usuarios frente a comunicaciones no deseadas, fijando como requisito indispensable la existencia de una base legitimadora válida, como el consentimiento previo del interesado, o cualquier otra de las recogidas en el artículo 6.1 del RGPD. Su finalidad es proteger a los usuarios de prácticas comerciales intrusivas que no respeten su privacidad y control sobre las comunicaciones comerciales. Al exigir el consentimiento previo o una base legitimadora válida, esta disposición asegura que las empresas respeten los derechos de los usuarios, evitando comunicaciones comerciales no deseadas. De esta forma, refuerza el marco de protección establecido por el RGPD, garantizando un equilibrio entre las actividades comerciales legítimas y los derechos fundamentales de los usuarios. En este caso, consta que la llamada se habría realizado después del registro del cliente a través de la web de AECORP. Esta entidad afirma que ese registro sería seguro y estaría garantizado por la entidad ***EMPRESA.4, con la que tiene suscrito contrato de notificación y contratación electrónica). Estos son los datos aportados del registro: Registro de validación (...) De Grupo Aecorp el 2023-08-11 15:19 Contacto desde: www.grupoaecorp.com Teléfono móvil: ***TELÉFONO.1 Código de registro: (...) IP: (...) He leído y aceptado la Política de Privacidad: 1 Autorizo a contactarme por email o por cualquier medio con fines comerciales: Si Según se afirma, este registro se habría realizado en agosto de 2023. La llamada denunciada en enero de 2024. Con ello, según ese registro, el reclamante facilitó sus datos después de haber accedido a la política de privacidad y consintió las acciones de marketing. Sin embargo, este registro por sí solo y como declaración unilateral, no acredita el suministro de los datos por el reclamante, ni su acceso a la información disponible en la web, ni mucho menos que consintiera las llamadas comerciales. Adicionalmente, conforme a lo indicado en las actuaciones previas de investigación, se requirió a la entidad ***EMPRESA.4 que informase sobre las operaciones realizadas el día 11/8/2023, vinculadas a los datos identificativos del teléfono y nombre del reclamante, así como la identificación del remitente de las operaciones realizadas y si se realizaron en nombre de otra entidad y la contestación fue que: “Tras una búsqueda exhaustiva en nuestros sistemas no hemos encontrado ningún SMS enviado en fecha 11/08/2023 relacionado con los siguientes datos identificativos: ***TELÉFONO.1, B.B.B.”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14 En este sentido, debemos tener en cuenta además, sobre la autorización o el consentimiento que el usuario presta al responsable del tratamiento de sus datos para el envío de comunicaciones comerciales, lo establecido en la Directriz 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), pues establece, en los puntos 105 a 108, lo siguiente: 105. El considerando 42 establece que: «Cuando el tratamiento se lleva a cabo con el consentimiento del adoptadas 22 interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento». 106. Los responsables del tratamiento tienen libertad para desarrollar métodos que permitan cumplir esta disposición adaptados a sus operaciones diarias. Al mismo tiempo, la obligación de demostrar que un responsable del tratamiento ha obtenido un consentimiento válido, no debe en sí misma provocar un tratamiento adicional de datos excesivo. Esto significa que los responsables deberían tener datos suficientes para mostrar un enlace al tratamiento (para mostrar que se obtuvo el consentimiento), pero no deberían recopilar más información de la necesaria. 107. Corresponde al responsable demostrar que obtuvo el consentimiento válido del interesado. El RGPD no prescribe cómo debe hacerse esto exactamente. No obstante, el responsable debe poder demostrar que, en un caso concreto, un interesado ha dado su consentimiento. La obligación de demostrar el consentimiento existirá mientras dure la actividad de tratamiento de los datos en cuestión. Una vez finalizada dicha actividad, la prueba del consentimiento no deberá conservarse más allá de lo estrictamente necesario para cumplir una obligación legal o para la formulación, el ejercicio o la defensa de reclamaciones, de conformidad con el artículo 17, apartado 3, letras
9. b)y e). 108. Por ejemplo, el responsable debe mantener un registro de las declaraciones de consentimiento recibidas, de manera que pueda demostrar cómo se obtuvo el consentimiento y cuándo se obtuvo dicho consentimiento, y también deberá demostrarse la información que se facilitó al interesado en su momento. El responsable también deberá poder demostrar que se informó al interesado y que el flujo de trabajo del responsable cumplió todos los criterios pertinentes para un consentimiento válido. La lógica subyacente de lo anterior es que el responsable de las comunicaciones comerciales debe rendir cuentas con respecto a la obtención de la autorización o consentimiento del interesado para el envío de comunicaciones comerciales y con respecto a los mecanismos utilizados para conseguirlo. La norma no establece un mecanismo en concreto sobre cómo el responsable debe ser capaz de probar que el usuario ha solicitado o expresamente autorizado las comunicaciones comerciales, teniendo libertad para implementar la forma y registro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 que más se adapte a los procesos de la organización pero, al menos, debe poder acreditar quién, cuándo, cómo y para qué se autorizó las comunicaciones comerciales, así como la información que se le suministró al usuario en el momento de obtenerlo. Esa obligación subsiste en tanto que se siga realizando el tratamiento de los datos personales bajo las condiciones iniciales en que los datos fueron recabados y debe ser verificable en caso de auditoría o inspección. Por todo ello, en el presente caso, AECORP 005, S.L., ha infringido el citado artículo 66.1.
10. b)de la LGTEL, al realizar la llamada comercial al reclamante sin su consentimiento y/o base legitimadora válida previstas en el artículo 6.1 del RGPD. IV Tipificación y calificación de la infracción El comportamiento descrito en los puntos anteriores, al realizar la llamada comercial sin el consentimiento del interesado u otra base de legitimación que lo posibilite implicar una vulneración del artículo 66.1.b), citado anteriormente, calificándose como “grave” según el artículo 107.30 de la citada norma: “30. La vulneración de los derechos de los consumidores y usuarios finales, según lo establecido en el título III y su normativa de desarrollo, incluidos los derechos de conservación de número, de itinerancia en la Unión Europea e internacional, en materia de comunicaciones intracomunitarias reguladas y acceso abierto a internet.” V Sanción De acuerdo con lo establecido en el artículo 109.1.
11. c)de LGTEL, esta infracción puede ser sancionada con multa de hasta 2 millones de euros. Por su parte, en el artículo 110.1 de la citada norma, se establecen los criterios para la determinación de la cuantía de la sanción: “
12. a)la gravedad de las infracciones cometidas anteriormente por el sujeto al que se sanciona;
13. b)el daño causado, como la producción de interferencias a terceros autorizados, y su reparación;
14. c)el cumplimiento voluntario de las medidas cautelares que, en su caso, se impongan en el procedimiento sancionador;
15. d)la negativa u obstrucción al acceso a las instalaciones o a facilitar la información o documentación requerida;
16. e)el cese de la actividad infractora, previamente o durante la tramitación del expediente sancionador;
17. f)la afectación a bienes jurídicos protegidos relativos al uso del dominio público radioeléctrico, el orden público, la seguridad pública y la seguridad nacional o los derechos de los usuarios;
18. g)la colaboración activa y efectiva con la autoridad competente en la detección o prueba de la actividad infractora.” Con arreglo a dichos criterios, y teniendo en cuenta la afectación de los derechos de los usuarios que recoge la LGTE, se estima adecuado imponer a la entidad reclamada una sanción de 5.000 euros (cinco mil euros), por la infracción del artículo 66.1.
19. b)de la LGTEL, tipificada en el artículo 107.30 de la citada norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad AECORP 005, S.L., con CIF.: B05470380, con NIF B01983576, por una infracción del artículo 66.1.
20. b)de la LGTEL tipificada en el Artículo 107.30 de la citada norma, una multa de 5.000 euros (cinco mil euros) SEGUNDO: NOTIFICAR la presente resolución a la entidad AECORP 005, S.L., QUINTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
21. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es