← España

PS-00547-2021

1/9  Expediente Nº: PS/00547/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 21 de octubre de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada), como titular de las diferentes IP de la página web ***URL.1 ,cuyo contenido versa entre otros, sobre contactos, habitaciones, webcam o masajes eróticos, en la cual se ha publicado el teléfono de la reclamante. La reclamante solicitó la baja de sus datos en dicha página web, pero días más tarde su número de teléfono volvió a aparecer, y al ponerse en contacto nuevamente con la página web, la respuesta fue la siguiente: "Hemos borrado los anuncios que nos indicaba, además de bloquear el teléfono como forma de contacto, pero es posible que si el anunciante tiene ciertos conocimientos informáticos se salte los filtros. Para llegar al fondo del problema le recomendamos que denuncie al anunciante a la policía aportando la referencia o teléfono del anuncio, así como nuestro correo electrónico: ***EMAIL.1. Tenemos datos que ayudan a identificar al anunciante, pero por la ley de protección de datos sólo podemos facilitar estos datos a la policía o un juez. Si denuncia al anunciante y la policía se pone en contacto con nosotros, colaboraremos en todo lo que podamos. Muchas gracias por el aviso." Por lo que, al no solventarse el problema manifestado, la reclamante ha seguido recibiendo llamadas no deseadas. Se adjuntan a la denuncia, capturas de pantalla en las que se ven algunos de los anuncios publicados en la web ***URL.1 , resultado de una búsqueda en dicha web por el número de móvil de la reclamante y otras dos capturas donde se ven los correos de respuesta que le envió el responsable del portal. SEGUNDO: Con fecha 15 de diciembre de 2020 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 20 de abril de 2021 MUBA ONLINE S.L. remite a esta Agencia la siguiente información y manifestaciones: 1. Que debido al gran volumen de anuncios y usuarios, no pueden comprobar la veracidad de los datos insertados por los anunciantes. 2. Que los datos de los anuncios publicados asociados al número de móvil de la reclamante son, entre otros: XXXXXXXXX Nombre: C.C.C. Email: ***EMAIL.2 Tfno: ***TELÉFONO.1 Publicado: 2020-09-05 16:21:49 IP: ***IP.1 Puerto: XXXXX XXXXXXXXX Nombre: C.C.C. Email: ***EMAIL.2 Tfno: ***TELÉFONO.1 Publicado: 2020-09-05 16:28:53 IP: ***IP.1 Puerto: XXXXX XXXXXXXXX Nombre: Piso privado Email: ***EMAIL.3 Tfno: ***TELÉFONO.1 Publicado: 2020-09-10 19:19:22 IP: ***IP.1 Puerto: XXXXX XXXXXXXXX C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 D.D.D.. Edad 28 años Email: EMAIL.4 Tfno: ***TELÉFONO.1 Publicado: 2020-10-01 12:59:40 IP: ***IP.2 Puerto: XXXXX XXXXXXXXX E.E.E. Email: ***EMAIL.5 Tfno: ***TELÉFONO.1 Publicado: 2020-10-25 14:26:44 IP: ***IP.3 Puerto: XXXXX Con fecha 3 de noviembre de 2021 TELEFONICA DE ESPAÑA, S.A. remite a esta Agencia la siguiente información y manifestaciones: Que todas las IPs en las fechas y horas especificadas corresponden al titular B.B.B.. Con fecha 4 de noviembre de 2021 se remite requerimiento de información al investigado por correo postal y no se ha recibido contestación. CUARTO: Con fecha 29 de noviembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio, la parte reclamada, el 14 de enero de 2022, presenta escrito de alegaciones en el que manifiesta los siguientes aspectos:

  1. a)Que la denunciante contactó con la denunciada para que pudiera favorecer la obtención de contactos de índole íntimo, solicitando, entre otras gestiones, que le diera difusión en los círculos habituales del sector.
  2. b)Que fruto de ello, se publica, con su consentimiento, anuncio en la sección de contactos de la página web ***URL.1 añadiendo un teléfono de contacto, facilitado por la propia denunciante, como teléfono profesional, indicado para estos temas.
  3. c)Que, en ningún momento, y esto también se desprende del propio relato de hechos, solicita a la denunciada que diera de baja el anuncio, por lo que esta parte en modo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 alguno tiene constancia de que por su parte le hubiera encomendado dar de baja el citado anuncio.
  4. d)Que, en lugar de dirigirse de forma fehaciente a la denunciada-reclamada B.B.B., se dirige directamente al portal de anuncios de contactos, sin embargo, la denuncia se dirige sin mediar reclamación previa, solicitud fehaciente ni nada similar. Se afirma que en ningún momento la denunciante indica que la publicación se hubiera realizado sin su consentimiento, por lo que no cabría una infracción del artículo 6.1 del RGPD. Además considera que, en este tipo de publicaciones, los datos que se facilitan son ficticios, o en todo caso, no se corresponden con los datos reales de las personas que ofertan sus servicios en estas páginas de contacto, lo cual es una forma de separar la vida privada de estos círculos, aportando seudónimos, correos electrónicos específicos para estas actividades, así como números de teléfono que se utilizan únicamente para estos menesteres, por lo que se podría aplicar por analogía el art 19.2 de la LOPDGDD, el cual, establece una presunción “a sensu contrario” en el sentido que se presumirá amparado en el art 6.1
  5. f)el tratamiento de datos de contacto de los empresarios individuales o profesionales liberales. Por otro lado, se afirma que no le consta que la reclamante se dirigiera a la reclamada para que solicitara la baja de la publicación, por lo que, si no consta acreditada ni la publicación ilegítima por parte de la reclamada ni el incumplimiento de la solicitud de baja del anuncio por su parte, no cabe imputársele comisión de infracción alguna relacionada con la normativa de protección de datos de carácter personal. SEXTO: Con fecha 26 de enero de 2021, el instructor del procedimiento acordó practicar pruebas dando por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento así como las alegaciones al acuerdo de inicio del procedimiento sancionador que nos ocupa, presentadas por la reclamada, y la documentación que a ellas acompaña. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 PRIMERO: Se constata la existencia de varios anuncios publicados en la página web ***URL.1 asociados al número de teléfono móvil de la reclamante. SEGUNDO: El responsable de la página web ***URL.1 manifiesta que los datos que se facilitan son ficticios, o en todo caso, no se corresponden con los datos reales de las personas que ofertan sus servicios en estas páginas de contacto, por lo que se presumirá amparado en el artículo 6.1
  6. f)el tratamiento de datos de contacto de los empresarios individuales o profesionales liberales. La reclamada señala además que no le consta que la reclamante solicitara la baja de la publicación. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
  7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  9. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
  10. a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” III La documentación que obra en el expediente ofrece evidencias de que la reclamada, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento de los datos personales del reclamante sin que tuviese ninguna legitimación para ello. La reclamante solicita que se borren sus datos, indicando que nunca ha dado su consentimiento para que su teléfono personal aparezca en la página web ***URL.1 . En relación a la solicitud de cancelación de la reclamante, el responsable de la pagina web le responde a la reclamante que no se puede evitar que se publique su teléfono en dicha página web, ni tampoco puede proporcionársele información sobre quien ha procedido a incluir su número de teléfono en dicha página web, en base a la normativa de protección de datos de carácter personal. En concreto manifiesta lo siguiente: "Hemos borrado los anuncios que nos indicaba, además de bloquear el teléfono como forma de contacto, pero es posible que si el anunciante tiene ciertos conocimientos informáticos se salte los filtros. Para llegar al fondo del problema le recomendamos que denuncie al anunciante a la policía aportando la referencia o teléfono del anuncio, así como nuestro correo electrónico: ***EMAIL.1 Tenemos datos que ayudan a identificar al anunciante pero por la ley de protección de datos sólo podemos facilitar estos datos a la policía o un juez. Si denuncia al anunciante y la policía se pone en contacto con nosotros, colaboraremos en todo lo que podamos. Muchas gracias por el aviso." Por lo tanto, es la señora B.B.B., quien debe acreditar que ha obtenido el consentimiento de la reclamante para utilizar sus datos personales, y proceder a su publicación en la página web referida, conforme establece el artículo 7.1. del RGPD. La señora B.B.B., en escrito de alegaciones manifiesta ante este Organismo que el tratamiento de los datos de la reclamante objeto de la presente reclamación, debe considerarse como el tratamiento de datos de contacto de empresarios individuales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 que prestan servicio a una persona jurídica por lo que de conformidad con el artículo 19.1 de la LOPDGDD el tratamiento de datos quedaría amparado por el artículo 6.1
  11. f)del RGPD, que regula la licitud de tratamiento para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento. Así las cosas, se entiende que si para el uso de datos de carácter personal, la señora B.B.B. ha de contar con el consentimiento expreso del titular de los dichos datos y este no ha podido ser acreditado por ella, se entiende que tal consentimiento no le ha sido otorgado por la reclamante. IV La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  12. a)a
  13. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  14. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  15. b)la intencionalidad o negligencia en la infracción;
  16. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  17. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  18. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  19. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  20. g)las categorías de los datos de carácter personal afectados por la infracción;
  21. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9
  22. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  23. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  24. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” A fin de concretar la cuantía de la sanción a imponer a la reclamada por vulneración del artículo 83.5.
  25. a)del RGPD, es imprescindible examinar y valorar si concurren las circunstancias descritas en el artículo 83.2 del RGPD y si intervienen atenuando o agravando la responsabilidad de la entidad responsable. De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso se considera a la parte reclamada como responsable de una infracción tipificada en el artículo 83.5.
  26. a)del RGPD, en una valoración inicial, se estiman concurrentes los siguientes factores: Estamos ante una acción negligente, ya que se refiere a datos de índole sexual, que permiten identificar a la persona por su número de móvil al ser éste publicado, lo cual le supone un menoscabo a su intimidad (artículo 83.2 b). Es por lo que se considera procedente graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 10.000 € por la infracción del artículo 6 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 10.000€ (diez mil euros). SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  27. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  28. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.